被害を受けた資格情報のチェック用プロトコル

概要

クレデンシャルスタッフィング攻撃を防止するため、業界のベストプラクティスは現在、ユーザーの資格情報が既知のデータ漏洩に含まれているかどうかを事前にチェックすることが標準となっています。最近、HaveIBeenPwned (HIBP) や Google Password Checkup (GPC) などのウェブサービスが、漏洩したパスワードをチェックするための API を提供し始めました。このようなサービスを、被害を受けた資格情報チェック (C3) サービスと呼びます。私たちは初めて C3 サービスの形式的な説明を提供し、異なる設定や運用要件を詳細に説明し、関連する脅威モデルを提示します。 ユーザーがチェック中のパスワードの機密性は、重要なセキュリティ要件です。現在広く導入されている C3 サービスでは、ユーザーがパスワードのハッシュ値の小さなプレフィックスを共有します。私たちは、このようなプロトコルの漏洩を実証的に分析するためのフレームワークを提供し、ある状況ではハッシュプレフィックスを知ることでリモート推測攻撃の効果が12倍になることを示します。ユーザーのパスワードをより強力に保護する2つの新しいプロトコルを提案し、実装して実験的に検証し、それが導入可能なことを示します。