ترنچ‌کوت: الگوریتم‌های هش قابل محاسبه توسط انسان برای تولید رمز عبور

فهرست مطالب

1. مقدمه

فضای دیجیتال مدرن مستلزم آن است که افراد تعداد زیادی حساب کاربری آنلاین را مدیریت کنند که هر یک با یک رمز عبور محافظت می‌شوند. بار شناختی ایجاد و به خاطر سپردن رمزهای عبور قوی و منحصربه‌فرد، منجر به روش‌های ناامنی مانند استفاده مجدد از رمز عبور و ایجاد تغییرات ساده می‌شود. این مقاله "ترنچ‌کوت" را معرفی می‌کند، چارچوبی برای الگوریتم‌های هش قابل محاسبه توسط انسان که برای تولید رمزهای عبور امن و منحصربه‌فرد برای هر سایت، تنها با استفاده از یک راز اصلی به یاد ماندنی و محاسبه ذهنی طراحی شده‌اند.

2. مشکل روش‌های فعلی رمز عبور

کاربران بین الزامات امنیتی (قوانین پیچیدگی، تغییرات مکرر) و محدودیت‌های شناختی گرفتار شده‌اند. این امر منجر به موارد زیر می‌شود:

• استفاده مجدد از رمز عبور: بیش از ۵۰٪ رمزهای عبور در چندین حساب کاربری مجدداً استفاده می‌شوند.
• ساختار ضعیف: اتکا به الگوهای قابل پیش‌بینی، کلمات فرهنگ لغت و اطلاعات شخصی.
• وابستگی به ابزار و ریسک: مدیران رمز عبور، اگرچه مفید هستند، اما نقاط شکست واحد ایجاد می‌کنند و در معرض آسیب‌پذیری‌های بحرانی بوده‌اند.
• شکاف دسترسی‌پذیری: بسیاری از راه‌حل‌ها برای کاربران دارای تنوع عصبی یا کاربران با توانایی‌های متفاوت طراحی نشده‌اند.

3. چارچوب ترنچ‌کوت

ترنچ‌کوت تولید رمز عبور را به عنوان یک فرآیند رمزنگاری قابل اجرا توسط انسان بازتعریف می‌کند.

3.1. مفهوم اصلی: توابع هش قابل محاسبه توسط انسان

ایده اصلی یک تابع $F_R(s, w) \rightarrow y$ است. این تابع راز اصلی کاربر (s) و یک شناسه وب‌سایت/حساب (w) را می‌گیرد تا یک رمز عبور منحصربه‌فرد (y) تولید کند. پارامتر حیاتی $R$ نشان‌دهنده پیکربندی شناختی منحصربه‌فرد کاربر است.

3.2. بهره‌گیری از حافظه تداعی‌گر و ضمنی (R)

این چارچوب از ویژگی‌های شناختی خاص فرد ($R$) مانند حافظه فضایی یا شبکه‌های تداعی شخصی بهره می‌برد. این امر تابع را شبیه به یک "تابع فیزیکی غیرقابل کلون‌سازی شناختی (C-PUF)" می‌کند. یک مهاجم بدون اطلاع از $R$ داخلی کاربر نمی‌تواند $F_R$ را به طور کارآمد محاسبه یا تأیید کند و این لایه‌ای از امنیت مشابه با PUFs سخت‌افزاری مورد استفاده در احراز هویت دستگاه ارائه می‌دهد [37].

4. الگوریتم‌های پیشنهادی و جزئیات فنی

4.1. دسته‌بندی الگوریتم‌ها

این مقاله چندین نوع الگوریتم بر اساس عملیات اولیه پیشنهاد می‌دهد:

• مبتنی بر حساب: استفاده از جمع پیمانه‌ای، دستکاری ارقام روی راز اصلی و نام وب‌سایت.
• مبتنی بر فضایی/ناوبری: نگاشت کاراکترها به نقاط روی یک شبکه یا مسیر ذهنی.
• مبتنی بر واژگانی/جستجو: استفاده از فرهنگ‌های لغت ذهنی شخصی یا تداعی‌های داستانی.

همه این‌ها برای بار شناختی کم و دسترسی‌پذیری طراحی شده‌اند.

4.2. فرمول‌بندی ریاضی

یک مثال ساده شده مبتنی بر حساب: فرض کنید $s$ یک راز اصلی عددی باشد (مثلاً مشتق شده از یک تاریخ به یاد ماندنی). فرض کنید $H(w)$ یک هش ساده (مثلاً مجموع کدهای کاراکتر پیمانه ۱۰) از نام وب‌سایت باشد. یک رقم رمز عبور $y_i$ می‌تواند به صورت زیر تولید شود:
$y_i = (s_i + H(w)_i + c_i) \mod 10$
که در آن $c_i$ یک رقم نقلی از عملیات قبلی یا یک مرحله جایگشت خاص کاربر تعریف شده توسط $R$ است. رمز عبور کامل الحاق $y_i$ها است.

5. تحلیل امنیتی و ارزیابی آنتروپی

رمزگشایی سنتی به طور مستقیم قابل اعمال نیست. این مقاله از معیارهای مبتنی بر آنتروپی استفاده می‌کند:

• فضای کلیدی مؤثر: تخمین فضای جستجو برای مهاجمی که $s$ و $R$ را حدس می‌زند.
• مقاومت در برابر حملات شناخته شده: تحلیل در برابر حملات فرهنگ لغت، فیشینگ (رمز عبور تولید شده خاص سایت است) و حملات مشاهده (نگاه دزدی).
• منحصربه‌فرد بودن R: امنیت به شدت به غیرقابل پیش‌بینی بودن و فردی بودن پارامتر شناختی $R$ وابسته است.

نتیجه این است که اگرچه استحکام بیتی مطلق ممکن است کمتر از هش‌های الگوریتمی باشد، اما ادغام عنصر انسانی ($R$) و نیاز مهاجم به مدل‌سازی آن، یک مانع عملی قابل توجه ایجاد می‌کند.

6. نتایج آزمایشی و نظرسنجی کاربران

این مطالعه شامل نظرسنجی از ۱۳۴ نفر بود که هر کدام دو طرح پیشنهادی را آزمایش کردند، و همچنین بررسی سیاست‌های رمز عبور در ۴۰۰ وب‌سایت.

یافته‌های کلیدی:

• قابلیت استفاده: شرکت‌کنندگان پس از یک دوره آموزشی کوتاه می‌توانستند به طور قابل اعتماد رمزهای عبور تولید کنند. روش‌های مبتنی بر فضایی و داستانی نرخ یادآوری بالایی نشان دادند.
• پذیرش: کاربران روش‌هایی را ترجیح دادند که "شخصی" یا "داستان‌گونه" احساس می‌شدند نسبت به روش‌های صرفاً حسابی.
• تحلیل سیاست: الزامات رمز عبور وب‌سایت‌ها بسیار ناسازگار است که طراحی یک تابع تولید جهانی را پیچیده می‌کند.

7. چارچوب تحلیل و مثال موردی

چارچوب برای ارزیابی یک طرح هش قابل محاسبه توسط انسان:

1. تعریف ورودی: قالب $s$ (مثلاً یک عدد ۶ رقمی، یک عبارت) و $w$ (مثلاً نام دامنه کامل، یک برچسب انتخاب شده توسط کاربر) را به وضوح تعریف کنید.
2. نگاشت عملیات: دنباله عملیات‌های ذهنی را تعریف کنید (مثلاً "حرف سوم و پنجم w را بگیرید، به اعداد تبدیل کنید، به رقم دوم s اضافه کنید...").
3. ادغام R: مشخص کنید که چگونه $R$ گنجانده می‌شود (مثلاً "از کد منطقه شماره تلفن دوران کودکتان برای شروع یک الگوی جابجایی حرف استفاده کنید").
4. قالب‌بندی خروجی: نحوه رعایت قوانین رایج رمز عبور را توصیف کنید (مثلاً "اگر رقم سوم خروجی زوج است، اولین حرف نام وب‌سایت را بزرگ کنید و آن را اضافه کنید").

مثال موردی (بدون کد): آلیس راز اصلی خود $s$ را به عنوان ارقام "۱۹۸۴" انتخاب می‌کند. $R$ او شامل این است که همیشه الفبا را به ترتیب معکوس در نظر می‌گیرد (Z=1, Y=2...). برای وب‌سایت "bank.com"، او اولین و آخرین حرف (B, K) را می‌گیرد، آن‌ها را از طریق الفبای معکوس خود نگاشت می‌دهد (B->25, K->16)، آن‌ها را به ارقام راز خود اضافه می‌کند (25+1=26, 16+9=25)، پیمانه ۲۶ اعمال می‌کند و دوباره به حروف نگاشت می‌دهد (26->A, 25->B). سپس یک قانون شخصی ($R$) را برای درج یک نماد بعد از یک حرف صدادار اعمال می‌کند. رمز عبور نهایی او برای bank.com ممکن است "A!B" باشد.

8. کاربردهای آینده و جهت‌های پژوهشی

• سیستم‌های ترکیبی: ترکیب یک هسته محاسبه شده توسط انسان با یک دستگاه حداقلی و امن (مثلاً یک حلقه هوشمند) برای یک مرحله تبدیل نهایی، افزایش آنتروپی.
• استانداردسازی و دسترسی‌پذیری: توسعه مجموعه‌ای از الگوریتم‌های تأیید شده برای پروفایل‌ها و توانایی‌های شناختی مختلف، که به طور بالقوه در چارچوب‌های ورود به سیستم عامل ادغام می‌شوند.
• احراز هویت مستمر: استفاده از تغییرات ظریف تابع هسته برای تولید کدهای یک‌بارمصرف یا بذرهای زیست‌سنجی رفتاری.
• ملاحظات پساکوانتومی: بررسی اینکه آیا می‌توان توابع قابل محاسبه توسط انسان مبتنی بر مسائل شبکه یا سایر مسائل سخت PQ را طراحی کرد، همانطور که پژوهش در مورد "اثبات‌های کار انسانی" پیشنهاد می‌دهد.

9. مراجع

1. [3] تحلیل امنیتی مدیران رمز عبور محبوب. USENIX Security.
2. [4] B. Ross, و همکاران. "احراز هویت رمز عبور قوی‌تر با استفاده از افزونه‌های مرورگر." USENIX Security 2005.
3. [10] گزارش تحقیقات نقض داده Verizon. 2023.
4. [15] "آسیب‌پذیری‌های روز صفر در مدیران رمز عبور." آژانس امنیت سایبری و زیرساخت (CISA).
5. [16] نظرسنجی گوگل / هریس. "نظرسنجی امنیت آنلاین." 2022.
6. [17] روندهای هویت دیجیتال. Dashlane. 2023.
7. [30] "رایج‌ترین رمزهای عبور جهان." NordPass. 2023.
8. [34] S. Gaw و E. W. Felten. "استراتژی‌های مدیریت رمز عبور برای حساب‌های آنلاین." SOUPS 2006.
9. [37] B. Gassend, و همکاران. "توابع فیزیکی تصادفی سیلیکونی." CCS 2002. (مقاله بنیادی PUF)
10. [43] FTC. "کتاب داده شبکه سنتینل مصرف‌کننده." 2022.
11. انتشار ویژه NIST 800-63B: دستورالعمل‌های هویت دیجیتال.
12. Isola, P., و همکاران. "ترجمه تصویر به تصویر با شبکه‌های متخاصم شرطی." CVPR 2017. (برای قیاس در مورد یادگیری نگاشت‌های پیچیده).

10. تحلیل تخصصی و بررسی انتقادی