MFDPG：零儲存秘密的多因子認證密碼管理

1. 引言

密碼仍然是大多數網路應用程式的主要認證因素，然而憑證填充和資料外洩持續困擾著使用者。基於雲端的密碼管理器（如LastPass和Dashlane）提供了便利性，但也造成了集中式的故障點。確定性密碼生成器（DPG）被提出作為替代方案，可在不儲存秘密的情況下為每個網域生成獨特的密碼。然而，其採用因安全性、隱私性和可用性缺陷而受阻。本文分析了45個現有的DPG，並提出了MFDPG，這是一種多因子確定性密碼生成器，旨在解決這些缺點。

2. 目錄

3. 現有DPG分析

作者調查了45個現有的DPG，並根據其底層密碼學原語和運作模式進行分類。分析揭示了三大類問題。

3.1 安全性問題

大多數DPG允許在任意生成的密碼被破解時，直接攻擊使用者的主密碼。這是因為主密碼通常是雜湊函數的唯一輸入。此外，許多方案缺乏前向安全性，這意味著主密碼洩漏會導致所有過去和未來的密碼都暴露。

3.2 隱私性問題

需要伺服器端元件或同步服務的DPG可能會洩漏使用者造訪的網域列表。即使是客戶端DPG也可能透過側通道或生成密碼的結構洩漏資訊。

3.3 可用性問題

在大多數DPG中，密碼輪換很麻煩，因為更改密碼需要記住版本號碼或使用不同的主密碼。複雜的密碼政策（例如要求特殊字元、最小長度）通常不受支援，導致頻繁的登入失敗。

4. MFDPG設計

MFDPG透過三項關鍵創新解決上述問題：多因子金鑰推導、用於撤銷的布穀鳥過濾器，以及基於DFA的密碼生成。

4.1 多因子金鑰推導

MFDPG不單獨依賴主密碼，而是整合了其他因子，例如硬體令牌（如YubiKey）或基於時間的一次性密碼（TOTP）。主秘密是使用結合所有因子的金鑰推導函數（KDF）推導出來的：

$K = \text{KDF}(P, T, H)$

其中 $P$ 是主密碼，$T$ 是TOTP值，$H$ 是硬體令牌秘密。這確保了僅破解主密碼不足以生成密碼。

4.2 用於撤銷的布穀鳥過濾器

為了在不洩漏服務使用情況的情況下支援密碼輪換，MFDPG使用布穀鳥過濾器（一種緊湊的機率性資料結構）來儲存已撤銷的密碼版本。該過濾器儲存在本地，可以查詢以檢查特定版本是否已被撤銷。這避免了對伺服器端資料庫的需求，並保護了隱私。

4.3 透過DFA符合密碼政策

MFDPG使用確定性有限自動機（DFA）來模擬每個網站的密碼政策。DFA確保生成的密碼滿足所有政策要求（例如，至少一個大寫字母、一個數字、一個特殊字元）。生成演算法遍歷DFA以確定性地產生有效的密碼。

5. 評估與結果

MFDPG針對100個最受歡迎的網路應用程式進行了評估。結果顯示與現有密碼政策100%相容。效能基準測試表明，密碼生成平均耗時不到10毫秒，而布穀鳥過濾器儲存1000個已撤銷版本僅需1.5 KB。多因子金鑰推導增加了2毫秒的可忽略開銷。

6. 核心見解、邏輯流程、優勢與缺陷、可行洞察

核心見解

MFDPG從根本上重新思考了密碼管理，消除了對任何儲存秘密的需求——無論是在客戶端還是伺服器端。這與當前集中式保險庫模式相比是一個範式轉移。關鍵見解在於，透過在密碼生成時結合多個認證因子，可以在不需要伺服器端支援的情況下實現硬體令牌的安全性。

邏輯流程

本文遵循清晰的邏輯進展：首先，透過全面調查識別現有DPG的失敗之處；其次，提出一個直接解決每個失敗之處的設計；第三，透過嚴謹的評估驗證該設計。流程是演繹性的，從一般問題到具體解決方案。

優勢與缺陷

優勢：多因子方法是一項真正的創新，顯著提高了攻擊者的門檻。使用布穀鳥過濾器進行撤銷既優雅又保護隱私。基於DFA的政策合規性是對長期可用性問題的實用解決方案。

缺陷：本文未涉及管理多個硬體令牌的使用者體驗。依賴本地布穀鳥過濾器意味著撤銷資料不會跨裝置同步，這對於擁有多個裝置的使用者來說可能是個問題。評估雖然全面，但僅限於前100大網站，可能無法推廣到所有網路應用程式。

可行洞察

對於實務工作者而言，MFDPG提供了一條消除密碼保險庫的可行路徑。對於研究人員而言，本文開闢了幾個方向：改進撤銷資料的同步、探索用於撤銷的替代資料結構，以及將多因子方法擴展到其他認證情境。最直接的可行洞察是，任何目前使用基於雲端密碼管理器的組織都應評估MFDPG作為更安全的替代方案。

7. 原創分析

MFDPG在追求可用且安全的密碼管理方面邁出了重要一步。本文的核心貢獻——透過多因子金鑰推導消除儲存秘密——直接解決了困擾基於雲端密碼管理器的集中式故障點。這讓人聯想到其他領域從集中式系統向去中心化系統的轉變，例如從客戶端-伺服器架構到點對點架構（如BitTorrent）的過渡。使用布穀鳥過濾器進行撤銷尤其巧妙，因為它提供了一種保護隱私的機制，避免了對伺服器端資料庫的需求。這與歐盟《一般資料保護規範》（GDPR）所強調的日益重視隱私保護技術的趨勢一致。

然而，本文的評估有些局限。雖然前100大網站代表了使用者活動的很大一部分，但它們可能無法代表使用者實際造訪的長尾網站。此外，本文未涉及管理多個硬體令牌的可用性，這可能成為採用的障礙。正如美國國家標準與技術研究院（NIST）的研究所指出的，對於一般使用者來說，設定和使用硬體令牌的使用者體驗仍然很繁瑣。

從技術角度來看，基於DFA的密碼生成是解決密碼政策問題的穩健方案。然而，本文未討論為每個網站建構DFA的複雜性。在實踐中，這需要一個密碼政策資料庫，可以由社群或MFDPG開發者維護。這是一個不容小覷的工程挑戰。

總之，MFDPG是一個設計良好的系統，解決了現有DPG的許多缺點。其多因子方法和布穀鳥過濾器的使用是真正的創新。然而，本文若能進行更廣泛的評估並討論部署的實際挑戰，將會更加完善。密碼管理的未來很可能在於像MFDPG這樣消除儲存秘密的系統，但要讓這類系統對一般人來說易於使用，仍有大量工作要做。

8. 技術細節與數學公式

MFDPG的核心是多因子金鑰推導函數。令 $P$ 為主密碼，$T$ 為時間 $t$ 時的TOTP值，$H$ 為硬體令牌秘密。主金鑰 $K$ 推導如下：

$K = \text{PBKDF2}(P \oplus T \oplus H, \text{salt}, \text{iterations})$

其中 $\oplus$ 表示XOR。網域 $d$ 版本 $v$ 的密碼則為：

$\text{Password} = \text{DFA-Generate}(\text{HMAC-SHA256}(K, d || v), \text{policy})$

DFA-Generate函數接受一個偽隨機種子和一個表示密碼政策的DFA，並輸出一個有效的密碼。布穀鳥過濾器儲存每個已撤銷密碼版本的元組 $(d, v)$。該過濾器支援 $O(1)$ 時間的插入和查詢。

9. 案例研究：MFDPG實際運作範例

考慮使用者Alice想要使用MFDPG管理她的密碼。她有一個主密碼「MySecureP@ss1」和一個秘密為「YubiSecret123」的YubiKey。她造訪一個網站example.com，該網站要求密碼至少8個字元，包含一個大寫字母、一個數字和一個特殊字元。

1. Alice輸入她的主密碼並插入她的YubiKey。
2. MFDPG計算TOTP值（例如「847291」）並推導主金鑰：$K = \text{PBKDF2}(\text{MySecureP@ss1} \oplus 847291 \oplus \text{YubiSecret123}, \text{salt}, 10000)$。
3. MFDPG使用該政策的DFA為example.com生成密碼：$\text{Password} = \text{DFA-Generate}(\text{HMAC-SHA256}(K, \text{example.com} || 1), \text{policy})$。
4. 生成的密碼例如是「A8b!cD2e」。
5. 如果Alice稍後更改密碼，她將版本號增加到2，並將舊版本（example.com, 1）新增到布穀鳥過濾器中。

10. 未來應用與方向

MFDPG為未來的研究和開發開闢了幾個令人興奮的途徑。首先，多因子金鑰推導可以擴展到包含生物特徵因子，例如指紋或臉部辨識，進一步增強安全性。其次，布穀鳥過濾器可以替換為更先進的資料結構，例如支援刪除的布隆過濾器，以提高效率。第三，基於DFA的密碼生成可以推廣到支援任意密碼政策，包括那些要求特定模式的政策（例如，無連續字元）。

從實務角度來看，MFDPG可以作為外掛程式整合到網頁瀏覽器中，提供無縫的密碼管理，無需單獨的應用程式。它也可以用於企業環境，以在所有應用程式中強制執行強密碼政策。零儲存秘密模型對於受嚴格資料保護法規（如HIPAA或PCI-DSS）約束的組織尤其具有吸引力。

最後，MFDPG背後的原則可以應用於其他認證情境，例如SSH金鑰管理或API令牌生成。從多個因子推導秘密而不儲存它們的想法非常強大，可能改變我們對認證的看法。

11. 參考文獻

1. V. Nair and D. Song, "MFDPG: Multi-Factor Authenticated Password Management With Zero Stored Secrets," UC Berkeley, 2023.
2. B. Ross et al., "PwdHash: A Browser-Based Password Manager," in USENIX Security Symposium, 2005.
3. J. Bonneau et al., "The Quest to Replace Passwords: A Framework for Comparative Evaluation of Web Authentication Schemes," in IEEE Symposium on Security and Privacy, 2012.
4. D. Florencio and C. Herley, "A Large-Scale Study of Web Password Habits," in WWW, 2007.
5. NIST, "Digital Identity Guidelines," NIST Special Publication 800-63B, 2017.
6. European Union, "General Data Protection Regulation (GDPR)," 2016.
7. B. Fan et al., "Cuckoo Filter: Practically Better Than Bloom," in CoNEXT, 2014.
8. M. Bellare et al., "Key Derivation Functions and Their Uses," in CRYPTO, 1999.
9. J. Kelsey et al., "PBKDF2: Password-Based Key Derivation Function 2," RFC 2898, 2000.
10. D. M'Raihi et al., "TOTP: Time-Based One-Time Password Algorithm," RFC 6238, 2011.