1. परिचय
यह शोधपत्र पासवर्ड सुरक्षा के विमर्श में एक मूलभूत कमी को संबोधित करता है: "पासवर्ड सुरक्षा" की एक कठोर परिभाषा का अभाव। यह तर्क देता है कि वर्तमान दृष्टिकोण प्रायः अनौपचारिक हैं और हमलावर की रणनीति का हिसाब नहीं रखते। लेखक संभावित अनुमानित हमलों की दक्षता पर आधारित एक मानक मापदंड प्रस्तावित करते हैं, जो ध्यान को पासवर्ड की विशेषताओं से हटाकर हमले की विशेषताओं पर केंद्रित करता है।
2. वर्तमान स्थिति
शोधपत्र पासवर्ड सुरक्षा की वर्तमान स्थिति की "मध्ययुगीन चिकित्सा जितनी ही निराशाजनक" के रूप में आलोचना करता है, और ब्रूस श्नाइयर के इस अवलोकन का हवाला देता है कि अधिकांश सलाह विश्लेषण के बजाय अनौपचारिक अनुभवों पर आधारित है। यह हाल के साहित्य [3] में उल्लिखित, पासवर्ड डेटासेट की सुरक्षा मापने के लिए एक संतोषजनक विधि के अभाव को रेखांकित करता है। सामान्य पासवर्ड सुरक्षा मीटरों को "नकल" मापने वाले के रूप में खारिज किया गया है, न कि बुद्धिमान हमलों के प्रति वास्तविक प्रतिरोध मापने वाले के रूप में।
3. मूल अंतर्दृष्टि एवं तार्किक प्रवाह
मूल अंतर्दृष्टि: पासवर्ड सुरक्षा वर्णों की एक स्ट्रिंग का कोई अंतर्निहित गुण नहीं है; यह एक संबंधपरक गुण है जिसे पूर्णतः हमलावर की अनुमान रणनीति द्वारा परिभाषित किया जाता है। रक्षक का लक्ष्य शून्य में एक "मजबूत पासवर्ड" बनाना नहीं है, बल्कि ऐसा पासवर्ड बनाना है जो एक तर्कसंगत प्रतिद्वंद्वी द्वारा अपनाई जा सकने वाली संभावित हमला रणनीतियों के समुच्चय के विरुद्ध खराब प्रदर्शन करे।
तार्किक प्रवाह: तर्क औपचारिक सटीकता के साथ आगे बढ़ता है:
- एक अनुमानित हमले को उम्मीदवार पासवर्डों की एक क्रमबद्ध सूची (शब्दकोश) के रूप में परिभाषित करें।
- सिद्ध करें कि कोई भी दो हमले केवल इस सूची के क्रम में भिन्न होते हैं।
- निष्कर्ष निकालें कि किसी विशिष्ट हमले के विरुद्ध एक पासवर्ड की सुरक्षा, उस हमले के शब्दकोश में उसकी स्थिति (रैंक) है।
- चूँकि रक्षक सटीक हमला क्रम नहीं जान सकता, उसे संभावित हमलों के एक समुच्चय पर विचार करना चाहिए।
- अतः, रक्षक के लिए सुरक्षा का मापदंड, हमलों के इस समुच्चय में पासवर्ड की स्थिति का प्रत्याशित मान है।
4. शक्तियाँ एवं कमियाँ
शक्तियाँ:
- वैचारिक कठोरता: पासवर्ड सुरक्षा की पहली औपचारिक, हमला-केंद्रित परिभाषा प्रदान करता है, जो अनुमानित नियमों से आगे बढ़ती है।
- खेल सिद्धांत आधार: पासवर्ड चयन को एक रणनीतिक अंतःक्रिया के रूप में सही ढंग से प्रस्तुत करता है, जो सुरक्षा हेतु खेल सिद्धांत जैसे आधुनिक सुरक्षा विश्लेषण के अनुरूप है।
- त्रुटिपूर्ण अनुमानों को उजागर करता है: अनुमानित पैटर्न उत्पन्न करने वाली, अनुपालन-केंद्रित नीतियों (जैसे, "एक संख्या और प्रतीक अवश्य शामिल करें") को प्रभावी ढंग से खारिज करता है।
कमियाँ एवं सीमाएँ:
- गणनात्मक दुर्गमता: मूल मापदंड—सभी संभावित हमलों में प्रत्याशित रैंक की गणना—बड़े पासवर्ड स्थानों के लिए गणनात्मक रूप से अव्यवहार्य है। यह एक सैद्धांतिक आदर्श है, वास्तविक-समय सुरक्षा मीटरों के लिए एक व्यावहारिक उपकरण नहीं।
- मुख्य वास्तविकताओं का अभाव: मॉडल असीमित प्रयासों वाले एक "ऑफ़लाइन अनुमान" हमले को मानता है, जो दर-सीमित करने, खाता लॉकआउट और ऑनलाइन पहचान प्रणालियों को नज़रअंदाज़ करता है जो हमलावर की रणनीति को मूल रूप से बदल देती हैं।
- हमला समुच्चय पर कोई मार्गदर्शन नहीं: शोधपत्र की महत्वपूर्ण छलांग—"संभावित हमलों के समुच्चय" को परिभाषित करना—अपर्याप्त रूप से वर्णित है। एक रक्षक व्यावहारिक रूप से इस समुच्चय का मॉडल कैसे बनाए? यही समस्या का मूल है।
5. क्रियान्वयन योग्य अंतर्दृष्टियाँ
सुरक्षा व्यवसायियों के लिए, यह शोधपत्र एक प्रतिमान परिवर्तन अनिवार्य करता है:
- नकल मापना बंद करें: ऐसे पासवर्ड मीटरों को त्याग दें जो केवल वर्ण वर्गों की जाँच करते हैं। वे उपयोगकर्ताओं को ऐसे पासवर्ड बनाने का प्रशिक्षण देते हैं जो मीटर के विरुद्ध मजबूत हैं, न कि हमलावर के विरुद्ध।
- नियमों में नहीं, वितरणों में सोचें: प्रतीकों को अनिवार्य करने के बजाय, उपयोगकर्ताओं को उच्च एन्ट्रॉपी वाले वितरण से पासवर्ड चुनने के लिए प्रोत्साहित करें जो सामान्य हमला शब्दकोशों के साथ मेल खाने की संभावना नहीं रखता (जैसे, डाइसवेयर या पासवर्ड मैनेजर का उपयोग करके)।
- अपने प्रतिद्वंद्वी का मॉडल बनाएँ: महत्वपूर्ण प्रणालियों के लिए, संभावित हमला रणनीतियों (जैसे, ब्रूट-फ़ोर्स, पिछले उल्लंघनों पर आधारित शब्दकोश, लक्षित व्यक्तिगत जानकारी) को परिभाषित करने हेतु खतरा मॉडलिंग करें। पासवर्ड नीतियों को उन विशिष्ट रणनीतियों को विफल करने के लिए अनुकूलित करें।
- अनिश्चितता को अपनाएँ: स्वीकार करें कि सही सुरक्षा माप असंभव है। लक्ष्य हमलावर के लिए लागत और अनिश्चितता बढ़ाना है, न कि एक सही स्कोर प्राप्त करना।
6. तकनीकी ढाँचा
6.1 औपचारिक हमला मॉडल
शोधपत्र एक अनुमानित हमले $A$ को उम्मीदवार पासवर्डों के एक क्रमित अनुक्रम (शब्दकोश) $D_A = (w_1, w_2, w_3, ...)$ के रूप में मॉडल करता है, जहाँ $w_i$ एक सीमित वर्णमाला का एक शब्द है। हमलावर सफलता तक इसी क्रम में पासवर्ड आज़माता है। हमला "ऑफ़लाइन" है, अर्थात इंटरफ़ेस तत्काल सफलता/विफलता प्रतिक्रिया प्रदान करता है और कोई सीमा नहीं है।
6.2 गणितीय सूत्रीकरण
मान लीजिए $p$ एक विशिष्ट पासवर्ड है। किसी दिए गए हमले $A$ के लिए, $p$ की सुरक्षा को $D_A$ में उसकी रैंक के रूप में परिभाषित किया गया है: $$S_A(p) = \text{rank}_A(p)$$ जहाँ $\text{rank}_A(p) = i$ यदि $p = w_i \in D_A$.
चूँकि रक्षक सटीक $A$ नहीं जानता, वह संभावित हमलों के एक समुच्चय $\mathcal{A}$ पर विचार करता है। तब मानक पासवर्ड सुरक्षा $C(p)$ प्रत्याशित रैंक है: $$C(p) = \mathbb{E}_{A \sim \mathcal{A}}[\,S_A(p)\,] = \sum_{A \in \mathcal{A}} P(A) \cdot \text{rank}_A(p)$$ जहाँ $P(A)$ समुच्चय $\mathcal{A}$ से हमले $A$ को निर्दिष्ट संभावना (या संभाव्यता) है। यह सूत्रीकरण सुरक्षा को हमलावर की रणनीति के बारे में रक्षक की धारणा से सीधे जोड़ता है।
7. प्रायोगिक परिणाम एवं विश्लेषण
वैचारिक प्रयोग एवं निहितार्थ: हालाँकि शोधपत्र स्वयं सॉफ़्टवेयर रन से प्राप्त अनुभवजन्य डेटा प्रस्तुत नहीं करता, यह एक विचार प्रयोग के माध्यम से अपने मॉडल की आवश्यकता को तार्किक रूप से प्रदर्शित करता है। यह दर्शाता है कि दो पासवर्ड, "Password123!" और "xQ37!z9pLm", लंबाई और वर्ण विविधता की जाँच करने वाले एक सरल मीटर से समान स्कोर प्राप्त कर सकते हैं। हालाँकि, "Password123!" की एक ब्रूट-फ़ोर्स हमला क्रम में बहुत कम रैंक (उच्च सुरक्षा) होगी, लेकिन एक शब्दकोश हमले में जो सामान्य आधार शब्दों और पैटर्न को प्राथमिकता देता है, उसमें अत्यधिक उच्च रैंक (निम्न सुरक्षा) होगी। मानक माप $C(p)$, दोनों हमला प्रकारों का औसत निकालकर, यादृच्छिक स्ट्रिंग की तुलना में "Password123!" की वास्तविक कमजोरी को प्रकट करेगा।
चार्ट व्याख्या (वैचारिक): कल्पना कीजिए एक बार चार्ट जो पासवर्डों के एक नमूने के लिए तीन पासवर्ड मूल्यांकन विधियों की तुलना करता है:
- विधि A (सरल मीटर): "Password123!" और "xQ37!z9pLm" को समान रूप से मजबूत दर्शाता है।
- विधि B (शब्दकोश हमला रैंक): "Password123!" को बहुत कमजोर (कम रैंक संख्या) और "xQ37!z9pLm" को मजबूत (उच्च रैंक संख्या) दर्शाता है।
- विधि C (मानक माप $C(p)$): एक भारित औसत दर्शाता है। "Password123!" का स्कोर शब्दकोश हमलों में उसकी उच्च संभावना के कारण गिर जाता है, जबकि यादृच्छिक स्ट्रिंग का उच्च स्कोर बना रहता है। यह चार्ट दृश्य रूप से तर्क देगा कि $C(p)$ वास्तविक दुनिया की क्रैक करने की क्षमता के साथ बेहतर सहसंबंध रखता है।
8. विश्लेषण ढाँचा: केस स्टडी
परिदृश्य: एक कंपनी की पासवर्ड नीति आवश्यकता है: "कम से कम 12 वर्ण, जिसमें बड़े अक्षर, छोटे अक्षर, एक संख्या और एक प्रतीक शामिल हो।"
पारंपरिक विश्लेषण: "Summer2024!$" जैसा पासवर्ड नीति पास करता है और एक सामान्य मीटर से "मजबूत" रेटिंग प्राप्त करता है।
मानक माप विश्लेषण:
- हमला समुच्चय $\mathcal{A}$ परिभाषित करें:
- $A_1$: सामान्य शब्दों ("Summer"), ऋतुओं, वर्षों और सामान्य प्रतीक प्रत्ययों ("!$") का उपयोग करने वाला शब्दकोश हमला। संभावना: उच्च (0.7)।
- $A_2$: कंपनी नाम, कर्मचारी जानकारी का उपयोग करने वाला लक्षित हमला। संभावना: बल्क हमले के लिए कम (0.1)।
- $A_3$: 12-वर्ण स्थान पर पूर्ण ब्रूट-फ़ोर्स। संभावना: अत्यंत कम (0.001)।
- $A_4$: समान कंपनियों के पिछले उल्लंघनों के पासवर्डों का उपयोग करने वाला हमला। संभावना: मध्यम (0.199)।
- रैंकों का अनुमान लगाएँ:
- $\text{rank}_{A1}("Summer2024!$")$: बहुत कम (जैसे, शीर्ष 1 करोड़ में)।
- $\text{rank}_{A2}(p)$: यदि लक्षित हो तो कम हो सकता है।
- $\text{rank}_{A3}(p)$: बहुत उच्च (~$95^{12}$)।
- $\text{rank}_{A4}(p)$: यदि पैटर्न सामान्य है तो संभावित रूप से कम।
- $C(p)$ की गणना करें: प्रत्याशित रैंक उच्च-संभाव्यता वाले शब्दकोश हमले $A_1$ से प्रभावित होती है, जिसके परिणामस्वरूप एक कम मानक सुरक्षा स्कोर प्राप्त होता है, जो नीति की विफलता को उजागर करता है।
9. भविष्य के अनुप्रयोग एवं दिशाएँ
- अनुकूली पासवर्ड नीतियाँ: प्रणालियाँ गतिशील नीतियाँ बनाने के लिए मानक ढाँचे का उपयोग कर सकती हैं। स्थिर नियमों के बजाय, एक बैकएंड सेवा वर्तमान खतरा बुद्धिमत्ता (जैसे, नए लीक हुए शब्दकोश) के आधार पर $\mathcal{A}$ का अनुमान लगा सकती है और उस अद्यतन मॉडल के विरुद्ध कम $C(p)$ स्कोर वाले पासवर्डों को अस्वीकार कर सकती है।
- पासवर्ड मैनेजर एकीकरण: पासवर्ड मैनेजर इसे लागू करने के लिए आदर्श हैं। वे $\mathcal{A}$ का एक स्थानीय मॉडल (वैश्विक उल्लंघन डेटा और अनुमानित नियमों पर आधारित) बनाए रख सकते हैं और $C(p)$ को अधिकतम करने वाले पासवर्ड उत्पन्न करने के लिए इसका उपयोग कर सकते हैं। यह सैद्धांतिक मॉडल को एक व्यावहारिक, उपयोगकर्ता-पारदर्शी सुरक्षा वृद्धि में बदल देता है।
- औपचारिक सुरक्षा प्रमाण: यह मॉडल शैक्षणिक साहित्य में पासवर्ड जनन एल्गोरिदम की सुरक्षा गुणों को औपचारिक रूप से सिद्ध करने के लिए एक आधार प्रदान करता है, जैसे कि एन्क्रिप्शन एल्गोरिदम का विश्लेषण किया जाता है।
- संकर खतरा मॉडल: भविष्य के कार्यों को मानक माप को वास्तविक दुनिया की बाधाओं जैसे दर-सीमित करने के साथ एकीकृत करना चाहिए। तब हमला समुच्चय $\mathcal{A}$ में न केवल पासवर्ड क्रम शामिल होंगे, बल्कि समय और खातों में अनुमान वितरित करने की रणनीतियाँ भी शामिल होंगी।
- $\mathcal{A}$ के लिए मशीन लर्निंग: प्रमुख खुली समस्या—हमला समुच्चय को परिभाषित करना—एमएल के साथ संबोधित की जा सकती है। प्रणालियाँ वास्तविक क्रैकिंग प्रयासों और लीक हुए पासवर्डों पर मॉडल प्रशिक्षित कर सकती हैं ताकि रणनीतियों पर संभाव्यता वितरण $P(A)$ को लगातार सीखा और अद्यतन किया जा सके, जिससे हमलावरों के लिए एक चलती लक्ष्य बन जाए।
10. संदर्भ
- Panferov, E. (2016). A Canonical Password Strength Measure. arXiv:1505.05090v4 [cs.CR].
- Schneier, B. (2007). Schneier on Security. Wiley.
- Bonneau, J. (2012). The Science of Guessing: Analyzing an Anonymized Corpus of 70 Million Passwords. IEEE Symposium on Security and Privacy.
- Shannon, C. E. (1948). A Mathematical Theory of Communication. The Bell System Technical Journal.
- Florêncio, D., & Herley, C. (2007). A Large-Scale Study of Web Password Habits. Proceedings of the 16th International Conference on World Wide Web.
- Ur, B., et al. (2015). Do Users' Perceptions of Password Security Match Reality? Proceedings of the 2015 CHI Conference on Human Factors in Computing Systems.
- NIST Special Publication 800-63B (2017). Digital Identity Guidelines: Authentication and Lifecycle Management.
- Wang, D., et al. (2016). The Tangled Web of Password Reuse. NDSS Symposium 2016.