MFDPG: إدارة كلمات المرور المعتمدة على المصادقة متعددة العوامل مع عدم تخزين أي أسرار

1. مقدمة

لا تزال كلمات المرور تمثل عامل المصادقة الأساسي لمعظم تطبيقات الويب، ومع ذلك فإن هجمات حشو بيانات الاعتماد واختراقات البيانات لا تزال تلاحق المستخدمين. تقدم مديرو كلمات المرور السحابية مثل LastPass وDashlane الراحة ولكنها تخلق نقاط فشل مركزية. تم اقتراح مولدات كلمات المرور الحتمية (DPGs) كبديل، حيث تقوم بتوليد كلمات مرور فريدة لكل نطاق دون تخزين أسرار. ومع ذلك، أعاق اعتمادها عيوب في الأمان والخصوصية وسهولة الاستخدام. تحلل هذه الورقة 45 من مولدات كلمات المرور الحتمية الحالية وتقدم MFDPG، وهو مولد كلمات مرور حتمي متعدد العوامل يعالج هذه القصور.

2. جدول المحتويات

3. تحليل مولدات كلمات المرور الحتمية الحالية

قام المؤلفون بمسح 45 من مولدات كلمات المرور الحتمية الحالية، وتصنيفها حسب بدائيات التشفير الأساسية ونماذج التشغيل الخاصة بها. يكشف التحليل عن ثلاث فئات رئيسية من المشكلات.

3.1 مشكلات الأمان

تسمح معظم مولدات كلمات المرور الحتمية بمهاجمة كلمة المرور الرئيسية للمستخدم مباشرة إذا تم اختراق أي كلمة مرور مولدة. وذلك لأن كلمة المرور الرئيسية غالبًا ما تكون المدخل الوحيد لدالة التجزئة. بالإضافة إلى ذلك، تفتقر العديد من المخططات إلى السرية التوجيهية، مما يعني أن اختراق كلمة المرور الرئيسية يعرض جميع كلمات المرور السابقة والمستقبلية للخطر.

3.2 مشكلات الخصوصية

يمكن لمولدات كلمات المرور الحتمية التي تتطلب مكونًا من جانب الخادم أو خدمة مزامنة أن تسرب قائمة النطاقات التي يزورها المستخدم. حتى مولدات كلمات المرور الحتمية من جانب العميل قد تسرب المعلومات من خلال القنوات الجانبية أو من خلال بنية كلمات المرور المولدة.

3.3 مشكلات سهولة الاستخدام

يعتبر تدوير كلمة المرور أمرًا مرهقًا في معظم مولدات كلمات المرور الحتمية، حيث يتطلب تغيير كلمة المرور تذكر رقم الإصدار أو استخدام كلمة مرور رئيسية مختلفة. غالبًا لا يتم دعم سياسات كلمات المرور المعقدة (مثل طلب أحرف خاصة، طول أدنى)، مما يؤدي إلى حالات فشل متكررة في تسجيل الدخول.

4. تصميم MFDPG

يعالج MFDPG المشكلات المذكورة أعلاه من خلال ثلاثة ابتكارات رئيسية: اشتقاق المفتاح متعدد العوامل، ومرشحات الوقواق للإبطال، وتوليد كلمات المرور القائم على الأتمتة المحدودة الحتمية.

4.1 اشتقاق المفتاح متعدد العوامل

بدلاً من الاعتماد فقط على كلمة مرور رئيسية، يدمج MFDPG عوامل إضافية مثل رمز مادي (مثل YubiKey) أو كلمة مرور لمرة واحدة قائمة على الوقت (TOTP). يتم اشتقاق السر الرئيسي باستخدام دالة اشتقاق المفتاح (KDF) التي تجمع بين جميع العوامل:

$K = \text{KDF}(P, T, H)$

حيث $P$ هي كلمة المرور الرئيسية، و $T$ هي قيمة TOTP، و $H$ هو سر الرمز المادي. يضمن هذا أن اختراق كلمة المرور الرئيسية وحدها غير كافٍ لتوليد كلمات المرور.

4.2 مرشح الوقواق للإبطال

لدعم تدوير كلمة المرور دون تسريب استخدام الخدمة، يستخدم MFDPG مرشح الوقواق - وهو بنية بيانات احتمالية مدمجة - لتخزين إصدارات كلمات المرور الملغاة. يتم تخزين المرشح محليًا ويمكن الاستعلام عنه للتحقق مما إذا كان إصدار معين قد تم إلغاؤه. يتجنب هذا الحاجة إلى قاعدة بيانات من جانب الخادم ويحافظ على الخصوصية.

4.3 الامتثال لسياسة كلمة المرور عبر الأتمتة المحدودة الحتمية

يستخدم MFDPG أتمتة محدودة حتمية (DFA) لنمذجة سياسة كلمة المرور لكل موقع ويب. تضمن الأتمتة المحدودة الحتمية أن كلمات المرور المولدة تفي بجميع متطلبات السياسة (مثل حرف كبير واحد على الأقل، رقم واحد، حرف خاص واحد). تجتاز خوارزمية التوليد الأتمتة المحدودة الحتمية لإنتاج كلمة مرور صالحة بشكل حتمي.

5. التقييم والنتائج

تم تقييم MFDPG مقابل أكثر 100 تطبيق ويب شيوعًا. تظهر النتائج توافقًا بنسبة 100% مع سياسات كلمات المرور الحالية. تشير معايير الأداء إلى أن توليد كلمة المرور يستغرق أقل من 10 مللي ثانية في المتوسط، ويتطلب مرشح الوقواق 1.5 كيلوبايت فقط من التخزين لـ 1000 إصدار ملغى. يضيف اشتقاق المفتاح متعدد العوامل عبئًا ضئيلًا يبلغ 2 مللي ثانية.

6. الرؤية الأساسية، التدفق المنطقي، نقاط القوة والضعف، الرؤى القابلة للتنفيذ

الرؤية الأساسية

يعيد MFDPG التفكير بشكل جذري في إدارة كلمات المرور من خلال إلغاء الحاجة إلى تخزين أي أسرار - لا على العميل ولا على الخادم. هذا تحول نموذجي عن نموذج الخزنة المركزية الحالي. الرؤية الرئيسية هي أنه من خلال الجمع بين عوامل مصادقة متعددة عند نقطة توليد كلمة المرور، يمكنك تحقيق أمان الرمز المادي دون الحاجة إلى دعم من جانب الخادم.

التدفق المنطقي

تتبع الورقة تقدمًا منطقيًا واضحًا: أولاً، تحدد إخفاقات مولدات كلمات المرور الحتمية الحالية من خلال مسح شامل؛ ثانيًا، تقترح تصميمًا يعالج كل فشل بشكل مباشر؛ ثالثًا، تتحقق من صحة التصميم من خلال تقييم دقيق. التدفق استنتاجي، ينتقل من المشكلات العامة إلى الحلول المحددة.

نقاط القوة والضعف

نقاط القوة: النهج متعدد العوامل هو ابتكار حقيقي يرفع بشكل كبير من مستوى التحدي للمهاجمين. استخدام مرشحات الوقواق للإبطال هو أسلوب أنيق يحافظ على الخصوصية. الامتثال للسياسة القائم على الأتمتة المحدودة الحتمية هو حل عملي لمشكلة سهولة الاستخدام الطويلة الأمد.

نقاط الضعف: لا تتناول الورقة تجربة المستخدم في إدارة رموز مادية متعددة. الاعتماد على مرشح وقواق محلي يعني أن بيانات الإبطال لا تتم مزامنتها عبر الأجهزة، مما قد يمثل مشكلة للمستخدمين الذين لديهم أجهزة متعددة. التقييم، على الرغم من شموليته، يقتصر على أفضل 100 موقع ويب وقد لا يعمم على جميع تطبيقات الويب.

الرؤى القابلة للتنفيذ

للممارسين، يقدم MFDPG مسارًا عمليًا للتخلص من خزائن كلمات المرور. للباحثين، تفتح الورقة عدة مجالات: تحسين مزامنة بيانات الإبطال، واستكشاف بنى بيانات بديلة للإبطال، وتوسيع النهج متعدد العوامل لسياقات مصادقة أخرى. الرؤية الأكثر فورية وقابلة للتنفيذ هي أن أي مؤسسة تستخدم حاليًا مدير كلمات مرور سحابي يجب أن تقيم MFDPG كبديل أكثر أمانًا.

7. التحليل الأصلي

يمثل MFDPG خطوة مهمة إلى الأمام في السعي لإدارة كلمات مرور قابلة للاستخدام وآمنة. المساهمة الأساسية للورقة - إلغاء الأسرار المخزنة من خلال اشتقاق المفتاح متعدد العوامل - تعالج بشكل مباشر نقطة الفشل المركزية التي ابتليت بها مديرو كلمات المرور السحابية. هذا يذكرنا بالتحول من الأنظمة المركزية إلى اللامركزية الذي شوهد في مجالات أخرى، مثل الانتقال من بنيات خادم-عميل إلى نظير-لنظير (مثل BitTorrent). استخدام مرشحات الوقواق للإبطال هو أمر ذكي بشكل خاص، حيث يوفر آلية تحافظ على الخصوصية تتجنب الحاجة إلى قاعدة بيانات من جانب الخادم. يتماشى هذا مع التركيز المتزايد على التقنيات التي تحافظ على الخصوصية، كما أبرزته اللائحة العامة لحماية البيانات (GDPR) للاتحاد الأوروبي.

ومع ذلك، فإن تقييم الورقة محدود إلى حد ما. في حين أن أفضل 100 موقع ويب تمثل جزءًا كبيرًا من نشاط المستخدم، إلا أنها قد لا تكون ممثلة للذيل الطويل لمواقع الويب التي يزورها المستخدمون بالفعل. بالإضافة إلى ذلك، لا تتناول الورقة سهولة استخدام إدارة رموز مادية متعددة، والتي قد تكون عائقًا أمام الاعتماد. لا تزال تجربة المستخدم في إعداد واستخدام رمز مادي مرهقة للمستخدم العادي، كما لوحظ في دراسات أجراها المعهد الوطني للمعايير والتقنية (NIST).

من منظور تقني، يعتبر توليد كلمة المرور القائم على الأتمتة المحدودة الحتمية حلاً قويًا لمشكلة سياسة كلمة المرور. ومع ذلك، لا تناقش الورقة تعقيد بناء الأتمتة المحدودة الحتمية لكل موقع ويب. عمليًا، سيتطلب هذا قاعدة بيانات لسياسات كلمات المرور، والتي يمكن صيانتها بواسطة المجتمع أو بواسطة مطوري MFDPG. هذا تحدي هندسي غير تافه.

في الختام، MFDPG هو نظام مصمم جيدًا يعالج العديد من أوجه القصور في مولدات كلمات المرور الحتمية الحالية. نهجه متعدد العوامل واستخدام مرشحات الوقواق هما ابتكاران حقيقيان. ومع ذلك، ستستفيد الورقة من تقييم أكثر شمولاً ومناقشة التحديات العملية للنشر. قد يكمن مستقبل إدارة كلمات المرور في أنظمة مثل MFDPG التي تلغي الأسرار المخزنة، ولكن لا يزال هناك عمل كبير لجعل هذه الأنظمة قابلة للاستخدام للشخص العادي.

8. التفاصيل التقنية والصياغة الرياضية

جوهر MFDPG هو دالة اشتقاق المفتاح متعدد العوامل. لتكن $P$ هي كلمة المرور الرئيسية، و $T$ هي قيمة TOTP في الوقت $t$، و $H$ هو سر الرمز المادي. يتم اشتقاق المفتاح الرئيسي $K$ على النحو التالي:

$K = \text{PBKDF2}(P \oplus T \oplus H, \text{salt}, \text{iterations})$

حيث $\oplus$ يشير إلى XOR. كلمة المرور للنطاق $d$ مع الإصدار $v$ هي:

$\text{Password} = \text{DFA-Generate}(\text{HMAC-SHA256}(K, d || v), \text{policy})$

تأخذ دالة DFA-Generate بذرة عشوائية زائفة وأتمتة محدودة حتمية تمثل سياسة كلمة المرور، وتخرج كلمة مرور صالحة. يخزن مرشح الوقواق الزوج $(d, v)$ لكل إصدار كلمة مرور ملغى. يدعم المرشح الإدراج والبحث في وقت $O(1)$.

9. دراسة حالة: مثال على تطبيق MFDPG عمليًا

لنفترض مستخدمة تدعى أليس تريد إدارة كلمات مرورها باستخدام MFDPG. لديها كلمة مرور رئيسية "MySecureP@ss1" وYubiKey بسر "YubiSecret123". تزور موقع ويب، example.com، والذي يتطلب كلمة مرور تحتوي على 8 أحرف على الأقل، وحرف كبير واحد، ورقم واحد، وحرف خاص واحد.

1. تدخل أليس كلمة المرور الرئيسية وتوصل YubiKey الخاص بها.
2. يحسب MFDPG قيمة TOTP (مثل "847291") ويشتق المفتاح الرئيسي: $K = \text{PBKDF2}(\text{MySecureP@ss1} \oplus 847291 \oplus \text{YubiSecret123}, \text{salt}, 10000)$.
3. يولد MFDPG كلمة المرور لـ example.com باستخدام الأتمتة المحدودة الحتمية للسياسة: $\text{Password} = \text{DFA-Generate}(\text{HMAC-SHA256}(K, \text{example.com} || 1), \text{policy})$.
4. كلمة المرور المولدة هي، على سبيل المثال، "A8b!cD2e".
5. إذا غيرت أليس كلمة مرورها لاحقًا، فإنها تزيد رقم الإصدار إلى 2 وتضيف الإصدار القديم (example.com, 1) إلى مرشح الوقواق.

10. التطبيقات والاتجاهات المستقبلية

يفتح MFDPG عدة مجالات مثيرة للبحث والتطوير المستقبلي. أولاً، يمكن توسيع اشتقاق المفتاح متعدد العوامل ليشمل عوامل بيومترية، مثل بصمة الإصبع أو التعرف على الوجه، مما يعزز الأمان بشكل أكبر. ثانيًا، يمكن استبدال مرشح الوقواق ببنية بيانات أكثر تقدمًا، مثل مرشح بلوم مع دعم الحذف، لتحسين الكفاءة. ثالثًا، يمكن تعميم توليد كلمة المرور القائم على الأتمتة المحدودة الحتمية لدعم سياسات كلمات مرور عشوائية، بما في ذلك تلك التي تتطلب أنماطًا محددة (مثل عدم وجود أحرف متتالية).

من منظور عملي، يمكن دمج MFDPG في متصفحات الويب كإضافة، مما يوفر إدارة سلسة لكلمات المرور دون الحاجة إلى تطبيق منفصل. يمكن استخدامه أيضًا في بيئات المؤسسات لفرض سياسات كلمات مرور قوية عبر جميع التطبيقات. نموذج عدم تخزين الأسرار جذاب بشكل خاص للمؤسسات الخاضعة للوائح حماية البيانات الصارمة، مثل HIPAA أو PCI-DSS.

أخيرًا، يمكن تطبيق المبادئ الأساسية لـ MFDPG على سياقات مصادقة أخرى، مثل إدارة مفاتيح SSH أو توليد رموز API. فكرة اشتقاق الأسرار من عوامل متعددة دون تخزينها هي فكرة قوية يمكن أن تحول الطريقة التي نفكر بها في المصادقة.

11. المراجع

1. V. Nair and D. Song, "MFDPG: Multi-Factor Authenticated Password Management With Zero Stored Secrets," UC Berkeley, 2023.
2. B. Ross et al., "PwdHash: A Browser-Based Password Manager," in USENIX Security Symposium, 2005.
3. J. Bonneau et al., "The Quest to Replace Passwords: A Framework for Comparative Evaluation of Web Authentication Schemes," in IEEE Symposium on Security and Privacy, 2012.
4. D. Florencio and C. Herley, "A Large-Scale Study of Web Password Habits," in WWW, 2007.
5. NIST, "Digital Identity Guidelines," NIST Special Publication 800-63B, 2017.
6. European Union, "General Data Protection Regulation (GDPR)," 2016.
7. B. Fan et al., "Cuckoo Filter: Practically Better Than Bloom," in CoNEXT, 2014.
8. M. Bellare et al., "Key Derivation Functions and Their Uses," in CRYPTO, 1999.
9. J. Kelsey et al., "PBKDF2: Password-Based Key Derivation Function 2," RFC 2898, 2000.
10. D. M'Raihi et al., "TOTP: Time-Based One-Time Password Algorithm," RFC 6238, 2011.