सर्वविदित कमियों के बावजूद, पाठ-आधारित पासवर्ड प्रमाणीकरण उपयोगकर्ता प्रमाणीकरण की प्रमुख विधि बना हुआ है। ऑनलाइन सेवाओं में विस्फोटक वृद्धि ने उपयोगकर्ताओं पर एक असहनीय बोझ डाल दिया है, जिनसे अपने अनेक खातों के लिए मजबूत और अद्वितीय पासवर्ड बनाने और याद रखने की अपेक्षा की जाती है। यह पत्र प्रस्तुत करता है और विस्तार से वर्णन करता है AutoPassयह एक पासवर्ड जनरेटर योजना है, जिसका उद्देश्य न्यूनतम उपयोगकर्ता इनपुट के आधार पर साइट-विशिष्ट मजबूत पासवर्ड ऑन-डिमांड उत्पन्न करके पासवर्ड प्रबंधन की प्रमुख समस्या को हल करना है।
यह खंड पासवर्ड जनरेटर योजना के लिए एक औपचारिक मॉडल स्थापित करता है, जो इसे साधारण यादृच्छिक पासवर्ड जनरेटर से अलग करता है। यह मॉडल एक ऐसी प्रणाली को परिभाषित करता है जो उपयोगकर्ता द्वारा रखे गए कम से कम रहस्य के आधार पर, आवश्यकता पड़ने पर किसी विशिष्ट साइट के लिए निर्धारित रूप से पासवर्ड को पुनः उत्पन्न करने में सक्षम है।
पासवर्ड जनरेटर इसे एक क्लाइंट-साइड योजना के रूप में परिभाषित किया गया है जो ऑन-डिमांड साइट-विशिष्ट पासवर्ड उत्पन्न करके पासवर्ड प्रबंधन को सरल बनाती है। इसकी मूल आवश्यकता है पुनरावर्तनीयता: समान इनपुट (उपयोगकर्ता गुप्त + साइट पहचानकर्ता) को हमेशा समान आउटपुट पासवर्ड उत्पन्न करना चाहिए। यह संग्रहीत पासवर्ड वाले पासवर्ड मैनेजर के विपरीत है, क्योंकि जनरेटर एल्गोरिदम के माध्यम से पासवर्ड बनाता है।
AutoPass एक ऑन-डिमांड पासवर्ड जनरेटर है जो पिछली योजनाओं के फायदों को मिलाता है और उनकी सीमाओं को दूर करने के लिए नई तकनीक पेश करता है। इसका मुख्य इनपुट उपयोगकर्ता का मास्टर पासवर्ड और साइट/सेवा पहचानकर्ता (जैसे डोमेन नाम) है। यह उस विशिष्ट साइट के लिए तैयार किया गया एक मजबूत छद्म-यादृच्छिक पासवर्ड आउटपुट करता है।
मुख्य नवाचार: AutoPass उन वास्तविक बाधाओं को स्पष्ट रूप से संबोधित करता है जिन्हें कई पिछली योजनाओं ने नजरअंदाज किया था, जैसे अनिवार्य पासवर्ड परिवर्तन, पूर्व-निर्दिष्ट पासवर्ड (जैसे कंपनी नीति) को शामिल करने की आवश्यकता, और विविध, साइट-विशिष्ट पासवर्ड नीतियों (लंबाई, वर्ण सेट) का पालन करना।
AutoPass के संचालन प्रवाह में निम्नलिखित चरण शामिल हैं:
इस लेख में AutoPass का विश्लेषण पासवर्ड जनरेटर के लिए आवश्यक आदर्श विशेषताओं की एक श्रृंखला के आधार पर किया गया है:
यह पेपर तर्क देता है कि AutoPass ने PwdHash (सीमित नीति अनुपालन) और SuperGenPass (परिवर्तन समर्थन की कमी) जैसी योजनाओं में पाए गए कमजोरियों का सफलतापूर्वक समाधान किया है।
AutoPass ने व्यावहारिक पासवर्ड जनरेटर के डिज़ाइन में एक महत्वपूर्ण कदम उठाया है। इस योजना का औपचारिक विनिर्देशन करके और वास्तविक आवश्यकताओं के आधार पर इसकी विशेषताओं का विश्लेषण करके, लेखकों ने एक उपकरण का खाका प्रदान किया है जो उच्च सुरक्षा मानकों को बनाए रखते हुए, वास्तव में उपयोगकर्ताओं के पासवर्ड प्रबंधन के बोझ को कम कर सकता है। भविष्य के कार्यों में कार्यान्वयन, उपयोगकर्ता अध्ययन और औपचारिक सुरक्षा प्रमाण शामिल हैं।
AutoPass सिर्फ एक और पासवर्ड योजना नहीं है; यह इस वास्तविकता का व्यावहारिक स्वीकार है कि पासवर्ड प्रतिमान बना रहेगा, और असली लड़ाई इसके प्रबंधन में है। प्रबंधन, न कि प्रतिस्थापन। लेखक सही ढंग से बताते हैं कि पिछले शैक्षणिक प्रस्ताव अक्सर अव्यवस्थित कॉर्पोरेट पासवर्ड नीतियों और अनिवार्य रीसेट की वास्तविकता के सामने विफल हो जाते थे। उनकी मूल अंतर्दृष्टि यह है कि जनरेटर एक होना चाहिए नीति-सजग क्रिप्टोग्राफिक ट्रांसफॉर्मर, जो एकल गुप्त को संदर्भ-अनुरूप टोकन में परिवर्तित करता है।
इस पेपर की तार्किक संरचना असाधारण रूप से स्पष्ट है: 1) समस्या क्षेत्र को परिभाषित करना (उपयोगकर्ता/सेवा दर्द बिंदु), 2) समाधानों का मूल्यांकन करने के लिए एक औपचारिक मॉडल स्थापित करना, 3) मौजूदा दृष्टिकोणों की कमियों की पहचान करना, 4) एक व्यापक समाधान (AutoPass) प्रस्तावित करना जो नई तकनीकों जैसे पॉलिसी इंडेक्स और चेंज काउंटर के माध्यम से इन कमियों को दूर करता है। यह CycleGAN पेपर (Zhu et al., 2017) जैसे मौलिक कार्यों में संरचित दृष्टिकोण की याद दिलाता है, जिसने पिछली इमेज-टू-इमेज ट्रांसलेशन तकनीकों की सीमाओं को स्पष्ट रूप से परिभाषित करके और उन्हें व्यवस्थित रूप से संबोधित करके एक नया मॉडल बनाया था।
लाभ: वास्तविक दुनिया की बाधाओं पर ध्यान केंद्रित करना इसकी किलर फीचर है। पासवर्ड परिवर्तनों को संभालने के लिए सरल काउंटर का तकनीकी डिज़ाइन बहुत सुरुचिपूर्ण है। इसका शुद्ध क्लाइंट-साइड, शुद्ध एल्गोरिदमिक स्वभाव LastPass जैसे क्लाउड-आधारित पासवर्ड मैनेजरों के सिंगल पॉइंट ऑफ फेल्योर और सिंक्रनाइज़ेशन मुद्दों से बचाता है (जैसा कि Krebs on Security ब्लॉग में रिपोर्ट की गई घटना में दर्ज है)।
प्रमुख कमियाँ: इस पेपर की मुख्य कमजोरी विशिष्ट, समीक्षित कार्यान्वयन और औपचारिक सुरक्षा प्रमाण की कमी है। यह एक विशिष्टता है, एक सत्यापित उपकरण नहीं। एकल मास्टर सीक्रेट पर अत्यधिक निर्भरता एक विनाशकारी विफलता मोड बनाती है - यदि मास्टर सीक्रेट समझौता हो जाता है,सभी व्युत्पन्न क्रेडेंशियल्स समझौता हो जाएंगे। यह फ़िशिंग-प्रतिरोधी क्षमता प्रदान करने वाले हार्डवेयर टोकन या FIDO2/WebAuthn मानक के विपरीत है। इसके अतिरिक्त, जैसा कि NIST के शोधकर्ताओं ने बताया है, यदि किसी साइट की पासवर्ड नीति में पूर्वव्यापी परिवर्तन होता है, तो कोई भी नियतात्मक जनरेटर चुनौतियों का सामना करता है, जिससे उपयोगकर्ता लॉक आउट हो सकते हैं।
सुरक्षा टीमों के लिए: AutoPass के तर्क से प्रेरणा ली जा सकती है, जिसका उपयोग आंतरिक उपकरण विकसित करने में किया जा सकता है ताकि कर्मचारियों को स्टिकी नोट्स पर निर्भर हुए बिना अनिवार्य पासवर्ड रोटेशन प्रबंधित करने में मदद मिल सके। नीति अनुक्रमणिका की अवधारणा को कॉर्पोरेट पासवर्ड वॉल्ट में एकीकृत किया जा सकता है।
शोधकर्ताओं के लिए: अगला कदम औपचारिक सुरक्षा रिडक्शन प्रमाण होना चाहिए, जहाँ जनरेटर को छद्म यादृच्छिक फलन के रूप में मॉडल किया जा सकता है। उपयोगकर्ता अध्ययन महत्वपूर्ण है - क्या सामान्य उपयोगकर्ता अपने पासवर्डों को "याद" रखने के लिए एक एल्गोरिदम पर भरोसा करते हैं? उपयोगिता और सुरक्षा के बीच का तनाव बना रहता है।
उद्योग के लिए: हालांकि AutoPass एक चतुर पैच है, लेकिन इसे पासवर्ड से आगे बढ़ने की हमारी तत्काल आवश्यकता से ध्यान नहीं भटकाना चाहिए। FIDO2 और पासकी के व्यापक अपनाने की प्रक्रिया में, यह एक उत्कृष्ट संक्रमणकालीन आर्किटेक्चर के रूप में कार्य कर सकता है। इसे एक क्रिप्टोग्राफिक बैसाखी के रूप में देखें - अभी उपयोगी है, लेकिन लक्ष्य टूटे पैर (पासवर्ड प्रणाली) को ठीक करना है।
AutoPass का क्रिप्टोग्राफिक कोर एक नियतात्मक फ़ंक्शन के रूप में अमूर्त किया जा सकता है। मान लें:
मुख्य उत्पादन चरण कुंजी व्युत्पत्ति फ़ंक्शन और संदेश प्रमाणीकरण कोड का उपयोग करते हैं:
$ K = KDF(S, salt) $
$ R = HMAC(K, D \,||\, i \,||\, P) $
जहाँ $||$ संयोजन को दर्शाता है।
मूल आउटपुट $R$ (एक बाइट स्ट्रिंग) फिर एक के माध्यम से पारित किया जाता है नीति-अनुरूप मैपिंग फ़ंक्शन $M(P, R)$ में परिवर्तित किया जाता है, यह फ़ंक्शन सुनिश्चित करता है कि अंतिम पासवर्ड में निर्धारित तरीके से आवश्यक वर्ण प्रकार (बड़े अक्षर, छोटे अक्षर, संख्याएँ, प्रतीक) शामिल हों। उदाहरण के लिए, $M$ प्रत्येक आवश्यक श्रेणी से कम से कम एक वर्ण की गारंटी देने के लिए, अनुपालन वर्ण सेट के आकार के मॉड्यूलस के रूप में $R$ से बाइट्स लेकर वर्णों का चयन कर सकता है।
पासवर्ड जनरेटर मूल्यांकन ढांचा:
संकल्पनात्मक उदाहरण (कोड रहित):
एक उपयोगकर्ता ऐलिस की कल्पना करें। उसका मास्टर सीक्रेट "BlueSky42!@#" है।
परिदृश्य 1 - `bank.com` पर पहली बार लॉगिन:
इनपुट: $S$="BlueSky42!@#", $D$="bank.com", $i=0$, $P$="Policy_B: 12 वर्ण, सभी वर्ण प्रकार"।
AutoPass आंतरिक रूप से $R$ की गणना करता है और $M(Policy_B, R)$ लागू करके आउटपुट देता है: `gH7@kL2!qW9#`।
परिदृश्य 2 - `bank.com` 90 दिनों के बाद अनिवार्य परिवर्तन:
इनपुट $i=1$ को छोड़कर पूरी तरह से समान है। नया आउटपुट एक पूरी तरह से अलग, नीति-अनुपालन पासवर्ड है: `T5!mR8@yV3#j`।
परिदृश्य 3 - एक सरल नीति का उपयोग करके `news.site` पर लॉग इन करना:
$D$="news.site", $i=0$, $P$="Policy_A: 8 characters, letters and digits only".
Output: `k9mF2nL8`.