介绍 |
| 网上猜测攻击密码系统是不可避免的和普遍观察到的web应用程序和SSH登录。无确认密码猜测攻击网站作为网络安全风险。网络攻击有一些固有的缺点相比,离线攻击:攻击的机器必须从事交互式协议,从而允许更容易检测;而且在大多数情况下,攻击者可以尝试只有数量有限的猜测在一台机器上,然后被锁,推迟,或回答自动化图灵测试的挑战。一个有效的防御自动化在线密码猜测攻击是限制失败试验的数量没有攻击力非常小的数量,限制自动程序作为三个免费密码猜测攻击者所使用的目标,即使从僵尸网络使用不同的机器上。其他几个技术部署在实践中,包括:允许从不同的机器上登录尝试没有攻击力,当一定数量的失败发生时从一个给定的机器;允许更多的尝试没有丙氨酸在超时时间;和时间有限的帐户锁定。许多现有的技术和建议涉及att,与底层假设这些挑战足够困难的机器人和简单的对大多数人来说。 |
| Human-memorable密码是计算机安全的中流砥柱。减少脆弱性密码bruteforce字典攻击,许多组织执行复杂的密码创建规则和要求密码包含数字和特殊字符。Human-memorable密码是计算机安全的中流砥柱。减少脆弱性强力的密码字典攻击,许多组织执行复杂的密码创建规则和要求密码包含数字和特殊字符。 |
| 一个字母的密码生成的人类,即使它不是一个字典的话,不太可能是均匀分布在字母表的空间序列。事实上,如果要求选择一个随机的字符序列,它是一个以英语为母语的用户可能会生成一个序列中每个字符的频率大概是equidistributed英语文本的出现。密码数据库的分析,将揭示大量字母密码既不是字典里的单词,也不是随机序列攻击者通常必须使用大量的机器,以避免检测或锁定。用户通常选择常见,目前相对较弱的密码和攻击者控制大型僵尸网络,网络攻击是比以前容易得多。自动化在线密码猜测攻击一个有效的防御是限制数量的试验失败没有攻击力非常小的数量(例如,3)。然而,这种不便的合法用户必须回答一个攻击力在接下来的登录尝试。其他几个技术部署在实践中,包括:允许从不同的机器上登录尝试没有攻击力,当一定数量的失败发生时从一个给定的机器;允许更多的尝试没有丙氨酸在超时时间;和时间有限的帐户锁定。许多现有的技术和建议涉及att,与底层假设这些挑战足够困难的机器人和简单的对大多数人来说。启用身份验证,允许用户回答各种秘密问题和比较这些答案和那些已经存储在cookie中。 Main aim in the project is to reduce the inconvenience caused to the legitimate user due to unauthorized access. |
| 认证用户的密码是最常见的方法,并将最有可能在可预见的未来继续被广泛使用,由于其方便性和实用性为服务提供商和最终用户。虽然更安全的身份验证方案已经被提出在过去,使用智能卡或公共密钥加密,没有一个被广泛使用的消费市场。 |
| 攻击者有兴趣进入任何账户系统中,而不是针对一个特定的帐户。攻击者可以尝试许多并行的登录尝试和规避时间测量使用,用户登录通常是由服务器可以处理许多并行登录会话。例如,攻击者可以发送登录尝试每一个 |
| 10毫秒,获得吞吐量100每秒的登录尝试,不管多长时间服务器延迟的答案登录尝试。 |
| 马尔可夫模型是常用的在自然语言处理中,语音识别系统的核心。马尔可夫模型定义了一个符号序列的概率分布。它允许某些属性抽样字符序列。马尔可夫模型的上下文中已经使用过的密码。 |
| 每个攻击过程中观察到的登录尝试跨honeypot千差万别,从1或2到成百上千的尝试。最多的尝试观察单个攻击会话期间是9311年。这种攻击,观察到在蜜罐位于住宅的DSL连接,持续了117分钟,占了近一半的登录尝试观察这个蜜罐。 |
| Pinkas桑德介绍了主题与稻草人登录协议,需要回答一个ATT挑战先输入用户名、密码。未能正确回答ATT进一步阻止用户继续。这个协议要求对手通过丙氨酸为每个密码猜测尝试挑战,为了获得信息的正确性的猜测。 |
先前的研究 |
| [1]字典攻击是最著名的威胁在基于密码的身份验证方案。反向图灵测试的基础上,提出了一些有用的和可伸缩的身份验证方案击败在线词典攻击安装通过自动化程序。但是发现这些身份验证方案容易受到各种在线字典攻击。本文提出了一种实用的决策函数,基于RTT身份验证方案构造和证明是安全的对所有已知的在线字典攻击。正式建模的对手后,静态和动态安全身份验证方案的正式证明。 |
| 在线字典攻击,敌人验证密码是否正确,与服务器进行交互。有一些措施设计在实践中失败在线词典攻击但不适合网络服务因为一些缺点持续在下面详细描述。帐户被锁定在一个预定义的失败的登录尝试。这样,敌人无法验证在短时间内大量的密码。这个方法是可以接受的单一计算机环境。但在网络服务,这种方法的缺点是拒绝服务,容易受到全球在线字典攻击。 |
| [2]在线服务时常常使用IP地址作为客户端标识符强制访问控制决策。学术界通常避开这种方法,由于NATs的效果,代理和服务器上动态寻址有识别个人客户的能力。实际上目前还不清楚这些边缘技术在多大程度上影响的实用程序使用IP地址作为客户端标识符。本文提供了一些见解这一现象。映射出的大小和范围NATs和代理,和描述的行为动态寻址。使用新的测量技术基于活跃的web内容,我们目前的结果来自700万个客户超过七个月的时间。大多数NATs很小,只有几个主机组成的,而代理更可能为许多地理上分布的客户服务。服务器通常可以检测如果客户通过NAT连接或代理,或使用DHCP配置快速从一个前缀。从测量的经验开发和实现的方法一个服务器可以做出更明智的决定是否依靠IP地址进行客户端识别或使用更多的重量级的客户端身份验证形式。 |
| 除了本节,本文只讨论使用IP地址强制访问控制。IP地址被服务器在不同的其他设置,包括地理位置和欺诈检测。网站使用地理定位在个性化内容和访问控制环境。 |
| [3]在其2007年前20名安全风险报告,称为强力SANS Institute密码猜测攻击SSH、FTP、telnet服务器“最常见的攻击服务器面临互联网妥协。“最近的一项研究也表明,Linux系统可能发挥重要作用在僵尸网络的命令与控制网络。防御强力SSH袭击可能因此被证明是一个关键因素在努力破坏这些网络。在本文中,我们报告的研究观察强力SSH袭击三个非常不同的网络:一个联网小企业网络,与DSL互联网连接住宅系统,一个大学校园网络。之间的相似之处的方法用来攻击这些完全不同的系统是相当惊人的。有证据表明,许多穷举式攻击是基于预编译列表的用户名和密码,广泛共享。密码用于实际恶意流量的分析表明,常见的理解什么是一个强大的密码可能不足以保护系统免受妥协。研究数据也被用来评估各种技术的有效性,旨在抵御这些攻击。 |
| 的军队破坏电脑机器人,被称为僵尸网络,得到了很多的关注在过去的几年里。迄今为止,大部分的注意力都集中在Windows机器认为妥协填充的僵尸网络军队。直到eBay最近的研究结果的内部安全威胁公布去年秋天,很少有人注意到妥协的Linux系统可能支持僵尸网络扮演的角色。 |
| [4]密码的使用是一个主要的弱点在计算机安全学中,往往容易猜密码的自动运行的程序字典攻击。密码仍是最广泛使用的身份验证方法尽管他们著名的安全漏洞。用户身份验证显然是一个实际的问题。从服务提供者的角度来看这个问题需要解决在实际可用的硬件和软件基础设施等限制。从用户的角度来看用户友好性是一个关键的要求。在本文中,我们介绍一种全新的身份验证方案,保留了传统密码身份验证的优点,同时提高成本的在线字典攻击的数量级。该方案易于实现和克服的一些困难之前建议的方法改善用户认证方案的安全性。关键理念有效地结合传统密码身份验证是一个挑战,被人类用户非常容易回答,但是是不可行的自动化程序试图运行字典攻击。这样做是不会影响系统的可用性。该方案还提供了更好的防范拒绝服务攻击用户帐户。 |
| [5]Human-memorable密码是计算机安全的中流砥柱。减少脆弱性密码bruteforce字典攻击,许多组织执行复杂的密码创建规则和要求密码包含数字和特殊字符。本文证明,只要密码保持human-memorable,他们很容易“smart-dictionary”攻击即使潜在密码的空间很大。第一个观点是,字母的分布容易记住的密码可能是类似于字母分配用户的母语。使用标准的马尔可夫从自然语言处理建模技术,这可以大大减少搜索密码空间的大小。第二个贡献是一种高效的枚举算法空间的密码。这允许应用时空权衡技术,将内存访问限制在一个相对较小的“部分词典”表大小和启用很快字典攻击评估实际的方法对数据库用户密码散列。我们的算法成功地恢复了67.6%的密码使用2×109搜索空间。这是一个比例远高于Oechslin的“彩虹”攻击,这是目前已知最快的搜索技术用于大。这些结果质疑的可行性human-memorable字符序列密码身份验证机制。 |
| 该模型的实现,用户的输入几个参数验证的服务器。用户将会给他/她的用户ID验证并与用户ID相同的用户的cookie。这个服务器身份验证id的过程称为自动化图灵测试(ATT)。比较来自用户的用户名与用户名用户的机器的饼干。用户的登录验证的IP系统的IP注册时相同的用户。用户的验证码也证实。 |
| 一般PGRP背后的想法是,除了以下两个情况下,所有的远程主机必须正确回答一个ATT挑战之前被告知访问是否授予或登录尝试失败:当失败的登录尝试的数量对于一个给定的用户名非常小,当远程主机已经成功登录使用相同的用户名在过去。 |
| 用户注册: |
| 在网络访问系统注册用户为他未来的检索过程与某些细节。没有登记,用户不能访问进一步的细节。注册,用户应该给用户名、验证码、密码。一旦用户注册他可以访问网络设施的进一步细节。每个用户将被一个独特的用户名、密码,系统IP, Web浏览器存储在cookie中。 |
| 服务器: |
| 服务器是一个计算机程序运行其他程序的请求,“客户”。因此,“服务器”执行一些计算任务代表“客户”。客户端运行在同一台计算机上或通过网络连接。在这里,为客户机服务器充当主资源。服务器负责维护所有客户信息,进一步用于身份验证过程,当用户重新进入网络的过程。 |
| cookie验证: |
| 细节得到从用户在注册过程中存储在cookie,然后发送到服务器。当用户重新进入在线过程,例如:银行处理cookie将验证的详细信息,比如用户名、系统IP,验证码,密码,用户的Web浏览器,尝试然后只允许授权用户。 |
| 系统的IP和CATCHA: |
| 系统IP只不过是系统的IP地址是用户在网上使用的注册过程。Catcha验证文本框内显示。这两个验证帮助在线处理会更安全。 |
| 密码和WEB浏览器: |
| 用户输入密码,在注册过程中浏览器本身的类型。这样它将存储和使用身份验证过程的其他细节。如果用户需要改变web浏览器或系统IP那么他需要回答的问题。 |
| 验证: |
| 在这个项目中,验证了通过cookie。使用cookie,数据已经输入的用户与当前用户给定数据。如果用户名、系统IP catcha密码和Web浏览器比赛,那么,他将被允许进一步处理或其他访问被拒绝。在上面的细节如果用户需要改变系统的IP或Web浏览器然后他需要回答问题,catcha的秘密。身份验证后,将完成升级。 |
| 决定函数请求丙氨酸 |
| 决定挑战用户提供ATT取决于两个因素是否同一台机器之前的用户已经通过身份验证成功和失败的登录尝试的总数为一个特定的用户帐户。在条件输入正确username-password一对,用户将不会被要求回答一个ATT挑战在下列情况下从用户接收到一个有效的饼干机和失败的登录尝试的数量从用户机器的IP地址,用户名小于k1每隔一个时间段由t3用户机器的IP地址白名单的W和失败的登录尝试的数量从这个IP地址,用户名小于k1每隔一个时间段由t3的失败的登录尝试任何机器用户名,低于一个阈值时间由t2 k2。过去的情况下使一个用户试图登录的新机器第一次/ IP地址之前达到k2继续没有攻击力。但是,如果用户名失败的登录尝试的数量超过了阈值k2,这可能表明猜测攻击,因此用户必须通过一个攻击力的挑战。 |
| 密码猜测耐协议(PGRP) |
| PGRP包括登录协议的目标应该使蛮力和字典攻击无效甚至对手访问大型僵尸网络。协议应该易于部署和可伸缩的、要求最低的计算资源的内存、处理时间和磁盘空间。 |
| 数据结构和功能描述 |
| W:源IP地址的列表,用户名对每一对,这样,成功登录从源IP地址已经发起了用户名之前。英国《金融时报》:此表中的每个条目表示失败的登录尝试的数量为一个有效的用户名、联合国。最多k2失败的登录尝试记录。FS:这个表中的每个条目表示失败的登录尝试的数量每一对srcIP在W是主机的IP地址或主机与一个有效的饼干,和联合国是一个有效的用户名,从srcIP未遂。最多k1失败的登录尝试记录;跨越这个门槛可能授权通过丙氨酸。一个条目设置为0成功后登录尝试。 |
| 算法PGRP算法 |
| 开始ReadCredential(联合国、pw饼干) |
| 如果LoginCorrect(联合国,pw) |
| 如果(((V有效期(饼干、联合国,k1,真的)∨((srcIP、联合国)∈W))∧(FS (srcIP、联合国)< k1))(英国《金融时报》(联合国)< k2)) |
| FS (srcIP、联合国)0 |
| 添加srcIP W |
| GrantAccess(联合国、饼干) |
| else if (ATTChallenge() =通过) |
| FS (srcIP、联合国)0 |
| 添加srcIP W |
| GrantAccess(联合国、饼干) |
| 消息(ATT的挑战的答案是不正确的) |
| 其他的 |
| 如果((有效(饼干、联合国,k1,假)((srcIP、联合国)W)) (FS [srcIP、联合国]< k1)) |
| FS[联合国]srcIP FS (srcIP、联合国)+ 1 |
| 消息(“用户名或密码不正确”) |
| else if (ValidUsername(联合国)(英国《金融时报》[联合国]< k2)) |
| 英国《金融时报》(联合国)英国《金融时报》(联合国)+ 1 |
| 消息(“用户名或密码不正确”) |
| 其他的 |
| 如果(ATTChallenge() =通过) |
| 消息(“用户名或密码不正确”) |
| 其他的 |
| 消息(ATT的挑战的答案是不正确的) |
| 结束 |
| 用户提供的所有个人信息到服务器和服务器存储所有信息的cookie。当用户输入用户名密码cookie检查它,如果它是有效的用户名和密码检查的IP地址。如果IP地址是正确的然后att传递用户进入网络浏览器,可以验证。如果答案是不正确的攻击力将会要求输入有效的用户名和密码。如果用户详细信息是错误的攻击力就会发送一条消息,“用户名或密码不正确”。FS[联合国]srcIP FS (srcIP、联合国)+ 1其他如果它是一个有效的用户名和密码(联合国)(英国《金融时报》(联合国)< k2)),那么英尺[联合国]英尺[联合国]+ 1和att的挑战。 |
结果分析 |
| 表4.1比较PGRP与PS和VS协议。第四季度的c≥2和协议。Q1的答案取决于k2的阈值。敌人只能消除没有回答att k2的密码。同样,Q2, att的预期数量的对手必须回答正确猜密码是一半剩下的密码后密码空间减去登录尝试的数量不需要附上的。PGRP VS协议相媲美multi-account攻击,PS似乎略优于PGRP但只有与大量的用户登录系统方程。 |
 |
| 表4.1安全分析 |
 |
| PGRP协议,敌人可以猜的一个子集的有效用户名不受欢迎的在某些情况下,英国《金融时报》的列表没有更新,如果用户名是无效的,因此每个登录尝试的攻击力将会要求一个无效的用户名。因此,对手可能会生成一个有效的用户名列表如下:如果一个用户需要一个未遂ATT第一登录尝试,用户名是无效的;否则,用户名是有效的。 |
| 与协议维护条目数量的增加线性具有独特的用户名用于失败的登录尝试。攻击者可能会排一个登录服务器的内存为许多用户名失败的登录尝试。任何基于cookie登录协议,登录服务器可能还需要存储信息生成每个cookie改善cookie盗窃攻击。PS和VS协议使用IP地址。最昂贵的服务器运行PS, VS,并生成一个ATT PGRP。PGRP三表必须维护。首先,白名单,W预计将与用户的数量呈线性增长。在任何给定的时间,我们已经成功地验证包含一系列对过去t1单位时间。的条目数英尺时增加一个远程主机失败的登录尝试使用有效的用户名,如果用户名不是已经在英国《金融时报》,远程主机的IP地址不在W。因此对协议,有效用户名登录服务器的总数将一个上限的条目数英尺。 |
结论 |
| 在线密码猜测攻击密码只有系统几十年来一直在观察今天的攻击者针对这种系统授权通过僵尸网络控制数千百万节点。在以前ATT-based登录协议,存在一个security-usability权衡对自由失败的登录尝试的数量与用户登录方便。PGRP更严格的蛮力和字典攻击同时安全允许大量的免费为合法用户失败的尝试。实证实验在两个数据集收集从网络运营环境表明,虽然PGRP显然更有效防止密码猜测攻击(没有回答ATT挑战),它还提供了更方便的登录体验,例如,少ATT挑战合法用户即使没有饼干。PGRP似乎适合组织小和大量的用户帐户。所需的系统资源(例如,内存空间)是线性系统中用户的数量成正比。PGRP也可以使用远程登录服务,饼干不适用。 |
引用 |
- m .堰s Aggarwal m·柯林斯和h·斯特恩。密码创建策略的测试指标需要通过攻击大套透露密码。(2010)
- y谢,f . Yu, k .亚干e . Gillum也m . Goldszmidt和t .进程。如何动态IP地址。(2007)
- 燕和a . s . e·艾哈迈德。一种低成本的攻击微软的验证码。在ACM计算机和通信安全。(2008)
- m . Casado和m·j·弗里德曼。透过裹尸布:透明度在基于ip端边缘识别的影响。(2007)
- s . Chiasson p c .持怀疑和r·比德尔。两个密码管理器可用性研究和批判。(2006)
- d·福罗ˆencio, c . Herley Coskun。强大的网络密码完成什么?在USENIX安全热点问题研讨会上。(2007)
- k .傅大肠坐、史密斯和n Feamster。注意事项在网络上的客户端身份验证。(2001)
- p . Hansteen。Rickrolled吗?准备万福马利亚云!(2010)
- y和z汉族。用户身份验证和可证明的安全在线词典攻击。(2009)
- t . Kohno a . Broido克赖夫和k c。将网络远程物理设备指纹。(2005)
- m . Motoyama k . Levchenko c . Kanich d·麦科伊通用Voelker,野蛮。再保险:验证码了解CAPTCHAsolving服务的经济背景。(2010)
- Dailey c . Namprempre和m . n。减轻字典攻击与text-graphics字符验证码。(2007)
|
菜单
