Yaliyomo
1. Utangulizi
Ripoti zinazoendelea za uvujaji wa akaunti za wavuti na nenosiri zinaonyesha umuhimu mkubwa wa usalama wa habari na nenosiri. Ingawa udhaifu wa wavuti ni sababu, usalama wa asili wa nenosiri lenyewe ndio jambo la msingi. Mazoea ya kawaida ya nenosiri zisizo salama ni pamoja na nenosiri zinazotegemea maneno muhimu, matumizi ya misemo maarufu, kujumuisha taarifa za kibinafsi, na matumizi ya nenosiri moja kwa matumizi mbalimbali. Kuongezeka kwa AI na mifano mikubwa ya lugha kunaongeza uwezo wa washambuliaji kukisia nenosiri kwa ufanisi zaidi.
Utafiti huu unapendekeza kizazi salama cha nenosiri kikitegemea Vizazi Nasibu Bandia (PRNG) vilivyo na usalama wa kriptografia. Inajenga PRNG kwa kutumia Msimbo wa Uthibitishaji wa Ujumbe wenye Ufunguo (HMAC), Msimbo wa Uthibitishaji wa Ujumbe unaotegemea Siri (CMAC), au Msimbo wa Uthibitishaji wa Ujumbe wa KECCAK (KMAC) ili kuzalisha nambari nasibu salama, ambazo kisha hutumiwa kutengeneza nenosiri. Nasibu inayozalishwa inathibitishwa dhidi ya kiwango cha NIST SP 800-90B kupitia vipimo vya entropi na vipimo vya Kujitegemea na Kusambazwa Kwa Usawa (IID).
2. Ukaguzi wa Fasihi
2.1. Kizazi Nasibu Bandia Kikitegemea Kizazi cha Mstari wa Mlingano (LCG)
Vinavyotumika kwa kawaida katika lugha kama C na Java, LCG huzalisha mlolongo kupitia uhusiano wa kurudia: $f_i(k) \equiv a \times f_{i-1}(k) + c \ (\text{mod} \ m)$, ikianzishwa na $k$. Hizi hazina usalama kwani hali yake inaweza kubadilishwa nyuma: $f_{i-1}(k) \equiv (f_i(k) - c) \times a^{-1} \ (\text{mod} \ m)$, ikifichua kianzio na mlolongo wote.
2.2. Vizazi Nasibu Bandia Vilivyo na Usalama
PRNG za kriptografia zimeundwa kuwa zisizotabirika, hata wakati matokeo ya sehemu yanajulikana.
2.2.1. Kizazi Nasibu Bandia Kikitegemea HMAC
Usalama unategemea sifa ya njia moja ya vitendakazi vya hash (k.m., SHA2, SHA3). Kwa ufunguo $k$ na ujumbe $M$, HMAC inakokotolewa kama: $r_{hmac}(k, M) = h((k \oplus opad) \ || \ h((k \oplus ipad) \ || \ M))$. Hali ya hesabu (counter mode) hutumiwa kuzalisha vitalu vingi kwa matokeo marefu zaidi.
2.2.2. Kizazi Nasibu Bandia Kikitegemea CMAC
Usalama unategemea Kiwango cha Usimbuaji wa Juu (AES). Inafanya kazi katika hali ya Mnyororo wa Kizuizi cha Siri (CBC). Kizuizi cha mwisho cha siri baada ya usindikaji wa ujumbe uliojazwa hutumika kama MAC/matokeo: $r_{cmac}(k, Split(M))$.
2.2.3. Kizazi Nasibu Bandia Kikitegemea KMAC
Kikitegemea kitendakazi cha hash cha SHA-3 (KECCAK), KMAC hutoa matokeo yenye urefu unaobadilika na inachukuliwa kuwa mgombeaji mzuri wa kriptografia ya baada ya quantum.
2.3. Njia za Uthibitishaji wa Nasibu
NIST SP 800-90B hutoa njia za kutathmini vyanzo vya entropi. Kukadiria entropi hupima kutotabirika (entropi ya chini). Kupima IID huangalia ikiwa data ni huru na imesambazwa kwa usawa, dhana muhimu kwa vipimo vingi vya takwimu. Kupitisha hivi kunathibitisha ubora wa chanzo cha nasibu.
3. Kizazi Salama cha Nenosiri Kilichopendekezwa
Muundo wa mfumo unajumuisha: 1) Mtumiaji anaweza kutoa Ujumbe wa Kutahiniwa (TBHM). 2) PRNG ya kriptografia (inayotegemea HMAC/CMAC/KMAC) hutumia TBHM (na ufunguo) kuzalisha mkondo wa biti wenye entropi ya juu. 3) Mkondo huu wa biti hupelekwa kwenye seti ya herufi iliyobainishwa na mtumiaji (k.m., herufi na nambari + alama) ya urefu maalum ili kutoa nenosiri la mwisho. Usalama unachambuliwa kwa kulinganisha nafasi ya utafutaji ya nenosiri dhidi ya nguvu za ufunguo wa AES-128 na AES-256.
4. Majaribio na Matokeo
4.1. Usanidi wa Majaribio
Ilitekelezwa aina tatu za PRNG (HMAC-SHA256, CMAC-AES-128, KMAC256). Ilizalisha mlolongo mkubwa wa biti nasibu kwa ajili ya majaribio.
4.2. Matokeo ya Uthibitishaji wa Nasibu
Matokeo Muhimu: Miundo yote mitatu iliyopendekezwa ya PRNG (HMAC, CMAC, KMAC) ilifanikiwa kupitisha vipimo vyote vya uthibitishaji wa entropi na IID kulingana na NIST SP 800-90B. Hii inaonyesha kwa majaribio kwamba nambari zilizozalishwa zina nasibu ya kutosha na ubora wa takwimu kwa ajili ya kuzalisha nenosiri za kriptografia.
4.3. Uchambuzi wa Utendaji
Ufanisi wa hesabu ulitathminiwa. Ingawa njia zote zinawezekana, KMAC na HMAC zinaweza kuonyesha sifa tofauti za utendaji kulingana na jukwaa, na CMAC inayotegemea AES mara nyingi kuwa ya kasi zaidi kwenye vifaa vyenye uboreshaji wa AES.
5. Hitimisho na Kazi ya Baadaye
Makala haya yalionyesha mfumo wa kizazi salama cha nenosiri kilichojengwa kwenye PRNG za kriptografia (HMAC, CMAC, KMAC). Nasibu iliyozalishwa ilithibitishwa kwa kutumia viwango vya NIST, ikithibitisha ufaafu wake. Kazi ya baadaye ni pamoja na kuunganisha kizazi hiki kwenye viendelezi vya kivinjari au wasimamizi wa nenosiri, kuchunguza matumizi yake katika kuzalisha funguo za kriptografia zaidi ya nenosiri, na kujaribu uthabiti dhidi ya mashambulio mapya ya kukisia yanayotegemea AI.
6. Uchambuzi wa Asili & Maoni ya Mtaalamu
Uelewa wa Msingi: Makala haya si juu ya kuvumbua siri mpya; ni suluhisho la kiufundi, linalofuata viwango, kwa tatizo la kibinadamu linalojitokeza kila mahali: utengenezaji dhaifu wa nenosiri. Thamani yake ya msingi iko katika kutumia kwa usahihi misingi ya kriptografia iliyothibitishwa (HMAC, CMAC, KMAC) kama PRNG zinazopendekezwa na NIST na kuthibitisha matokeo kwa ukali—hatua ambayo mara nyingi hupitwa kwa haraka katika vizazi vya nenosiri vya "Jifanyie Mwenyewe". Katika enzi ambapo AI inaweza kuiga muundo wa data ya kibinafsi (kama inavyoonekana katika utafiti wa kukisia nenosiri unaotumia AI kama PassGAN), kubadilisha chanzo cha nasibu ya nenosiri kutoka kwa akili za kibinadamu hadi kwenye algoriti za kriptografia zilizothibitishwa ni uboreshaji wa usalama usioweza kubishaniwa.
Mtiririko wa Mantiki: Mantiki ni sahihi na inafuata kiolezo cha kawaida cha kriptografia inayotumika: 1) Kutambua udhaifu (nenosiri dhaifu zinazotengenezwa na binadamu). 2) Kuchagua zana sahihi za kriptografia zilizokaguliwa (PRNG za NIST SP 800-108). 3) Kujenga mfumo (kupeleka matokeo ya PRNG kwenye seti ya herufi). 4) Kuthibitisha sehemu ya msingi (matokeo ya PRNG kupitia NIST SP 800-90B). Njia hii inafanana na mazoea bora katika usanidi wa mifumo salama, sawa na jinsi maktaba za kisasa kama `libsodium` zinavyopendelea misingi thabiti, salama kwa chaguo-msingi.
Nguvu & Kasoro:
Nguvu: Uthibitishaji mkali wa NIST ndio sifa yenye nguvu zaidi ya makala, ikitoa uaminifu wa majaribio. Matumizi ya KMAC yanalingana na maandalizi ya baada ya quantum. Uingizaji wa hiari wa mtumiaji (TBHM) ni kipengele chenye busara, kinachoruhusu uzalishaji upya wa nenosiri lililobainishwa ikiwa ni lazima, bila kudhuru usalama ikiwa PRNG ni thabiti.
Kasoro: Kikomo kikuu cha makala ni upeo wake kama uthibitishaji wa dhana. Hakuna uchambuzi wa utekelezaji wa ulimwengu halisi unaoshughulikia njia za upande (mashambulio ya wakati wakati wa upelekaji), usimamizi salama wa ufunguo wa PRNG, na changamoto za kuunganishwa na sera zilizopo za nenosiri. Zaidi ya hayo, ingawa inalinganisha nguvu ya nenosiri na AES, haichambui kwa kina upotezaji wa entropi wakati wa mchakato wa upelekaji wa seti ya herufi, ambayo ni undani muhimu kwa nenosiri fupi.
Ufahamu Unaoweza Kutekelezeka: Kwa wataalamu wa usalama, hitimisho ni wazi: Acha kuwaruhusu watumiaji au vitendakazi vya nasibu visivyo na busara kuchagua nenosiri. Tekeleza kizazi cha nenosiri cha nyuma kama hiki kwa ajili ya "kusahau nenosiri" upya au usanidi wa awali wa mtumiaji. Uchaguzi maalum wa PRNG unaweza kubinafsishwa: tumia CMAC-AES kwa kasi kwenye seva za kawaida, KMAC kwa wasiwasi wa muda mrefu wa quantum. Muhimu zaidi, upitishaji wowote lazima ujumuishe usimamizi wa kianzio/ufunguo wa PRNG kwa ukali sawa na ufunguo wowote wa kriptografia. Kazi hii inapaswa kuunganishwa katika mifumo kama OWASP's Authentication Cheat Sheet kama muundo unaopendekezwa kwa ajili ya kuzalisha nenosiri salama.
7. Maelezo ya Kiufundi & Muundo wa Hisabati
Usalama unategemea muundo wa PRNG. Kwa HMAC:
$r_{hmac}(k, M) = h((k \oplus opad) \ || \ h((k \oplus ipad) \ || \ M))$
ambapo $h$ ni hash kama SHA-256, $ipad/opad$ ni viunga, na $k$ ndio ufunguo. Kwa ajili ya kuzalisha nenosiri, hesabu $i$ hujumuishwa kwenye $M_i$ ili kuzalisha vitalu vingi: $M_i = i || \text{Label} || 0x00 || \text{Context} || L$. Biti za matokeo kisha hubadilishwa kuwa faharasa ya nambari kamili ili kuchagua herufi kutoka kwenye seti $C$ ya ukubwa $N$: $\text{index} = \text{random_bits} \mod N$.
8. Mfumo wa Uchambuzi & Mfano wa Kesi
Hali: Huduma ya wavuti inahitaji kuzalisha nenosiri lenye nguvu la herufi 12 kwa akaunti mpya ya mtumiaji.
Utumiaji wa Mfumo:
1. Bainisha Vigezo: Seti ya herufi $C$ = herufi 94 za ASCII zinazoweza kuchapishwa. Urefu $L=12$. Uchaguzi wa PRNG: HMAC-SHA256.
2. Zalisha Nasibu: Kusanya entropi kwa kianzio $k$. Tumia TBHM = "serviceX_user123". Tumia PRNG inayotegemea HMAC katika hali ya hesabu ili kutoa $\lceil log_2(94^{12}) \rceil \approx 79$ biti za entropi.
3. Peleka kwenye Nenosiri: Tumia mkondo wa biti 79 kuzalisha faharasa 12, kila moja ikichagua herufi kutoka $C$.
4. Ukaguzi wa Uthibitishaji: Entropi ya nenosiri lililozalishwa ni ~78.5 biti, inayolinganishwa na ufunguo wa ulinganifu wa ~80 biti, lenye nguvu zaidi kuliko nenosiri lolote lililochaguliwa na binadamu.
Mchakato wa Kazi bila Msimbo: Mchakato huu unaweza kufungwa ndani ya wito la API la upande wa seva, ukificha kabisa kriptografia kutoka kwa mtumiaji wa mwisho.
9. Matumizi ya Baadaye & Mwelekeo
1. Kiini cha Msimamizi wa Nenosiri: Unganisha kizazi hiki kama injini ya msingi ya utengenezaji wa nenosiri katika wasimamizi wa nenosiri wa chanzo huria na wa kibiashara (k.m., Bitwarden, 1Password).
2. Mpito wa Baada ya Quantum: Uzalishaji unaotegemea KMAC ni suluhisho tayari kwa ajili ya kuzalisha nenosiri na ishara zinazostahimili quantum, kama ilivyopendekezwa na mradi wa NIST wa Kriptografia ya Baada ya Quantum.
3. IoT & Usalama Ulioingizwa: Toleo nyepesi la CMAC-AES linaweza kuzalisha nenosiri za kipekee za kifaa na funguo za API katika mazingira yenye vikwazo.
4. Blockchain & Web3: Zalisha vyanzo vya msingi vya misemo ya kukumbukwa, salama na nasibu, kwa ajili ya pochi za fedha za kriptografia kwa kutumia chanzo cha nasibu kinachoweza kuthibitishwa.
5. Uwekaji wa Viwango: Pendekeza njia hii kwa mashirika ya viwango kama IETF au FIDO kwa ajili ya kujumuishwa katika itifaki za uthibitishaji za kizazi kijacho.
10. Marejeo
- M. Bishop, "Usalama wa Kompyuta: Sanaa na Sayansi", Addison-Wesley, 2018.
- NIST, "Uchapishaji Maalum 800-63B: Mwongozo wa Utambulisho Dijitali", 2017.
- M. L. Mazurek na wengine, "Kupima Uwezekano wa Kukisia Nenosiri kwa Chuo Kikuu Kizima", IEEE S&P, 2013.
- B. Ur na wengine, "Nenosiri Lako Linapima Vipi? Athari ya Vipima Nguvu kwenye Uundaji wa Nenosiri", USENIX Security, 2012.
- NIST, "Uchapishaji Maalum 800-108: Mapendekezo ya Kutoa Funguo Kwa Kutumia Vitendakazi Bandia vya Nasibu", Toleo la 1, 2022.
- NIST, "Uchapishaji Maalum 800-90B: Mapendekezo ya Vyanzo vya Entropi Vinavyotumika Kwa Kizazi cha Biti Nasibu", 2018.
- J. Kelsey, B. Schneier, D. Wagner, "Matumizi Salama ya Funguo zenye Entropi ya Chini", ISW, 1997.
- FIPS PUB 202, "Kiwango cha SHA-3: Vitendakazi vya Hash na Matokeo Vinavyopanuka Vinavyotegemea Mpangilio", 2015.
- B. Hitaj na wengine, "PassGAN: Njia ya Kujifunza Kina ya Kukisia Nenosiri", Warsha ya NeurIPS, 2017.
- D. J. Bernstein na wengine, "Athari ya Usalama ya Kizazi Kipya cha Nasibu cha Kriptografia", 2020.