تولید رمز عبور چندبعدی برای احراز هویت خدمات ابری

فهرست مطالب

1. مقدمه

رایانش ابری، خدمات مبتنی بر تقاضا (مانند SaaS، PaaS، IaaS، DSaaS) را از طریق اینترنت ارائه می‌دهد. دسترسی ایمن به این خدمات، متکی بر احراز هویت مستحکم است. روش‌های سنتی مانند رمزهای عبور متنی، گرافیکی و سه‌بعدی، معایب قابل توجهی دارند: آسیب‌پذیری در برابر حملات دیکشنری/جستجوی فراگیر (متنی)، پیچیدگی زمانی و فضای محدود رمز عبور (گرافیکی) و سایر محدودیت‌ها (سه‌بعدی). این مقاله یک تکنیک تولید رمز عبور چندبعدی را پیشنهاد می‌دهد تا با ترکیب چندین پارامتر ورودی از پارادایم ابری، احراز هویت قوی‌تری برای خدمات ابری ایجاد کند.

2. تکنیک پیشنهادی تولید رمز عبور چندبعدی

ایده اصلی، احراز هویت دسترسی ابری با استفاده از رمز عبوری است که از چندین پارامتر (بُعد) تولید می‌شود. این پارامترها می‌توانند شامل اطلاعات متنی، تصاویر، لوگوها، امضاها و سایر عناصر خاص ابری باشند. این رویکرد چندوجهی، هدفش افزایش نمایی فضای رمز عبور و پیچیدگی آن است و در نتیجه احتمال موفقیت حملات جستجوی فراگیر را کاهش می‌دهد.

2.1 معماری و نمودار توالی

معماری سیستم پیشنهادی شامل یک رابط کاربری، یک سرور احراز هویت و خدمات ابری است. توالی عملیات به این شرح است: 1) کاربر از طریق یک رابط تخصصی، چندین پارامتر را در ابعاد مختلف وارد می‌کند. 2) سیستم این ورودی‌ها را با استفاده از یک الگوریتم تعریف‌شده پردازش و ترکیب می‌کند تا یک هش یا توکن رمز عبور چندبعدی منحصربه‌فرد تولید کند. 3) این مدرک تولیدشده برای تأیید به سرور احراز هویت ارسال می‌شود. 4) پس از اعتبارسنجی موفق، دسترسی به سرویس ابری درخواستی اعطا می‌شود. معماری بر جداسازی منطق تولید رمز عبور از خدمات اصلی ابری تأکید دارد.

2.2 طراحی تفصیلی و الگوریتم

طراحی، جزئیات رابط کاربری برای ثبت ورودی‌های چندبعدی و الگوریتم سمت سرور برای تولید رمز عبور را تشریح می‌کند. الگوریتم احتمالاً شامل مراحلی برای نرمال‌سازی انواع مختلف ورودی (مثلاً تبدیل یک تصویر به بردار ویژگی، هش کردن متن)، ترکیب آن‌ها با استفاده از یک تابع (مانند الحاق و سپس یک هش رمزنگاری) و ایجاد یک توکن امن نهایی است. مقاله این الگوریتم و نمونه‌های معمول رابط کاربری را ارائه می‌دهد که انتخاب تصاویر، فیلدهای ورود متن و صفحه‌های امضا را نشان می‌دهند.

3. تحلیل امنیتی و احتمال شکست

یک سهم کلیدی، استخراج احتمال شکستن سیستم احراز هویت است. اگر یک رمز عبور متنی سنتی دارای اندازه فضای $S_t$ باشد و هر بُعد اضافه شده (مثلاً انتخاب تصویر از مجموعه‌ای از $n$ تصویر) فضایی به اندازه $S_i$ اضافه کند، فضای کل رمز عبور برای $k$ بُعد تقریباً برابر با $S_{total} = S_t \times \prod_{i=1}^{k} S_i$ می‌شود. با فرض نرخ حمله جستجوی فراگیر $R$، زمان شکستن رمز عبور با $S_{total} / R$ مقیاس می‌یابد. مقاله استدلال می‌کند که با افزایش $k$ و هر $S_i$، $S_{total}$ به صورت ضربی رشد می‌کند و حملات جستجوی فراگیر را از نظر محاسباتی غیرعملی می‌سازد. به عنوان مثال، یک رمز عبور چهاربعدی که یک متن ۸ کاراکتری (با حدود $2^{53}$ احتمال)، یک انتخاب از ۱۰۰ تصویر، یک دنباله ژست گرافیکی و یک هش امضا را ترکیب می‌کند، می‌تواند فضای جستجویی بیش از $2^{200}$ ایجاد کند که در برابر قدرت محاسباتی قابل پیش‌بینی ایمن در نظر گرفته می‌شود.

4. نتیجه‌گیری و کارهای آتی

مقاله نتیجه می‌گیرد که تکنیک رمز عبور چندبعدی با بهره‌گیری از فضای وسیع پارامترهای پارادایم ابری، جایگزین قوی‌تری برای احراز هویت ابری ارائه می‌دهد. این تکنیک نقاط ضعف روش‌های تک‌بعدی را کاهش می‌دهد. کارهای آتی پیشنهادی شامل پیاده‌سازی یک نمونه اولیه، انجام مطالعات کاربری درباره قابلیت به خاطر سپردن و قابلیت استفاده، بررسی یادگیری ماشین برای احراز هویت تطبیقی بر اساس رفتار کاربر و ادغام این تکنیک با استانداردهای موجود مانند OAuth 2.0 یا OpenID Connect است.

5. تحلیل اصلی و تفسیر کارشناسی

بینش اصلی: گزاره اساسی مقاله—که امنیت را می‌توان با گسترش فضای عامل احراز هویت به صورت ضربی به جای جمعی تقویت کرد—از نظر تئوری صحیح است اما در عمل به‌طور مشهوری چالش‌برانگیز است. این مقاله به درستی سقف آنتروپی روش‌های تک عاملی را شناسایی می‌کند اما گلوگاه‌های عامل انسانی را دست کم می‌گیرد. این رویکرد یادآور مفاهیم "رمز عبور شناختی" از اواخر دهه ۹۰ است که آن هم به دلیل مسائل قابلیت استفاده، با پذیرش مشکل داشت.

جریان منطقی: استدلال از یک ساختار آکادمیک کلاسیک پیروی می‌کند: تعریف مسئله (روش‌های ضعیف موجود)، فرضیه (ورودی‌های چندبعدی امنیت را افزایش می‌دهند) و اعتبارسنجی نظری (تحلیل احتمال). با این حال، جهش منطقی از فضای نظری بزرگتر رمز عبور به امنیت عملی، قابل توجه است. این تحلیل از مدل‌های تهدید حیاتی مانند فیشینگ (که کل فرآیند ورود چندبعدی را دور می‌زند)، بدافزارهایی که ورودی‌ها را در لحظه ضبط می‌کنند یا حملات کانال جانبی به خود الگوریتم تولید، به سرعت عبور می‌کند. همانطور که در راهنمای هویت دیجیتال NIST (SP 800-63B) ذکر شده است، پیچیدگی راز تنها یک ستون است؛ مقاومت در برابر ضبط، تکرار و فیشینگ به همان اندازه حیاتی هستند.

نقاط قوت و ضعف: نقطه قوت اصلی آن، بنیان ریاضی ظریف برای افزایش پیچیدگی ترکیبی است. این یک تمرین هوشمندانه آکادمیک در گسترش فضای مدرک است. ضعف اصلی، نزدیک‌بینی عملی آن است. اولاً، قابلیت استفاده احتمالاً ضعیف است. به خاطر سپردن و بازتولید دقیق چندین عنصر ناهمگن (یک عبارت، یک تصویر خاص، یک امضا) بار شناختی بالایی تحمیل می‌کند که منجر به ناامیدی کاربر، افزایش زمان ورود به سیستم و در نهایت، رفتارهای ناامن کاربر مانند نوشتن مدارک می‌شود. ثانیاً، این روش به طور بالقوه سطح حمله را افزایش می‌دهد. هر بُعد ورودی جدید (مثلاً یک مؤلفه ضبط امضا) آسیب‌پذیری‌های بالقوه جدیدی در کد ضبط یا پردازش آن معرفی می‌کند. ثالثاً، فاقد قابلیت همکاری با جریان‌های احراز هویت مدرن، مبتنی بر توکن و مقاوم در برابر فیشینگ مانند WebAuthn است که از رمزنگاری کلید عمومی استفاده می‌کند و توسط اتحادیه FIDO حمایت می‌شود.

بینش‌های عملی: برای معماران امنیت ابری، این مقاله بیشتر به عنوان یک محرک فکری عمل می‌کند تا یک نقشه راه. نکته عملی قابل اجرا، پیاده‌سازی این طرح خاص نیست، بلکه پذیرش اصل اساسی آن است: احراز هویت لایه‌ای و آگاه از زمینه. به جای تحمیل ورودی‌های متعدد در هر ورود به سیستم، یک مسیر عملی‌تر، احراز هویت تطبیقی است. از یک عامل قوی (مانند یک کلید امنیتی سخت‌افزاری از طریق WebAuthn) به عنوان پایه استفاده کنید و بررسی‌های زمینه‌ای اضافی با اصطکاک کم (مانند اثرانگشت دستگاه، زیست‌سنجی رفتاری، موقعیت جغرافیایی) را که به صورت شفاف توسط سیستم مدیریت می‌شوند، روی آن لایه‌بندی کنید. این امر بدون بارگذاری بر کاربر، امنیت بالایی را به دست می‌آورد. آینده، همانطور که در پیاده‌سازی‌های اعتماد صفر گوگل و مایکروسافت مشاهده می‌شود، در ارزیابی مستمر و مبتنی بر ریسک نهفته است، نه در رمزهای عبور ایستای پیچیده‌تر—حتی انواع چندبعدی. تلاش‌های پژوهشی بهتر است صرف بهبود قابلیت استفاده و استقرار استانداردهای احراز هویت چندعاملی (MFA) مقاوم در برابر فیشینگ شود تا اختراع مجدد چرخ رمز عبور با ابعاد بیشتر.

6. جزئیات فنی و مبانی ریاضی

امنیت با اندازه فضای رمز عبور کمّی می‌شود. فرض کنید:

• $D = \{d_1, d_2, ..., d_k\}$ مجموعه $k$ بُعد باشد.
• $|d_i|$ نشان‌دهنده تعداد مقادیر/انتخاب‌های مجزا ممکن برای بُعد $i$ باشد.

تعداد کل رمزهای عبور چندبعدی منحصربه‌فرد ممکن ($N$) برابر است با: $$N = \prod_{i=1}^{k} |d_i|$$ اگر یک حمله جستجوی فراگیر بتواند $A$ رمز عبور در ثانیه را امتحان کند، زمان مورد انتظار $T$ برای حدس زدن یک رمز عبور به طور یکنواخت و تصادفی تقریباً برابر است با: $$T \approx \frac{N}{2A} \text{ ثانیه}$$ به عنوان مثال:

• متن (8 کاراکتر، 94 انتخاب/کاراکتر): $|d_1| \approx 94^8 \approx 6.1 \times 10^{15}$
• انتخاب تصویر از 100: $|d_2| = 100$
• PIN چهار رقمی: $|d_3| = 10^4 = 10000$

سپس $N \approx 6.1 \times 10^{15} \times 10^2 \times 10^4 = 6.1 \times 10^{21}$. با $A = 10^9$ تلاش/ثانیه، $T \approx 3.05 \times 10^{12}$ ثانیه ≈ 96,000 سال. این امر قدرت نظری را نشان می‌دهد.

7. چارچوب تحلیل و مثال مفهومی

سناریو: دسترسی ایمن به یک داشبورد مالی مبتنی بر ابر (SaaS). کاربرد چارچوب:

1. تعریف ابعاد: ابعاد مرتبط با سرویس و کاربر را انتخاب کنید.
   • D1: مبتنی بر دانش: یک عبارت عبور (مثلاً "BlueSky@2024").
   • D2: مبتنی بر تصویر: انتخاب یک "تصویر امنیتی" شخصی از مجموعه‌ای از 50 الگوی انتزاعی که در یک شبکه ارائه شده‌اند.
   • D3: مبتنی بر حرکت: یک ژست کشیدن ساده و از پیش تعریف‌شده (مثلاً اتصال سه نقطه به ترتیب خاص) در یک رابط لمسی.
2. تولید مدرک: سیستم هش SHA-256 عبارت عبور را می‌گیرد، آن را با یک شناسه منحصربه‌فرد تصویر انتخاب‌شده و یک نمایش برداری از مسیر ژست الحاق می‌کند و رشته ترکیب‌شده را هش می‌کند تا یک توکن احراز هویت نهایی تولید کند: $Token = Hash(Hash(Text) || Image_{ID} || Gesture_{Vector})$.
3. جریان احراز هویت: کاربر با انجام مراحل زیر وارد سیستم می‌شود: 1) وارد کردن عبارت عبور، 2) انتخاب تصویر ثبت‌شده خود از یک شبکه چیده‌شده به صورت تصادفی (برای مقابله با حملات اسکرین‌شات)، 3) انجام ژست کشیدن. سیستم توکن را مجدداً تولید می‌کند و آن را با مقدار ذخیره‌شده مقایسه می‌کند.
4. ارزیابی امنیتی: مهاجم اکنون باید هر سه عنصر را به درستی و به ترتیب حدس بزند/ضبط کند. یک کی‌لاگر فقط عبارت عبور را به دست می‌آورد. یک ناظر شانه‌ای ممکن است تصویر و ژست را ببیند اما عبارت عبور را نه. آنتروپی ترکیبی بالا است.
5. مبادله قابلیت استفاده: زمان ورود به سیستم افزایش می‌یابد. کاربران ممکن است فراموش کنند کدام تصویر یا ژست را انتخاب کرده‌اند که منجر به قفل شدن حساب و هزینه‌های پشتیبانی می‌شود. این مبادله حیاتی است که باید مدیریت شود.

8. کاربردهای آتی و جهت‌های پژوهشی

کاربردها:

• تراکنش‌های ابری با ارزش بالا: برای مجوز انتقال وجوه بزرگ یا دسترسی به داده‌های حساس در ابرهای مالی یا بهداشتی، که در آن اصطکاک اضافی ورود به سیستم قابل قبول است.
• مدیریت دسترسی ممتاز (PAM): به عنوان یک لایه اضافی برای مدیرانی که به زیرساخت ابری (IaaS) دسترسی دارند.
• دروازه‌های ابری اینترنت اشیاء (IoT): برای تأمین اولیه و مدیریت ایمن دستگاه‌های اینترنت اشیاء که به یک پلتفرم ابری متصل می‌شوند.

جهت‌های پژوهشی:

• طراحی متمرکز بر قابلیت استفاده: پژوهش باید بر ایجاد احراز هویت چندبعدی به صورت شهودی متمرکز شود. آیا می‌توان ابعاد را به صورت تطبیقی بر اساس زمینه کاربر (دستگاه، مکان) انتخاب کرد تا اصطکاک معمول کاهش یابد؟
• ادغام با زیست‌سنجی رفتاری: به جای ابعاد صریح، می‌توان ابعاد ضمنی مانند ریتم تایپ، حرکات ماوس یا الگوهای تعامل صفحه لمسی در طول فرآیند ورود را تحلیل کرد تا یک بُعد پیوسته و شفاف تشکیل شود.
• ملاحظات پساکوانتومی: بررسی اینکه چگونه الگوریتم تولید توکن چندبعدی را می‌توان با استفاده از هش‌های رمزنگاری پساکوانتومی، در برابر حملات رایانش کوانتومی مقاوم ساخت.
• استانداردسازی: یک مانع بزرگ، فقدان استانداردها است. کارهای آتی می‌توانند یک چارچوب برای قالب‌های مدرک چندبعدی قابل همکاری پیشنهاد دهند که بتوانند در کنار FIDO2/WebAuthn کار کنند.

9. مراجع

1. Mell, P., & Grance, T. (2011). The NIST Definition of Cloud Computing. National Institute of Standards and Technology, SP 800-145.
2. NIST. (2020). Digital Identity Guidelines: Authentication and Lifecycle Management. National Institute of Standards and Technology, SP 800-63B.
3. FIDO Alliance. (2022). FIDO2: WebAuthn & CTAP Specifications. Retrieved from https://fidoalliance.org/fido2/
4. Bonneau, J., Herley, C., van Oorschot, P. C., & Stajano, F. (2012). The Quest to Replace Passwords: A Framework for Comparative Evaluation of Web Authentication Schemes. IEEE Symposium on Security and Privacy.
5. Wang, D., Cheng, H., Wang, P., Huang, X., & Jian, G. (2017). A Survey on Graphical Password Schemes. IEEE Transactions on Dependable and Secure Computing.
6. Google Cloud. (2023). BeyondCorp Enterprise: A zero trust security model. Retrieved from https://cloud.google.com/beyondcorp-enterprise