एमएफडीपीजी: शून्य संग्रहित रहस्यों के साथ बहु-कारक नियतात्मक पासवर्ड प्रबंधन

1. परिचय एवं अवलोकन

पासवर्ड प्रमुख प्रमाणीकरण तंत्र बने हुए हैं, किंतु उनका प्रबंधन एक गंभीर सुरक्षा चुनौती प्रस्तुत करता है। पारंपरिक पासवर्ड प्रबंधक विफलता के केंद्रीय बिंदु बनाते हैं, जैसा कि लास्टपास जैसी सुरक्षा भंग घटनाओं से प्रमाणित होता है। नियतात्मक पासवर्ड जनरेटर (डीपीजी) को दो दशकों से एक विकल्प के रूप में प्रस्तावित किया गया है, जो एक मास्टर रहस्य और डोमेन नाम से प्रति साइट अद्वितीय पासवर्ड उत्पन्न करके संग्रहण को समाप्त करते हैं। हालाँकि, मौजूदा डीपीजी महत्वपूर्ण सुरक्षा, गोपनीयता और उपयोगिता दोषों से ग्रस्त हैं, जिसने व्यापक अपनाने को रोका है।

यह शोधपत्र बहु-कारक नियतात्मक पासवर्ड जनरेटर (एमएफडीपीजी) का परिचय देता है, जो इन कमियों को दूर करने वाला एक नवीन डिज़ाइन है। एमएफडीपीजी मास्टर रहस्य को सुदृढ़ करने के लिए बहु-कारक कुंजी व्युत्पत्ति का लाभ उठाता है, सुरक्षित पासवर्ड निरसन के लिए कुक्कू फ़िल्टर का उपयोग करता है, और जटिल पासवर्ड नीतियों का अनुपालन करने के लिए एक नियतात्मक परिमित ऑटोमेटन (डीएफए) ट्रैवर्सल एल्गोरिदम का उपयोग करता है—यह सब क्लाइंट या सर्वर साइड पर कोई भी रहस्य संग्रहीत किए बिना।

2. मौजूदा डीपीजी का विश्लेषण

45 डीपीजी योजनाओं (जैसे, पीडब्ल्यूडीहैश) के सर्वेक्षण से सुसंगत गंभीर दोष प्रकट हुए।

3. एमएफडीपीजी डिज़ाइन

एमएफडीपीजी की वास्तुकला तीन मुख्य नवाचारों पर निर्मित है।

4. मूल्यांकन एवं परिणाम

एमएफडीपीजी प्रोटोटाइप का मूल्यांकन 100 सबसे लोकप्रिय वेबसाइटों (एलेक्सा रैंकिंग के अनुसार) के साथ संगतता के लिए किया गया।

चार्ट विवरण: एक बार चार्ट सामने आए पासवर्ड नीति प्रकारों (जैसे, "केवल न्यूनतम लंबाई," "अपरकेस और संख्या आवश्यक," "जटिल रेगेक्स") के वितरण और सभी श्रेणियों में एमएफडीपीजी अनुपालन के लिए 100% सफलता बार दिखाएगा, जिसकी तुलना एक आधारभूत सरल हैश डीपीजी के लिए कम बार से की जाएगी।

5. तकनीकी गहन विवेचन

कुंजी व्युत्पत्ति: मुख्य सुरक्षा एक मजबूत एमएफकेडीएफ सेटअप पर निर्भर करती है, जैसे कि ओपेक या अन्य असममित पेक प्रोटोकॉल पर आधारित, ताकि व्युत्पन्न साइट-विशिष्ट पासवर्ड लीक होने पर भी ऑफ़लाइन हमलों को रोका जा सके।

डीएफए ट्रैवर्सल एल्गोरिदम (संकल्पनात्मक):

1. वेबसाइट की पासवर्ड नीति को एक डीएफए $A$ के रूप में एनकोड करें।
2. $ ext{HMAC}(K, ext{domain})$ के साथ एक सीएसपीआरएनजी को सीड करें।
3. प्रारंभिक स्टेट से शुरू करते हुए, अगली स्टेट पर जाने के लिए एक वैध ट्रांज़िशन (एक वर्ण आउटपुट करते हुए) चुनने के लिए सीएसपीआरएनजी का यादृच्छिक रूप से उपयोग करें।
4. तब तक दोहराएँ जब तक कि एक स्वीकार्य स्टेट नहीं पहुँच जाती, यह सुनिश्चित करते हुए कि अंतिम अनुक्रम $A$ की भाषा में एक वैध शब्द है।

6. विश्लेषक का दृष्टिकोण: मुख्य अंतर्दृष्टि, तार्किक प्रवाह, शक्तियाँ एवं दोष, क्रियान्वयन योग्य अंतर्दृष्टियाँ

मुख्य अंतर्दृष्टि: एमएफडीपीजी केवल एक और पासवर्ड प्रबंधक नहीं है; यह वेब प्रमाणीकरण विकास की धीमी गति के चारों ओर एक रणनीतिक अंतिम रन है। शोधपत्र की प्रतिभा समस्या को पुनः परिभाषित करने में निहित है: वेबसाइटों के फ़िडो2 या पासकी अपनाने की प्रतीक्षा करने के बजाय, एमएफडीपीजी उपयोगकर्ता को किसी भी पुरानी पासवर्ड-आधारित सेवा के लिए क्लाइंट-साइड एकतरफ़ा रूप से बहु-कारक सुरक्षा लागू करने का अधिकार देता है। यह सबसे कमजोर कड़ी—पुनः प्रयोज्य पासवर्ड—को हार्डवेयर और बायोमेट्रिक कारकों द्वारा संरक्षित एक व्युत्पन्न, एकल-उपयोग टोकन में बदल देता है। यह एक व्यावहारिक स्वीकृति है कि पासवर्ड जल्द ही समाप्त नहीं होगा, इसलिए हमें इसे क्रिप्टोग्राफ़िक रूप से कवचित करना होगा।

तार्किक प्रवाह: तर्क प्रभावशाली है। 1) वर्तमान डीपीजी मूल रूप से टूटे हुए हैं (मास्टर कुंजी उजागर होना, कोई रोटेशन नहीं)। 2) इसलिए, हमें एक क्रिप्टोग्राफ़िक रूप से सुदृढ़ आधार (एमएफकेडीएफ) की आवश्यकता है। 3) लेकिन सुदृढ़ीकरण पर्याप्त नहीं है; हमें वास्तविक दुनिया की उपयोगिता (नीति अनुपालन, निरसन) की आवश्यकता है। 4) प्रस्तावित समाधान (कुक्कू फ़िल्टर, डीएफए ट्रैवर्सल) सीधे इन उपयोगिता अंतरालों को लक्षित करते हैं। 5) परिणाम एक ऐसी प्रणाली है जो न केवल डीपीजी को ठीक करती है बल्कि पूरे प्रमाणीकरण परिदृश्य को नीचे से ऊपर तक चुपके से उन्नत भी करती है। तर्क साफ़ है, और प्रत्येक डिज़ाइन विकल्प एक प्रलेखित दोष के लिए सीधा प्रतिकार है।

शक्तियाँ एवं दोष: इसकी शक्ति इसकी सुरुचिपूर्ण, शून्य-संग्रहण वास्तुकला और इसकी प्रगतिशील वृद्धि क्षमता है। यह पीडब्ल्यूडीहैश जैसे पूर्ववर्तियों की विफलताओं से सीखता है। हालाँकि, दोष तैनाती मॉडल में हैं। गंभीर दोष: उपयोगकर्ता पुनर्प्राप्ति एक दुःस्वप्न है। अपना हार्डवेयर टोकन खो दिया? आप तुरंत सब कुछ से लॉक आउट हो जाते हैं—एक विनाशकारी एकल बिंदु विफलता जो क्लाउड बैकअप जोखिमों को हल्का लगने देती है। शोधपत्र इस पर सतही रूप से विचार करता है। इसके अलावा, इसकी सुरक्षा भारी रूप से एमएफकेडीएफ कार्यान्वयन पर निर्भर करती है, जो एक जटिल क्रिप्टोग्राफ़िक आदिम है जो कार्यान्वयन त्रुटियों के प्रति अतिसंवेदनशील है। जैसा कि यूसेनिक्स सुरक्षा 2023 के एमएफए योजनाओं के विश्लेषण से पता चलता है, वास्तविक दुनिया की एमएफए प्रणालियों में अक्सर सूक्ष्म भेद्यताएँ होती हैं। व्यापक अपनाने के लिए एक अचूक, उपयोगकर्ता-अनुकूल पुनर्प्राप्ति तंत्र की आवश्यकता होगी, जो इसके "शून्य संग्रहित रहस्य" दर्शन के विपरीत प्रतीत होता है।

क्रियान्वयन योग्य अंतर्दृष्टियाँ: सुरक्षा टीमों के लिए, एमएफडीपीजी की मुख्य अवधारणाएँ तत्काल मूल्यवान हैं। डीएफए-आधारित नीति-अनुपाली जनन को सेवा खाता पासवर्ड के लिए आंतरिक रूप से पायलट किया जा सकता है। निरसन के लिए कुक्कू फ़िल्टर का उपयोग एक चतुर गोपनीयता-संरक्षण तकनीक है जो पासवर्ड से परे लागू होती है (जैसे, टोकन ब्लॉकलिस्ट प्रबंधन)। बड़ा सबक यह है कि रहस्य संग्रहण को रहस्य व्युत्पत्ति से अलग करें। तिजोरियों के बजाय, कई कारकों को क्रिप्टोग्राफ़िक रूप से एक एकल, क्षणिक व्युत्पत्ति कुंजी में बाँधने के बारे में सोचें। कंपनियों को उपयोगकर्ता-धारित, पुनर्प्राप्त योग्य बहु-कारक विश्वास जड़ों के लिए अनुसंधान एवं विकास में निवेश करना चाहिए—वह लापता टुकड़ा जिसकी ओर एमएफडीपीजी संकेत करता है लेकिन हल नहीं करता। भविष्य बेहतर तिजोरियों में नहीं है; यह तिजोरी को अनावश्यक बनाने में है, और एमएफडीपीजी सीधे उस दिशा में इशारा करता है।

7. भविष्य के अनुप्रयोग एवं दिशाएँ

• पासवर्डरहित एकीकरण: एमएफडीपीजी के व्युत्पन्न साइट-विशिष्ट पासवर्ड एक फ़िडो2-जैसे प्रवाह में "कुछ जो आपके पास है" के रूप में कार्य कर सकते हैं, पासवर्ड और पासवर्डरहित दुनियाओं के बीच सेतु बना सकते हैं।
• विकेंद्रीकृत पहचान: शून्य-संग्रहण, उपयोगकर्ता-केंद्रित मॉडल वेब3 और विकेंद्रीकृत पहचान सिद्धांतों (जैसे, आईईटीएफ का जीएनएपी) के साथ संरेखित होता है। मास्टर बहु-कारक कुंजी विकेंद्रीकृत पहचानकर्ता (डीआईडी) और प्रमाण उत्पन्न कर सकती है।
• एंटरप्राइज़ रहस्य प्रबंधन: मशीन पहचानों के लिए अनुकूलित, एक केंद्रीय जड़ से विभिन्न सेवाओं के लिए अद्वितीय एपीआई कुंजियाँ/रहस्य उत्पन्न करना, निरसन फ़िल्टर के माध्यम से स्वचालित रोटेशन के साथ।
• अनुसंधान दिशा: संयुक्त एमएफकेडीएफ+डीएफए+फ़िल्टर प्रणाली के लिए औपचारिक सुरक्षा प्रमाण विकसित करना। पोस्ट-क्वांटम एमएफकेडीएफ निर्माणों का अन्वेषण। मानवीय, सुरक्षित पुनर्प्राप्ति प्रोटोकॉल डिज़ाइन करना जो शून्य-रहस्य मॉडल से समझौता न करें।

8. संदर्भ

1. नायर, वी., और सोंग, डी. (वर्ष)। एमएफडीपीजी: शून्य संग्रहित रहस्यों के साथ बहु-कारक प्रमाणित पासवर्ड प्रबंधन। सम्मेलन का नाम।
2. रॉस, बी., जैक्सन, सी., मियाके, एन., बोनेह, डी., और मिशेल, जे. सी. (2005)। ब्राउज़र एक्सटेंशन का उपयोग करके मजबूत पासवर्ड प्रमाणीकरण। यूसेनिक्स सुरक्षा संगोष्ठी। (पीडब्ल्यूडीहैश)
3. घलवाश, एच., एट अल. (2023)। एसओके: बहु-कारक प्रमाणीकरण। यूसेनिक्स सुरक्षा संगोष्ठी।
4. जारेकी, एस., क्रावचिक, एच., और जू, जे. (2018)। ओपेक: प्री-कम्प्यूटेशन हमलों के खिलाफ सुरक्षित एक असममित पेक प्रोटोकॉल। यूरोक्रिप्ट।
5. फैन, बी., एंडरसन, डी. जी., कामिंस्की, एम., और मिटज़ेनमैचर, एम. (2014)। कुक्कू फ़िल्टर: व्यावहारिक रूप से ब्लूम से बेहतर। कोनेक्स्ट।
6. फ़िडो एलायंस। (2023)। फ़िडो2: वेबऑथन और सीटीएपी विनिर्देश। https://fidoalliance.org/fido2/