Might I Get Pwned: 第2世代の不正認証情報チェックサービス

概要

認証情報詐称攻撃は、盗まれたパスワードを使用して被害者のアカウントにログインしようとします。このような攻撃に対抗するため、最近導入された不正認証情報チェック（C3）サービスは、ユーザーおよび企業がユーザー名とパスワードのペアが漏洩しているかを確認するためのAPIを提供しています。ただし、これらのサービスは正確なパスワードが漏洩しているかどうかのみをチェックするため、認証情報の変種攻撃——ユーザーの漏洩したパスワードの変種を使用してアカウントを乗っ取ろうとする試み——には対処できません。最近の研究では、認証情報詐称対策が導入されている場合でも、認証情報の変種攻撃がアカウントをかなり効果的に乗っ取ることができるということが示されています。 認証情報の変種攻撃からユーザーを保護するC3サービスの開発を開始しました。この問題の核心的な課題は、漏洩したパスワードに類似するパスワードを特定する方法を模索することです。ただし、これは誠実なクライアントのプライバシーを保証し、悪意のあるクライアントがサービスからブレーチデータを抽出できないようにすることも必要です。私たちはこの問題を形式化し、効果性、パフォーマンス、セキュリティのバランスを取ったパスワード類似性の測定方法を探求しました。この研究に基づき、「Might I Get Pwned（MIGP）」という新たなブレーチアラートサービスを設計しました。シミュレーションの結果、MIGPは最新の1000回の推測による認証情報の変種攻撃の効果を94%減少させることを示しました。MIGPはユーザーのプライバシーを保証し、機密ブレーチエントリの暴露を制限します。プロトコルが高速であることを示し、応答時間は既存のC3サービスとほぼ同等です。私たちはCloudflareと協力して、MIGPを実際の運用に導入しました。