ارزیابی امنیتی مدیران گذرواژه مبتنی بر مرورگر: تولید، ذخیره‌سازی و پرکردن خودکار

1. مقدمه

با وجود چالش‌های امنیتی مستند، احراز هویت مبتنی بر گذرواژه همچنان شکل غالب احراز هویت در وب است. کاربران هنگام مدیریت چندین گذرواژه قوی با بار شناختی مواجه می‌شوند که منجر به استفاده مجدد از گذرواژه و ایجاد گذرواژه‌های ضعیف می‌شود. مدیران گذرواژه با تولید، ذخیره‌سازی و پرکردن خودکار گذرواژه‌ها، قول رفع این مشکلات را می‌دهند. با این حال، مطالعات قبلی آسیب‌پذیری‌های قابل توجهی را شناسایی کرده‌اند، به ویژه در مدیران گذرواژه مبتنی بر مرورگر. این تحقیق پنج سال پس از مطالعات عمده قبلی، ۱۳ مدیر گذرواژه محبوب را ارزیابی می‌کند تا مشخص کند آیا امنیت بهبود یافته است یا خیر.

2. روش‌شناسی تحقیق

این مطالعه سیزده مدیر گذرواژه را در سه مرحله چرخه عمر ارزیابی می‌کند: تولید، ذخیره‌سازی و پرکردن خودکار. مجموعه داده شامل ۱۴۷ میلیون گذرواژه تولید شده برای تحلیل است. روش‌شناسی ترکیبی از موارد زیر است:

• تحلیل آماری تصادفی بودن گذرواژه‌ها
• تکرار آزمون‌های امنیتی ذخیره‌سازی قبلی
• آزمون آسیب‌پذیری مکانیزم‌های پرکردن خودکار
• تحلیل تطبیقی میان افزونه‌های مرورگر، مرورگرهای یکپارچه و کلاینت‌های دسکتاپ

3. تحلیل تولید گذرواژه

اولین تحلیل جامع از تولید گذرواژه در مدیران گذرواژه، مسائل قابل توجهی در مورد تصادفی بودن و امنیت را آشکار می‌کند.

4. امنیت ذخیره‌سازی گذرواژه

ارزیابی نحوه محافظت مدیران گذرواژه از اطلاعات ذخیره شده، هم بهبودها و هم آسیب‌پذیری‌های پایدار را آشکار می‌کند.

5. آسیب‌پذیری‌های مکانیزم پرکردن خودکار

ویژگی پرکردن خودکار که برای قابلیت استفاده طراحی شده است، سطوح حمله قابل توجهی را معرفی می‌کند که هنوز به اندازه کافی مورد توجه قرار نگرفته‌اند.

6. نتایج آزمایشی

یافته‌های کلیدی:

• آسیب‌پذیری گذرواژه کوتاه: گذرواژه‌های کوتاه‌تر از ۱۰ کاراکتر تولید شده توسط برخی مدیران، در برابر حملات حدسی آنلاین آسیب‌پذیر بودند
• کمبودهای آنتروپی: چندین پیاده‌سازی نتوانستند به آنتروپی حداکثر نظری دست یابند
• تنظیمات پیش‌فرض ناامن: برخی مدیران با تنظیمات پیش‌فرض ناامن عرضه شدند
• رمزنگاری جزئی: فراداده‌های حیاتی اغلب حفاظتی ضعیف‌تر از گذرواژه‌ها دریافت کردند

توضیح نمودار: توزیع استحکام گذرواژه

تحلیل، یک توزیع دووجهی از استحکام گذرواژه‌های تولید شده را آشکار کرد. تقریباً ۷۰٪ از گذرواژه‌ها دستورالعمل‌های NIST SP 800-63B را برای حداقل آنتروپی (۲۰ بیت برای اسرار قابل حفظ) برآورده کردند یا از آن فراتر رفتند. با این حال، ۳۰٪ زیر این آستانه قرار گرفتند، با خوشه‌ای نگران‌کننده از گذرواژه‌های بین ۸ تا ۱۲ کاراکتر که به دلیل محدودیت‌های مجموعه کاراکترها و تمایزهای الگوریتم تولید، آنتروپی به طور قابل توجهی کاهش یافته‌ای نشان دادند.

7. چارچوب تحلیل فنی

مثال چارچوب تحلیل: ارزیابی آنتروپی گذرواژه

این مطالعه از یک چارچوب ارزیابی چندلایه استفاده کرد:

1. تحلیل سطح کاراکتر: توزیع فرکانس هر موقعیت کاراکتر با استفاده از آزمون‌های $\chi^2$ در برابر توزیع یکنواخت
2. تحلیل توالی: تحلیل زنجیره مارکوف برای تشخیص توالی‌های کاراکتر قابل پیش‌بینی
3. محاسبه آنتروپی: محاسبه آنتروپی تجربی با استفاده از: $H_{empirical} = -\sum_{p \in P} \frac{count(p)}{N} \log_2 \frac{count(p)}{N}$ که در آن $P$ مجموعه گذرواژه‌های منحصربه‌فرد و $N$ کل گذرواژه‌ها است
4. شبیه‌سازی حمله: شبیه‌سازی حملات جستجوی فراگیر و دیکشنری با استفاده از مجموعه قواعد Hashcat و John the Ripper

مطالعه موردی: تشخیص توزیع غیرتصادفی

برای یک مدیر گذرواژه، تحلیل نشان داد که کاراکترهای ویژه به طور نامتناسبی در دو موقعیت آخر گذرواژه‌های ۱۲ کاراکتری ظاهر می‌شوند. آزمون آماری $\chi^2 = 45.3$ با $p < 0.001$ را نشان داد که نشان‌دهنده انحراف قابل توجه از تصادفی بودن است. این الگو می‌تواند فضای مؤثر گذرواژه را برای حملات هدفمند تقریباً ۱۵٪ کاهش دهد.

8. کاربردها و جهت‌های آینده

توصیه‌های فوری:

• پیاده‌سازی مولدهای اعداد تصادفی ایمن رمزنگاری (CSPRNG) برای تمام تولید گذرواژه
• اعمال قدرت رمزنگاری برابر برای فراداده‌ها و گذرواژه‌ها
• پیاده‌سازی پرکردن خودکار آگاه از متن با تأیید کاربر برای سایت‌های حساس
• اتخاذ معماری‌های دانش صفر که در آن ارائه‌دهنده خدمات نمی‌تواند به داده‌های کاربر دسترسی داشته باشد

جهت‌های تحقیقاتی:

• دفاع یادگیری ماشین: توسعه مدل‌های ML برای تشخیص الگوهای غیرعادی پرکردن خودکار که نشان‌دهنده حملات هستند
• تأیید صوری: اعمال روش‌های صوری برای تأیید ویژگی‌های امنیتی مدیر گذرواژه
• یکپارچه‌سازی سخت‌افزاری: بهره‌گیری از ماژول‌های امنیتی سخت‌افزاری (HSM) و محیط‌های اجرای مورد اعتماد (TEE)
• رمزنگاری پساکوانتومی: آماده‌سازی برای تهدیدات محاسبات کوانتومی به استانداردهای رمزنگاری فعلی
• زیست‌سنجی رفتاری: یکپارچه‌سازی دینامیک ضربه‌های کلید و تحلیل حرکت ماوس برای عوامل احراز هویت اضافی

تأثیر صنعت:

یافته‌ها نشان‌دهنده نیاز به گواهی‌های امنیتی استاندارد برای مدیران گذرواژه، مشابه FIPS 140-3 برای ماژول‌های رمزنگاری است. مدیران گذرواژه آینده ممکن است به پلتفرم‌های جامع مدیریت اعتبار تبدیل شوند که روش‌های احراز هویت بدون گذرواژه مانند WebAuthn را یکپارچه می‌کنند و در عین حال سازگاری معکوس را حفظ می‌کنند.

9. منابع

1. Oesch, S., & Ruoti, S. (2020). That Was Then, This Is Now: A Security Evaluation of Password Generation, Storage, and Autofill in Browser-Based Password Managers. USENIX Security Symposium.
2. Li, Z., He, W., Akhawe, D., & Song, D. (2014). The Emperor's New Password Manager: Security Analysis of Web-based Password Managers. USENIX Security Symposium.
3. Silver, D., Jana, S., Boneh, D., Chen, E., & Jackson, C. (2014). Password Managers: Attacks and Defenses. USENIX Security Symposium.
4. National Institute of Standards and Technology. (2017). Digital Identity Guidelines: Authentication and Lifecycle Management. NIST SP 800-63B.
5. Goodin, D. (2019). Why password managers have inherent weaknesses. Ars Technica.
6. Florêncio, D., & Herley, C. (2007). A large-scale study of web password habits. Proceedings of the 16th international conference on World Wide Web.
7. Bonneau, J. (2012). The science of guessing: analyzing an anonymized corpus of 70 million passwords. IEEE Symposium on Security and Privacy.
8. Veras, R., Collins, C., & Thorpe, J. (2014). On the semantic patterns of passwords and their security impact. NDSS Symposium.