Uthibitishaji wa nenosiri la maandishi bado ndio njia kuu ya uthibitishaji wa mtumiaji licha ya mapungufu yake yanayojulikana. Kuenea kwa huduma za mtandaoni kumesababisha mzigo usioweza kudumu kwa watumiaji, ambao wanatarajiwa kuunda na kukumbuka idadi kubwa ya nenosiri thabiti, za kipekee. Karatasi hii inatangaza na kufafanua AutoPass, mpango wa kizazi cha nenosiri ulioundwa kushughulikia masuala muhimu ya usimamizi wa nenosiri kwa kuzalisha nenosiri thabiti maalum kwa tovuti kulingana na mahitaji, kutokana na mchango mdogo wa mtumiaji.
Sehemu hii inaweka mfano rasmi wa mipango ya vizazi vya nenosiri, ikivitofautisha na vizazi vya nenosiri vya nasibu tu. Mfano huu unafafanua mfumo unaoweza kuzalisha upya nenosiri kwa tovuti maalum wakati wowote unapohitajika, kulingana na seti ndogo ya siri za mtumiaji.
Kizazi cha nenosiri kinafafanuliwa kama mpango upande wa mteja unaorahisisha usimamizi wa nenosiri kwa kutoa nenosiri maalum kwa tovuti kulingana na mahitaji. Hitaji la msingi ni uwezo wa kurudiwa: mchango ule ule (siri ya mtumiaji + kitambulisho cha tovuti) lazima kila wakati uzalishe nenosiri lile lile la pato. Hii ni tofauti na wasimamizi wa nenosiri ambao huhifadhi nenosiri, kwani vizazi hivi huzizalisha kwa kutumia algorithm.
AutoPass ni kizazi cha nenosiri kinachozalishwa kulingana na mahitaji ambacho kinachanganya nguvu kutoka kwa mipango ya awali huku kikiingiza mbinu mpya za kushinda mapungufu yake. Michango yake ya msingi ni siri kuu ya mtumiaji na kitambulisho cha tovuti/huduma (k.m., jina la kikoa). Inatoa nenosiri thabiti, la bandia-linalofanana na tovuti hiyo maalum.
Uvumbuzi Muhimu: AutoPass inashughulikia wazi vikwazo vya ulimwengu halisi vilivyopuuzwa na wengi waliotangulia, kama vile mabadiliko ya nenosiri yanayolazimishwa, hitaji la kujumuisha nenosiri zilizobainishwa awali (k.m., maagizo ya kampuni), na kufuata sera tofauti za nenosiri maalum kwa tovuti (urefu, seti za herufi).
Mtiririko wa kazi wa AutoPass unajumuisha hatua kadhaa:
AutoPass inachambuliwa dhidi ya seti ya sifa zinazohitajika kwa vizazi vya nenosiri:
Karatasi hii inadai kuwa AutoPass inashughulikia vyema udhaifu uliopatikana katika mipango kama PwdHash (ufuataji mdogo wa sera) na SuperGenPass (ukosefu wa usaidizi wa mabadiliko).
AutoPass inawakilisha hatua muhimu mbele katika muundo wa vizazi vya nenosiri vinavyoweza kutekelezika. Kwa kubainisha rasmi mpango huo na kuchambua sifa zake dhidi ya mahitaji ya ulimwengu halisi, waandishi wanatoa mchoro wa zana ambayo inaweza kupunguza mzigo wa usimamizi wa nenosiri wa mtumiaji huku ikidumisha viwango vya juu vya usalama. Kazi ya baadaye inajumuisha utekelezaji, masomo ya watumiaji, na uthibitisho rasmi wa usalama.
AutoPass sio mpango mwingine tu wa nenosiri; ni utambuzi wa vitendo kwamba mfano wa nenosiri utaendelea kuwepo na kwamba vita halisi liko katika usimamizi, sio uingizwaji. Waandishi wamebainisha kwa usahihi kwwa mapendekezo ya awali ya kitaaluma mara nyingi yanashindwa katika ukweli mgumu wa sera za nenosiri za kampuni na upyaaji wa lazima. Ufahamu wao wa msingi ni kwamba kizazi lazima kiwe kitafsiri cha kriptografia kinachotambua sera, kikibadilisha siri moja kuwa vitambulisho vinavyofuata muktadha.
Mantiki ya karatasi hii ni safi kwa kustaajabisha: 1) Fafanua nafasi ya tatizo (maumivu ya mtumiaji/huduma), 2) Weka mfano rasmi wa kutathmini suluhu, 3) Tambua mapungufu katika mipango iliyopo, 4) Pendekeza muundo mseto (AutoPass) unaojaza mapungufu hayo kwa mbinu mpya kama vile uwekaji faharasa ya sera na vihesabu vya mabadiliko. Hii inakumbusha mbinu ya muundo katika kazi za msingi kama karatasi ya CycleGAN (Zhu et al., 2017), ambayo pia ilijenga mfano mpya kwa kubainisha wazi mapungufu ya mbinu za awali za kutafsiri picha-hadi-picha na kuyashughulikia kwa utaratibu.
Nguvu: Mwelekeo kwenye vikwazo vya ulimwengu halisi ndio kipengele chake kikuu. Muundo wa kiufundi wa kushughulikia mabadiliko ya nenosiri kupitia kihesabu rahisi ni mzuri. Hali yake ya upande wa mteja, ya algorithm pekee, inaepuka hatua moja ya kushindwa na matatizo ya usawazishaji ya wasimamizi wa nenosiri wanaotegemea wingu kama LastPass (kama ilivyoripotiwa katika matukio yaliyoripotiwa na blogu ya Krebs on Security).
Kasoro Muhimu: Udhaifu mkubwa wa karatasi hii ni ukosefu wa utekelezaji halisi, uliochunguzwa na uthibitisho rasmi wa usalama. Ni maelezo, sio zana iliyothibitishwa. Kutegemea sana siri kuu moja huunda hali ya kushindwa mbaya—ikiwa itatendewa vibaya, nenosiri zote zilizotolewa zitakosekana. Hii ni tofauti na vitambulisho vya vifaa au viwango vya FIDO2/WebAuthn, ambavyo vinatoa upinzani dhidi ya udanganyifu wa nenosiri. Zaidi ya hayo, kama ilivyobainishwa na watafiti wa NIST, kizazi chochote cha uthibitishaji kinakabiliwa na changamoto ikiwa sera ya nenosiri ya tovuti itabadilika kwa kurudi nyuma, na kwa uwezekano kuwafunga nje watumiaji.
Kwa timu za usalama: Mantiki ya AutoPass inafaa kuigwa kwa ajili ya zana za ndani za kusaidia wafanyikazi kusimamia mzunguko wa nenosiri uliolazimishwa bila kutumia vibandiko vya kukumbukiza. Dhana ya uwekaji faharasa ya sera inaweza kuunganishwa katika vyumba vya nenosiri vya makampuni.
Kwa watafiti: Hatua inayofuata lazima iwe uthibitisho rasmi wa kupunguza usalama, labda kwa kuiga kizazi kama Kazi ya Bandia (PRF). Masomo ya watumiaji ni muhimu—je, mtumiaji wa kawaida anaamini algorithm "kukumbuka" nenosiri lake? Mgogoro wa uwezo wa kutumia na usalama bado upo.
Kwa tasnia: Ingawa AutoPass ni kiraka chenye akili, haipaswi kuvuruga kutoka kwa dharura ya kuacha nenosiri kabisa. Inatumika kama usanifu bora wa mpito wakati FIDO2 na ufunguo wa nenosiri zinapokubalika. Fikiria kama mkongojo wa kriptografia—muhimu sasa, lakini lengo ni kuponya mguu uliovunjika (mfumo wa nenosiri wenyewe).
Kiini cha kriptografia cha AutoPass kinaweza kuchukuliwa kama kazi ya uthibitishaji. Acha:
Hatua ya msingi ya uzalishaji hutumia Kazi ya Utoaji wa Ufunguo (KDF) na Msimbo wa Uthibitishaji wa Ujumbe (MAC):
$ K = KDF(S, chumvi) $
$ R = HMAC(K, D \,||\, i \,||\, P) $
Ambapo $||$ inamaanisha kuunganisha.
Pato la ghafi $R$ (mnyororo wa baiti) halafu hubadilishwa na kazi ya uchoraji ramani inayofuata sera $M(P, R)$ ambayo inahakikisha nenosiri la mwisho lina aina za herufi zinazohitajika (herufi kubwa, herufi ndogo, nambari, alama) kwa njia ya uthibitishaji. Kwa mfano, $M$ inaweza kuchukua baiti kutoka $R$ modulo ukubwa wa seti ya herufi inayofuata sera ili kuchagua herufi, ikihakikisha angalau moja kutoka kila darasa linalohitajika.
Mfumo wa Kutathmini Vizazi vya Nenosiri:
Mfano wa Kufikiri (Hakuna Msimbo):
Fikiria mtumiaji, Alice. Siri yake kuu ni "BlueSky42!@#".
Hali ya 1 - Kuingia kwa mara ya kwanza kwenye `bank.com`:
Michango: $S$="BlueSky42!@#", $D$="bank.com", $i=0$, $P$="Sera_B: Herufi 12, aina zote za herufi".
AutoPass ndani yake huhesabu $R$ na kutumia $M(Sera_B, R)$ ili kutoa: `gH7@kL2!qW9#`.
Hali ya 2 - Mabadiliko yanayolazimishwa kwenye `bank.com` baada ya siku 90:
Michango ni sawa isipokuwa $i=1$. Pato jipya ni nenosiri tofauti kabisa, linalofuata sera: `T5!mR8@yV3#j`.
Hali ya 3 - Kuingia kwenye `news.site` kwa sera rahisi:
$D$="news.site", $i=0$, $P$="Sera_A: Herufi 8, herufi na nambari pekee".
Pato: `k9mF2nL8`.