Select Language

Ulinzi wa Siri wa Kuvunja Nenosiri: Itifaki ya Kupata Hash Salama

Uchambuzi wa itifaki ya 3PC inayowezesha uvunjaji wa hashi ya nenosiri na mtu wa tatu bila kufichua hashi au maandishi wazi, kwa kutumia usimbuaji wa prediketi na hashi za udanganyifu.
strongpassword.org | Ukubwa wa PDF: MB 4.6
Upimaji: 4.5/5
★ ★ ★ ★ ★
Ukadirio Wako
Tayari umekadiria hati hii
Jalada la PDF - Uvunjaji wa Nenosiri Lililohifadhi Usiri: Itifaki ya Urejeshaji Salama wa Hashi
Angalia PDF Pakua PDF Tafsiri PDF
Nyumbani » Documentation » Ulinzi wa Siri wa Kuvunja Nenosiri: Itifaki ya Kupata Hash Salama

Orodha ya Yaliyomo

Utangulizi

Nenosiri bado ndio njia kuu ya kuthibitisha utambulisho wa mtumiaji licha ya juhudi za tasnia kuelekea suluhisho zisizo na nenosiri. Kuhifadhi hash za nenosiri ni desturi ya kawaida, lakini kujaribu nguvu zao kupitia kuvunja kunahitaji rasilimali nyingi. Kupeleka kazi hii kwa seva za watu wengine kunaleta hatari kubwa za faragha, kwani hash digest na maandishi yaliyopatikana tena yanafichuliwa. Karatasi hii inatangaza Itifaki ya Kuvunja Nenosiri ya Kulinda Faragha (3PC), ambayo inaruhusu mteja kutumia uwezo wa kompyuta wa mtu mwingine kwa kuvunja hash bila kufichua hash lengwa au nenosiri linalotokana.

Itifaki ya 3PC

Itifaki ya 3PC imeundwa kutatua tatizo la uaminifu katika uvunjaji wa nenosiri uliotolewa nje. Uvumbuzi wake wa msingi upo katika kuruhusu mtu wa tatu kufanya kazi ngumu ya kompyuta hali ya kujifunza chochote kuhusu data halisi ya mteja.

2.1 Core Mechanism & Predicate Function

Itifaki hiyo imejengwa juu ya dhana ya usimbaji fiche wa predicate, iliyobadilishwa kwa ajili ya kazi za hash. Mteja hatumii $H(p)$ lengo moja kwa moja. Badala yake, anatuma anonymity set containing the real hash mixed with $k-1$ carefully constructed decoy hashes. The third-party server's role is to crack all hashes katika seti hii kwa kutumia kamusi ya nenosiri iliyotolewa au seti ya sheria.

Ufunguo ni kitendakazi cha prediketi $f$. Seva inatathmini nenosiri la mgombea $p'$ dhidi ya kila hash katika seti ya utambulisho. Kitendakazi kinafafanuliwa kiasi kwamba $f(H(p'), H_i) = 1$ ikiwa na tu ikiwa $H(p')$ inalingana na hash $H_i$ katika seti. Seva inarudisha seti ya manenosiri ya wagombea ambayo yanakidhi $f=1$ kwa yoyote hash katika seti, bila kujua ni hash gani maalum (halisi au decoy) ambayo mechi ilipatikana.

2.2 Decoy Hash Generation & Anonymity Set

Kuzalisha decoys zinazowezekana ni muhimu kwa usalama. Decoy hashes lazima ziwe zisitofautishwe na hash halisi kwa seva. Karatasi inapendekeza kuzalisha decoys kutoka kwa usambazaji unaolingana na nafasi ya matokeo ya kazi ya hash lengwa (mfano, NTLM, SHA-256). Hii inahakikisha $k$-utambulisho kwa hash halisi. Mteja hudumisha ukweli unaoweza kukanushwa, kwani hata mteji hawezi kuthibitisha kriptografia ni hash gani ilikuwa lengo la asili baada ya kuwasilisha seti.

Ufahamu Muhimu

  • Faragha Kupitia Usiri Katika Seti: Usalama unatokana na kuficha hash halisi miongoni mwa viwango vya kuwadanganya, sio kutokana na usimbaji wa kawaida wa hash yenyewe.
  • Mabadiliko ya Mzigo wa Uhesabuji: Mzigo wa mteja upo katika kuzalisha seti ya kutokujulikana; kazi nzito ya mashambulizi ya nguvu kavu/ya orodha ya maneno imetolewa nje kabisa.
  • Ahadi ya Kutafuta kwa Muda Thabiti: Itifaki inadai kuruhusu wakati wa kutafuta usioegemea ukubwa wa seti ya kutokujulikana $k$, ukiwa na kikomo tu na IOPS za seva.

3. Technical Implementation & Analysis

3.1 Msingi wa Kihisabati

The protocol's security can be modeled probabilistically. Let $S$ be the anonymity set of size $k$, containing one real hash $H_r$ and $k-1$ decoys $H_{d1}...H_{d(k-1)}$. The probability that the server correctly guesses the real hash after observing the set and the cracking results is at most $1/k$, assuming perfect decoys.

Uvujaji wa habari $\mathcal{L}$ kwa seva unaweza kupimwa kwa kutumia min-entropy: $\mathcal{L} \leq -\log_2(1/k) = \log_2(k)$ bits. Mteja anaweza kudhibiti uvujaji kwa kurekebisha $k$. Tathmini ya kitendakazi cha prediketi kwa mgombea $p'$ kwenye hash zote $k$ inaweza kuwakilishwa kama vekta: $\vec{R} = [f(H(p'), H_1), f(H(p'), H_2), ..., f(H(p'), H_k)]$. Mwingiliano kwenye yoyote nafasi hurudisha $p'$ kwa mteja.

3.2 Performance & Scalability

Karatasi inasema kuwa kikwazo kikuu sio shughuli za usimbuaji lakini shughuli za kuingiza/kutoa kwa sekunde (IOPS) za usanidi wa kuvunja wa seva (mfano, upana wa ukumbi wa GPU/FPGA). Kwa kuwa seva lazima ijaribu kila nenosiri linalowezekana dhidi ya visimbaji vyote $k$, kipengele cha kazi kinaongezeka kwa mstari kwa nadharia ($O(k)$). Hata hivyo, kwa kutumia usindikaji mzuri wa kundi kwenye vifaa vinavyofanana, kupungua kwa ufanisi kunaweza kupunguzwa, kukaribia utafutaji unaodaiwa "wakati-mara kwa mara" kwa thamani za vitendo $k$.

4. Experimental Results & Chart Description

Waandishi walitekeleza uthibitisho-wa-dhana kwenye usanidi wa FPGA. Ingawa takwimu maalum za utendaji hazijaelezewa kwa kina katika sehemu iliyotolewa, karatasi inadai kuonyesha uwezekano wa itifaki hiyo.

Chati ya Utendaji ya Kubuniwa (Kulingana na Maelezo ya Itifaki): Chati ya mstari ingaweza kuonyesha "Kasi Bora ya Kuvunja" kwenye mhimili wa Y (k.m., hashes/second) dhidi ya "Ukubwa wa Seti ya Kutojulikana (k)" kwenye mhimili wa X. Mkunjo wa shambulio la kitamaduni kwenye hash moja ingekuwa mstari wa juu, ulio sawa. Mkunjo wa Itifaki ya 3PC ingeonyesha kushuka kadri k inavyoongezeka, lakini mteremko ungekuwa mwenye mwinuko mdogo kuliko makadirio ya mstari ya kawaida kwa sababu ya usindikaji bora wa kundi kwenye FPGA/GPU. Mstari wa tatu unaweza kuwakilisha "Kikomo cha Juu cha Kinadharia (Kikomo cha IOPS)," ukifanya kazi kama asymptote kwa mkunjo wa Itifaki ya 3PC.

5. Analysis Framework Example Case

Scenario: A freelance penetration tester (Client) retrieves an NTLM hash from a client's system. The password policy is known: 9-character alphanumeric mix. The tester lacks the GPU power for a timely crack.

Utumizi wa Itifaki ya 3PC:

  1. Usanidi wa Mteja: Mkaguzi anaweka kigezo cha faragha, k.m., $k=100$. Thamani halisi ya NTLM ni $H_{real}$. Programu ya mteja inatengeneza thamani 99 za uwongo za NTLM zenye uwezekano wa kriptografia, na kuunda seti ya kutojulikana $S$.
  2. Ushirikiano wa Seva: Mkaguzi anatuma $S$ kwenye huduma ya kuvunja kibiashara (Seva) na ombi la kuvunja misumari yote kwa kutumia kamusi na kanuni za nywila za herufi na nambari zenye herufi 9.
  3. Usindikaji wa Seva: Seva inaendesha zana zake za kuvunja. Kwa kila nenosiri linalotolewa, inahesha hash yake ya NTLM na kuangalia ikiwa inalingana na hash zote 100 katika $S$ kwa operesheni ya kundi.
  4. Matokeo Yamerudi: Seva inarudisha orodha ya manenosiri yote yaliyolingana yoyote Hashi katika $S$. Haibainishi ni hash gani ililingana.
  5. Uchujaji wa Mteja: Mpimaji anajua hash asili $H_{real}$. Wanakokotoa hash ya kila nenosiri lililorejeshwa ili kutambua lile linalolingana na $H_{real}$, na hivyo kupata nenosiri lengwa. Nenosiri zingine zilizorejeshwa zinahusiana na nenosiri bandia zilizovunjwa na hutupwa.
Seva inajua tu kwamba moja kati ya hash 100 ilimilikiwa na mpimaji, lakini sio ni ipi, na inaona nenosiri nyingi zilizovunjwa bila kujua umuhimu wake.

6. Core Insight & Analyst's Perspective

Ufahamu wa Msingi: Itifaki ya 3PC ni ujanja wa vitendo unaobadilisha kikwazo cha msingi cha kriptografia—hali ya mwelekeo mmoja ya vitendakazi vya hash—kuwa kipengele cha faragha. Inatambua kwamba katika kuvunja nywila, lengo sio kuficha mchakato lakini kuficha lengwa na matokeo ndani ya kelele ya asili ya mchakato. Hii haihusiani sana na usimbaji fiche "usio na kuvunjika" bali zaidi na kuficha taarifa kwa mkakati, sawa kwa roho na jinsi mitandao ya kuchanganya kama Tor inavyoficha asili ya ujumbe ndani ya umati.

Mpangilio wa Kimantiki: Mantiki yake ni sahihi lakini inategemea dhana muhimu, ambayo mara nyingi haizingatiwi: uwezo wa kuzalisha vizingiti vya udanganyifu visivyotofautishika kabisa. Ikiwa seva inaweza kutofautisha kwa kitakwimu hashi za kweli na zile za udanganyifu (k.m., kulingana na mzunguko katika uvunjaji wa awali, au muundo katika uzalishaji wa hashi), muundo wa $k$-utambulisho huo unaporomoka. Upanuzi wa karatasi ya usimbuaji wa prediketi kwa vitendakazi vya hashi ni mpya, lakini usalama wa ulimwengu halisi unategemea zaidi ubora wa algoriti ya uzalishaji wa vizingiti vya udanganyifu kuliko kwenye kitendakazi cha prediketi chenyewe.

Strengths & Flaws: Nguvu yake ni utumizi wake wa moja kwa moja kwenye eneo halisi, lisilohudumiwa vya kutosha (watafiti wa usalama wenye ufahamu wa faragha) na mzigo wake wa kisiri mwepesi kwa mteja. Kasoro kuu, kama ilivyo kwa mifumo mingi ya kulinda faragha, ni imani-lakini-thibitisha paradox. The client must trust the server to correctly execute the protocol and not tamper with the process (e.g., by logging intermediate states to correlate timings). Unlike advanced cryptographic protocols like Fully Homomorphic Encryption (FHE), which provides a stronger theoretical guarantee but is impractically slow (as seen in early implementations like Gentry's seminal work), 3PC trades off absolute cryptographic security for practical efficiency. This is a valid engineering trade-off, but it must be clearly communicated.

Uvumbuzi Unaoweza Kutekelezwa: Kwa timu za usalama, itifaki hii ni zana inayoweza kutumika kwa ukaguzi salama wa nywila, hasa wakati utiifu (kama vile GDPR) unazuia kushiriki hashi nyeti. Hatua ya haraka ni kutekeleza na kukagua moduli ya uzalishaji wa mtego. Kwa watafiti, upeo unaofuata ni kuimarisha itifaki dhidi ya mashambulio makali ya seva na kuiunganisha na PETs nyingine. Sio tu kuhusu kufanya uvinjaji kuwa wa faragha; ni kuhusu kujenga safu ya shughuli za usalama zinazolinda faragha, kama vile mageuzi kutoka kwa usimbuaji rahisi hadi uthibitisho wa kutojua kwenye itifaki za uthibitishaji. 3PC ni hatua ya kwanza yenye matumaini katika mwelekeo huo kwa usalama wa kushambulia.

7. Future Applications & Research Directions

  • Ukaguzi wa Usalama Unaotokana na Kufuata Kanuni Kuwezesha tasnia zilizodhibitiwa (kifedha, afya) kufanya majaribio makali ya nguvu ya nywila kwenye akaunti za wafanyikazi bila kufichua viini vya nywila hata kwa timu za ukaguzi wa ndani, ikisaidia kufuata kanuni za GDPR/CCPA.
  • Uchambuzi wa Hash Uliojumuishwa Mashirika mengi yanaweza kushirikiana katika juhudi za kuvunja dhamana ya nywila za mdhamini wa tishio la pamoja (mf., kutoka kwa kikundi cha ransomware) bila mgawanyiko yeyote kufichua fedhashe zao za ndani au kuona za wengine.
  • Ujumuishaji na Huduma za Tahadhari ya Uvunjaji wa Nywila: Watumiaji wanaweza kuwasilisha seti ya utambulisho usiojulikana inayotokana na fedhashe zao za nywila kwa huduma kama "Have I Been Pwned" bila kufichua fedhashe halisi, na hivyo kuimarisha faragha wakati wa ukaguzi wa uvunjaji.
  • Mwelekeo wa Utafiti - Ustahimilivu wa Baada ya Quantum: Kuchunguza usalama wa itifaki katika muktadha wa baada ya quantum. Ingawa kazi za hash zenyewe zinaweza kuwa sugu kwa quantum, utengenezaji wa mtego na utaratibu wa kazi ya prediketi unahitaji uchambuzi dhidi ya miundo ya maadui ya quantum.
  • Mwelekeo wa Utafiti - Miundo ya Maadui Wenye Ushawishi: Kupanua muundo wa usalama kuzingatia seva zenye nia mbaya zinazotoka kwenye itifaki (k.m., kwa kuanzisha njia za upande) ni muhimu kwa utumiaji wa ulimwengu halisi.

8. Marejeo

  1. Bonneau, J., Herley, C., van Oorschot, P. C., & Stajano, F. (2012). The quest to replace passwords: A framework for comparative evaluation of web authentication schemes. IEEE Symposium on Security and Privacy.
  2. FIDO Alliance. (2022). FIDO: The Future of Fast, Secure, Passwordless Sign-Ins. https://fidoalliance.org/
  3. Gentry, C. (2009). A fully homomorphic encryption scheme (Dissertation ya udaktari, Chuo Kikuu cha Stanford). (Kwa kulinganisha mbinu za faragha za kompyuta).
  4. NIST. (2020). Mwongozo wa Utambulisho Dijitali (NIST Special Publication 800-63B).
  5. Weir, M., Aggarwal, S., de Medeiros, B., & Glodek, B. (2009). Password cracking using probabilistic context-free grammars. IEEE Symposium on Security and Privacy.
  6. Zhao, F., & Halderman, J. A. (2019). Measuring the Impact of Password Strength on Guessing AttacksUSENIX Security Symposium.