MFDPG：ゼロ秘密保存型マルチファクター決定論的パスワード管理

1. 序論と概要

パスワードは依然として主要な認証メカニズムであるが、その管理は重大なセキュリティ上の課題となっている。従来のパスワードマネージャーは、LastPassのような侵害事例が示すように、単一障害点を生み出す。決定論的パスワードジェネレーター（DPG）は、マスタシークレットとドメイン名からサイトごとに固有のパスワードを生成し、保存を不要とする代替案として20年以上前から提案されてきた。しかし、既存のDPGには、広範な採用を妨げる重大なセキュリティ、プライバシー、ユーザビリティの欠陥が存在する。

本論文は、これらの欠点に対処する新規設計であるマルチファクター決定論的パスワードジェネレーター（MFDPG）を紹介する。MFDPGは、マルチファクター鍵導出を活用してマスタシークレットを強化し、安全なパスワード失効のためにカッコーフィルターを採用し、複雑なパスワードポリシーに準拠するために決定性有限オートマトン（DFA）走査アルゴリズムを使用する。これらすべてを、クライアント側またはサーバー側にいかなるシークレットも保存することなく実現する。

中核的貢献

45の既存DPGを分析し、採用障壁を特定。
ゼロ秘密保存型MFDPGの設計。
弱いパスワードのみのサイトを強力なMFAにアップグレードするクライアント側の経路。
トップ100のWebアプリケーションとの互換性検証。

2. 既存DPGの分析

45のDPGスキーム（例：PwdHash）の調査により、一貫した重大な欠陥が明らかになった。

2.1 セキュリティとプライバシーの欠陥

マスタパスワードの露出： 単一の生成パスワードが侵害されると、マスタパスワードへの攻撃を直接容易にする可能性がある。
前方秘匿性/失効機能の欠如： すべてのサービスのマスタパスワードを変更することなく、特定のサービスのパスワードをローテーションできない。
利用パターンの漏洩： 単純なスキームでは、ユーザーがどのサービスにアカウントを持っているかが漏洩する可能性がある。

2.2 ユーザビリティの制限

ポリシー非互換性： 特定のウェブサイト要件（長さ、文字セット）を満たすパスワードを生成できない。
マルチファクター統合の欠如： 純粋にパスワードベースであり、マスタパスワードが侵害された場合の回復力に欠ける。

3. MFDPGの設計

MFDPGのアーキテクチャは、3つの核心的革新に基づいて構築されている。

3.1 マルチファクター鍵導出

MFDPGは、マルチファクター鍵導出関数（MFKDF）を使用して、記憶されたパスワード（$P$）、ハードウェアトークン（$T$）、生体認証要素（$B$）という複数のシークレットを結合する。導出される鍵$K$は以下の通り：

$K = \text{MFKDF}(P, T, B, \text{salt})$

これにより、いずれか単一の要素（例：フィッシングされたパスワード）が侵害されてもマスターキーは明らかにならず、パスワードのみのウェブサイトを効果的に強力なMFAをサポートするクライアント側システムにアップグレードする。

3.2 失効のためのカッコーフィルター

グローバルな変更なしに侵害されたサイトのパスワードローテーションを解決するため、MFDPGは確率的データ構造であるカッコーフィルターを使用する。このフィルターは、失効したサイト識別子（例：ハッシュ化されたドメイン＋反復カウンター）を保存する。パスワード生成中、システムはフィルターをチェックする。サイトがリストされている場合、内部カウンターをインクリメントし、新しいパスワードを導出する：$Password = \text{KDF}(K, \text{domain} || \text{counter})$。これにより、ユーザーアカウントの平文リストを保存することなく、サイトごとの失効が可能となる。

3.3 DFAベースのパスワード生成

任意の正規表現パスワードポリシー（例：^(?=.*[A-Z])(?=.*\d).{12,}$）に準拠するため、MFDPGはポリシーを決定性有限オートマトン（DFA）としてモデル化する。ジェネレーターはDFAを走査し、各状態遷移で暗号学的に安全なランダム選択を使用して、入力キーとドメインに基づいて決定論的でありながらポリシーに準拠したパスワードを生成する。

4. 評価と結果

MFDPGプロトタイプは、Alexaランキングによる最も人気のある100のウェブサイトとの互換性について評価された。

互換性結果

成功率： テストしたサイトの100%がMFDPGアルゴリズムで生成されたパスワードを受け入れた。
ポリシー処理： DFAベースのジェネレーターは、特殊文字、長さ、禁止シーケンスに関する複雑なルールを含む、遭遇したすべてのパスワードポリシーを満たすことに成功した。
パフォーマンス： パスワード生成時間は1秒未満であり、リアルタイムのユーザーインタラクションに適している。

チャートの説明： 棒グラフは、遭遇したパスワードポリシータイプの分布（例：「最小長のみ」、「大文字と数字必須」、「複雑な正規表現」）と、MFDPGの全カテゴリでの100%準拠を示すバーを表示し、ベースラインの単純ハッシュDPGの低いバーと対比させる。

5. 技術的詳細

鍵導出： 中核のセキュリティは、導出されたサイト固有のパスワードが漏洩した場合でもオフライン攻撃を防ぐため、OPAQUEや他の非対称PAKEプロトコルに基づくような強力なMFKDF設定に依存している。

DFA走査アルゴリズム（概念的）：

ウェブサイトのパスワードポリシーをDFA $A$としてエンコードする。
$\text{HMAC}(K, \text{domain})$でCSPRNGをシードする。
初期状態から開始し、CSPRNGを使用して有効な遷移（文字を出力）をランダムに選択し、次の状態に移行する。
受理状態に到達するまで繰り返し、最終的なシーケンスが$A$の言語における有効な単語であることを保証する。

これにより、同じ入力に対して決定論的な出力を保証しつつ、ポリシーを満たす。

6. アナリストの視点：核心的洞察、論理的流れ、強みと欠陥、実用的洞察

核心的洞察： MFDPGは単なる別のパスワードマネージャーではない。それは、Web認証の進化の遅さを戦略的に迂回するものである。本論文の真価は、問題の再定義にある：ウェブサイトがFIDO2やパスキーを採用するのを待つのではなく、MFDPGはユーザーがあらゆるレガシーなパスワードベースのサービスに対して、クライアント側で一方的にマルチファクターセキュリティを強制する力を与える。これにより、最も弱いリンクである再利用可能なパスワードが、ハードウェアと生体認証要素によって保護された、導出された使い捨てトークンへと変わる。これは、パスワードがすぐにはなくならないという現実的な認識に基づき、暗号学的に武装させなければならないという発想である。

論理的流れ： その主張は説得力がある。1) 現在のDPGは根本的に壊れている（マスターキー露出、ローテーションなし）。2) したがって、暗号学的に強化された基盤（MFKDF）が必要である。3) しかし、強化だけでは不十分であり、実用的な有用性（ポリシー準拠、失効）が必要である。4) 提案された解決策（カッコーフィルター、DFA走査）は、これらの有用性のギャップに直接的に狙いを定めている。5) 結果として得られるシステムは、DPGを修正するだけでなく、認証の状況全体を下から上へと密かにアップグレードする。論理は明快であり、各設計選択は文書化された欠陥への直接的なカウンターパンチである。

強みと欠陥： その強みは、エレガントなゼロ保存アーキテクチャと、段階的拡張能力にある。PwdHashのような先行システムの失敗から学んでいる。しかし、欠陥は導入モデルにある。重大な欠陥： ユーザーリカバリーは悪夢である。ハードウェアトークンを紛失したか？あなたはすべてのものから即座に締め出される。これは壊滅的な単一障害点であり、クラウドバックアップのリスクが穏やかに見えるほどである。本論文はこれを軽視している。さらに、そのセキュリティはMFKDFの実装に大きく依存しており、これは実装エラーが起こりやすい複雑な暗号プリミティブである。USENIX Security 2023のMFAスキーム分析が示すように、実世界のMFAシステムにはしばしば微妙な脆弱性がある。広範な採用には、その「ゼロ秘密保存」哲学とは相反する、間違いのないユーザーフレンドリーなリカバリーメカニズムが必要となるだろう。

実用的洞察： セキュリティチームにとって、MFDPGの核心概念は即座に価値がある。DFAベースのポリシー準拠生成は、サービスアカウントパスワードのために内部でパイロット実施できる。失効のためのカッコーフィルターの使用は、パスワードを超えて適用可能な巧妙なプライバシー保護技術である（例：トークンブロックリストの管理）。大きな教訓は、シークレットの保存とシークレットの導出を分離することである。金庫ではなく、複数の要素を暗号学的に単一の一時的な導出鍵に結合することを考えるべきだ。企業は、MFDPGが示唆しているが解決していない、ユーザーが保持する回復可能なマルチファクタートラストルートの研究開発に投資すべきである。未来はより良い金庫にあるのではなく、金庫を不要にすることにある。MFDPGはまさにその方向を指し示している。

7. 将来の応用と方向性

パスワードレス統合： MFDPGの導出されたサイト固有パスワードは、FIDO2のようなフローにおける「所有物」として機能し、パスワードとパスワードレスの世界を橋渡しする可能性がある。
分散型アイデンティティ： ゼロ保存、ユーザー中心のモデルは、Web3や分散型アイデンティティの原則（例：IETFのGNAP）と合致する。マスターマルチファクター鍵は、分散型識別子（DID）と証明を生成できる可能性がある。
エンタープライズシークレット管理： マシンアイデンティティに適応させ、中央ルートから異なるサービスに対する固有のAPIキー/シークレットを生成し、失効フィルターによる自動ローテーションを実現する。
研究の方向性： MFKDF+DFA+フィルターの結合システムに対する形式的セキュリティ証明の開発。耐量子MFKDF構成の探求。ゼロシークレットモデルを損なわない、人間的で安全なリカバリープロトコルの設計。

8. 参考文献

Nair, V., & Song, D. (年). MFDPG: Multi-Factor Authenticated Password Management With Zero Stored Secrets. 会議名.
Ross, B., Jackson, C., Miyake, N., Boneh, D., & Mitchell, J. C. (2005). Stronger Password Authentication Using Browser Extensions. USENIX Security Symposium. (PwdHash)
Ghalwash, H., et al. (2023). SoK: Multi-Factor Authentication. USENIX Security Symposium.
Jarecki, S., Krawczyk, H., & Xu, J. (2018). OPAQUE: An Asymmetric PAKE Protocol Secure Against Pre-Computation Attacks. EUROCRYPT.
Fan, B., Andersen, D. G., Kaminsky, M., & Mitzenmacher, M. (2014). Cuckoo Filter: Practically Better Than Bloom. CoNEXT.
FIDO Alliance. (2023). FIDO2: WebAuthn & CTAP Specifications. https://fidoalliance.org/fido2/