Tathmini ya Usalama ya Meneja wa Nenosiri ya Kivinjari: Uundaji, Uhifadhi, na Kujaza Otomatiki

1. Utangulizi

Uthibitishaji kwa kutumia nenosiri bado ndio njia kuu ya uthibitishaji mtandaoni licha ya changamoto za usalama zilizorekodiwa vyema. Watumiaji wanakabiliwa na mzigo wa kiakili wanaposimamia nenosiri nyingi zenye nguvu, na kusababisha matumizi ya nenosiri moja mara kwa mara na uundaji wa nenosiri dhaifu. Meneja wa nenosiri wanaahidi kupunguza matatizo haya kwa kuzalisha, kuhifadhi, na kujaza otomatiki nenosiri. Hata hivyo, udhaifu mkubwa umebainishwa katika tafiti zilizopita, hasa katika meneja wa nenosiri ya kivinjari. Utafiti huu unakagua meneja 13 maarufu wa nenosiri miaka mitano baada ya tafiti kuu zilizopita ili kubaini ikiwa usalama umeboreshwa.

2. Mbinu ya Utafiti

Utafiti huu unakagua meneja kumi na tatu wa nenosiri katika hatua tatu za mzunguko wa maisha: uzalishaji, uhifadhi, na kujaza otomatiki. Mkusanyiko unajumuisha nenosiri milioni 147 zilizozalishwa kwa ajili ya uchambuzi. Mbinu inachanganya:

Uchambuzi wa takwimu wa nasibu ya nenosiri
Urejesho wa majaribio ya usalama wa uhifadhi yaliyopita
Kupima udhaifu wa utaratibu wa kujaza otomatiki
Uchambuzi wa kulinganisha kati ya viendelezi vya kivinjari, vinjari vilivyojumuishwa, na programu za mteja za kompyuta

3. Uchambuzi wa Uzalishaji wa Nenosiri

Uchambuzi wa kwanza kamili wa uzalishaji wa nenosiri katika meneja wa nenosiri unaonyesha matatizo makubwa ya nasibu na usalama.

3.1. Uchambuzi wa Usambazaji wa Herufi

Uchambuzi wa nenosiri milioni 147 zilizozalishwa unaonyesha usambazaji wa herufi usio wa nasibu katika meneja kadhaa wa nenosiri. Baadhi ya utekelezaji unaonyesha upendeleo kuelekea aina fulani za herufi au nafasi, na hivyo kupunguza entropi bora.

3.2. Uchunguzi wa Entropi na Nasibu

Nguvu ya nenosiri hupimwa kwa kutumia entropi ya Shannon: $H = -\sum_{i=1}^{n} P(x_i) \log_2 P(x_i)$, ambapo $P(x_i)$ ni uwezekano wa herufi $x_i$. Meneja kadhaa walizalisha nenosiri zilizo na entropi ya chini kuliko inavyotarajiwa, hasa kwa nenosiri fupi (<10 herufi).

4. Usalama wa Uhifadhi wa Nenosiri

Tathmini ya jinsi meneja wa nenosiri wanavyolinda hati za kihisani zilizohifadhiwa inaonyesha maboresho na udhaifu unaoendelea.

4.1. Utekelezaji wa Usimbuaji

Meneja wengi hutumia usimbuaji wa AES-256 kwa ajili ya uhifadhi wa nenosiri. Hata hivyo, kazi za utengenezaji wa ufunguo na mazoea ya usimamizi wa ufunguo hutofautiana sana, na baadhi ya utekelezaji hutumia vigezo dhaifu vya utengenezaji wa ufunguo.

4.2. Ulinzi wa Metadata

Uvumbuzi muhimu: meneja kadhaa wa nenosiri huhifadhi metadata (URL, majina ya watumiaji, alama za wakati) bila kusimbwa au kwa ulinzi dhaifu kuliko nenosiri zenyewe, na hivyo kuunda udhaifu wa faragha na uchunguzi.

5. Udhaifu wa Utaratibu wa Kujaza Otomatiki

Kipengele cha kujaza otomatiki, kilichoundwa kwa ajili ya urahisi, kinaanzisha maeneo makubwa ya mashambulizi ambayo bado hayajatatuliwa kikamilifu.

5.1. Mashambulizi ya Kuvizia Kubonyeza (Clickjacking)

Meneja wengi wa nenosiri bado wana udhaifu wa mashambulizi ya kuvizia kubonyeza ambapo tovuti zenye nia mbaya huweka vipengele visivyoonekana juu ya sehemu halali za nenosiri, na kukamata hati za kihisani bila ufahamu wa mtumiaji.

5.2. Uingizaji wa Msimbo wa Tovuti Nyingine (XSS)

Licha ya maboresho tangu tafiti zilizopita, utaratibu wa kujaza otomatiki wa meneja wengine unaweza kutumiwa kupitia mashambulizi ya XSS, na kuruhusu uchimbaji wa hati za kihisani kutoka kwa tovuti halali zilizoharibiwa.

6. Matokeo ya Majaribio

Matatizo ya Uzalishaji wa Nenosiri

Meneja 3 kati ya 13 walionyesha usambazaji wa herufi usio wa nasibu wenye umuhimu wa kitakwimu

Udhaifu wa Uhifadhi

Meneja 5 walihifadhi metadata kwa usimbuaji usiotosha

Udhaifu wa Kujaza Otomatiki

Meneja 4 walikuwa na udhaifu wa mashambulizi ya kuvizia kubonyeza

Uboreshaji wa Jumla

Usalama umeboreshwa tangu 2015 lakini matatizo makubwa bado yapo

Uvumbuzi Muhimu:

Udhaifu wa Nenosiri Fupi: Nenosiri fupi kuliko herufi 10 zilizozalishwa na meneja wengine zilikuwa na udhaifu wa mashambulizi ya kukisia mtandaoni
Upungufu wa Entropi: Utekelezaji kadhaa haukuweza kufikia entropi ya juu zaidi ya kinadharia
Mipangilio Chaguomsingi Isiyo Salama: Meneja wengine walitoka na mipangilio chaguomsingi isiyo salama
Usimbuaji wa Sehemu: Metadata muhimu mara nyingi ilipokea ulinzi dhaifu kuliko nenosiri

Maelezo ya Chati: Usambazaji wa Nguvu ya Nenosiri

Uchambuzi ulifunua usambazaji wa pande mbili wa nguvu ya nenosiri zilizozalishwa. Takriban 70% ya nenosiri zilikidhi au zilizidi miongozo ya NIST SP 800-63B kwa entropi ya chini (bits 20 kwa siri zilizokumbukwa). Hata hivyo, 30% ilishuka chini ya kizingiti hiki, na kikundi kinachowasumbua cha nenosiri kati ya herufi 8-12 kikionyesha kupungua kwa entropi kutokana na vikomo vya seti ya herufi na upendeleo wa algorithm ya uzalishaji.

7. Mfumo wa Uchambuzi wa Kiufundi

Mfano wa Mfumo wa Uchambuzi: Tathmini ya Entropi ya Nenosiri

Utafiti ulitumia mfumo wa tathmini wenye tabaka nyingi:

Uchambuzi wa Kiwango cha Herufi: Usambazaji wa mzunguko wa kila nafasi ya herufi kwa kutumia majaribio ya $\chi^2$ dhidi ya usambazaji sare
Uchambuzi wa Mlolongo: Uchambuzi wa mnyororo wa Markov kugundua mlolongo wa herufi unaotabirika
Hesabu ya Entropi: Hesabu ya entropi ya kimajaribio kwa kutumia: $H_{empirical} = -\sum_{p \in P} \frac{count(p)}{N} \log_2 \frac{count(p)}{N}$ ambapo $P$ ni seti ya nenosiri za kipekee na $N$ ni jumla ya nenosiri
Uigaji wa Mashambulizi: Uigaji wa mashambulizi ya nguvu na ya kamusi kwa kutumia seti za kanuni za Hashcat na John the Ripper

Uchunguzi wa Kesi: Ugunduzi wa Usambazaji Usio wa Nasibu

Kwa meneja mmoja wa nenosiri, uchambuzi ulifunua kuwa herufi maalum zilionekana kwa uwiano usiofaa katika nafasi mbili za mwisho za nenosiri zenye herufi 12. Uchunguzi wa takwimu ulionyesha $\chi^2 = 45.3$ na $p < 0.001$, ikionyesha mkengeuko mkubwa kutoka kwa nasibu. Muundo huu unaweza kupunguza nafasi bora ya nenosiri kwa takriban 15% kwa mashambulizi yanayolengwa.

8. Matumizi ya Baadaye & Mwelekeo

Mapendekezo ya Haraka:

Tekeleza vizalishi vya nambari nasibu salama vya kriptografia (CSPRNG) kwa uzalishaji wote wa nenosiri
Tumia nguvu sawa ya usimbuaji kwa metadata na nenosiri
Tekeleza kujaza otomatiki yenye ufahamu wa muktadha na uthibitisho wa mtumiaji kwa tovuti nyeti
Kubali usanifu wa kutojua chochote ambapo mtoa huduma hawezi kufikia data ya mtumiaji

Mwelekeo wa Utafiti:

Ulinzi wa Kujifunza kwa Mashine: Unda miundo ya ML kugundua muundo usio wa kawaida wa kujaza otomatiki unaoonyesha mashambulizi
Uthibitisho Rasmi: Tumia mbinu rasmi kuthibitisha sifa za usalama za meneja wa nenosiri
Ujumuishaji wa Vifaa: Tumia moduli za usalama za vifaa (HSMs) na mazingira salama ya utekelezaji (TEEs)
Kriptografia ya Baada ya Quantum: Jiandae kwa vitisho vya kompyuta za quantum kwa viwango vya sasa vya usimbuaji
Biometriki ya Tabia: Unganisha mienendo ya kubonyeza kibodi na uchambuzi wa mwendo wa kipanya kwa sababu za ziada za uthibitishaji

Athari ya Sekta:

Matokeo yanaonyesha hitaji la vyeti vya kawaida vya usalama kwa meneja wa nenosiri, sawa na FIPS 140-3 kwa moduli za kriptografia. Meneja wa nenosiri wa baadaye wanaweza kubadilika kuwa majukwaa kamili ya usimamizi wa hati za kihisani yanayounganisha njia za uthibitishaji bila nenosiri kama WebAuthn huku wakidumisha utangamano wa nyuma.

9. Marejeo

Oesch, S., & Ruoti, S. (2020). That Was Then, This Is Now: A Security Evaluation of Password Generation, Storage, and Autofill in Browser-Based Password Managers. USENIX Security Symposium.
Li, Z., He, W., Akhawe, D., & Song, D. (2014). The Emperor's New Password Manager: Security Analysis of Web-based Password Managers. USENIX Security Symposium.
Silver, D., Jana, S., Boneh, D., Chen, E., & Jackson, C. (2014). Password Managers: Attacks and Defenses. USENIX Security Symposium.
National Institute of Standards and Technology. (2017). Digital Identity Guidelines: Authentication and Lifecycle Management. NIST SP 800-63B.
Goodin, D. (2019). Why password managers have inherent weaknesses. Ars Technica.
Florêncio, D., & Herley, C. (2007). A large-scale study of web password habits. Proceedings of the 16th international conference on World Wide Web.
Bonneau, J. (2012). The science of guessing: analyzing an anonymized corpus of 70 million passwords. IEEE Symposium on Security and Privacy.
Veras, R., Collins, C., & Thorpe, J. (2014). On the semantic patterns of passwords and their security impact. NDSS Symposium.

Mtazamo wa Mchambuzi: Kitendawili cha Usalama wa Meneja wa Nenosiri

Uelewa wa Msingi

Kitendawili cha msingi kilichofunuliwa na utafiti huu ni wazi: meneja wa nenosiri, walioundwa kama suluhisho la usalama, wamekuwa njia za mashambulizi wenyewe. Miaka mitano baada ya tathmini ya Li et al. ya 2014, tunaona maboresho kidogo lakini sio usalama wa kubadilika. Mwelekeo wa sekta kwenye urahisi umeshinda usalama mara kwa mara, na kuunda kile ninachokiita "mtego wa kubadilishana urahisi na usalama." Hii inafanana na matokeo katika nyanja zingine za usalama kama karatasi ya CycleGAN (Zhu et al., 2017), ambapo kuboresha kwa lengo moja (ubora wa tafsiri ya picha) mara nyingi hukomoa nyingine (utulivu wa mafunzo).

Mtiririko wa Kimantiki

Mbinu ya karatasi inafunua kasoro muhimu katika jinsi tunavyotathmini zana za usalama. Kwa kuchunguza uzalishaji, uhifadhi, na kujaza otomatiki kama mifumo iliyounganishwa badala ya vipengele vilivyotengwa, watafiti wanaonyesha udhaifu wa kimfumo. Uvumbuzi unaowasumbusha zaidi sio udhaifu wowote mmoja, lakini muundo: meneja wengi wanashindwa katika kategoria nyingi. Hii inaonyesha mapengo ya sekta nzima, hasa kuhusu ulinzi wa metadata na usalama wa kujaza otomatiki. Uchambuzi wa mkusanyiko wa nenosiri milioni 147 unatoa nguvu ya kipekee ya takwimu—hii sio ushahidi wa maelezo bali uthibitisho madhubuti wa kihesabu wa matatizo ya kimfumo.

Nguvu & Kasoro

Nguvu: Mbinu kamili ya mzunguko wa maisha ni ya kielelezo. Mara nyingi sana, tathmini za usalama hulenga usimbuaji wa uhifadhi huku zikipuuza uzalishaji na kujaza otomatiki. Ukali wa takwimu katika uchambuzi wa nenosiri unaweka kiwango kipya kwa uwanja huu. Ulinganisho kati ya meneja 13 unatoa taarifa ya thamani ya soko kuhusu ni utekelezaji upi ulio na kasoro za msingi dhidi ya upi unao na matatizo yanayoweza kurekebishwa.

Kasoro Muhimu: Kikomo kikuu cha utafiti ni hali yake ya picha moja. Usalama ni wa nguvu, na meneja kadhaa waliochunguzwa wanaweza kuwa wamekosoa udhaifu baada ya utafiti. Muhimu zaidi, utafiti haushughulikii vya kutosha mambo ya kibinadamu—jinsi watumiaji halisi wanavyosanidi (au kusaidia vibaya) zana hizi. Kama miongozo ya NIST inasisitiza, usalama ambao hauwezi kutumika hautatumika. Karatasi pia inakosa fursa ya kulinganisha meneja wa kivinjari dhidi ya programu za kujitegemea, ambazo mara nyingi zina usanifu tofauti wa usalama.

Uelewa Unaoweza Kutekelezwa

Makampuni yanapaswa mara moja: 1) Kukagua ni meneja gani wa nenosiri wafanyikazi wanatumia, 2) Kuunda orodha zilizoidhinishwa kulingana na matokeo ya utafiti huu, 3) Tekeleza sera zinazohitaji usimbuaji wa metadata yote, na 4) Zima kujaza otomatiki kwa akaunti zenye thamani kubwa. Kwa watengenezaji, ujumbe ni wazi: acha kutibu uzalishaji wa nenosiri kama kipengele cha pili. Kama hesabu za entropi zinaonyesha ($H_{empirical}$ chini sana kuliko kiwango cha juu zaidi cha kinadharia), utekelezaji mwingi hutumia uzalishaji dhaifu wa nambari nasibu. Kufuata mazoea bora ya kriptografia kutoka kwa vyanzo vya mamlaka kama RFC 8937 ya IETF kuhusu mahitaji ya nasibu kwa usalama haikubaliani.

Baadaye sio kuhusu kurekebisha meneja wa sasa wa nenosiri lakini kuwazia upya. Tunahitaji usanifu ambao hutoa uthibitisho wa kutojua chochote wa sifa za usalama, labda kukopa kutoka kwa utaratibu wa uthibitishaji wa blockchain. Sekta inapaswa kuunda viwango vya wazi vya uthibitishaji wa usalama wa meneja wa nenosiri, sawa na jinsi Muungano wa FIDO uliweka viwango vya uthibitishaji bila nenosiri. Hadi wakati huo, watumiaji wanakabiliwa na ukweli mgumu: zana zilizokusudiwa kuwalinda zinaweza kudhoofisha usalama wao.