Ασφαλής αυθεντικοποίηση σε διαδικτυακές υπηρεσίες

Abstract

Η αυθεντικοποίηση με βάση τον κωδικό πρόσβασης είναι η κυρίαρχη μορφήελέγχου πρόσβασης σε διαδικτυακές υπηρεσίες. Δυστυχώς, αποδεικνύεται ότι είναιόλο και πιο ανεπαρκής κάθε χρόνο. Ακόμη και αν οι χρήστες επιλέγουν μεγάλους σεμέγεθος και περίπλοκους κωδικούς πρόσβασης, τρωτά σημεία των κωδικώνπρόσβασης λόγο του τρόπο διαχείρισης τους από μια υπηρεσία μπορούν ναδιαρρεύσουν σε κάποιον εισβολέα. Πρόσφατα συμβάντα σε δημοφιλείς υπηρεσίεςόπως το LinkedIn και το Twitter καταδεικνύουν τις επιπτώσεις που ένα τέτοιογεγονός θα μπορούσε να έχει. Η χρήση μονόδρομων συναρτήσεωνκατακερματισμού για να μετριάσει το πρόβλημα αντιμετωπίζεται από την εξέλιξητου υλικού που επιτρέπει ισχυρές πλατφόρμες την εξαντλητική αναζήτηση τωνκωδικών πρόσβασης.Στην εργασία αυτή μελετήσαμε το SAuth, ένα πρωτόκολλο που χρησιμοποιείσυνεργατική αυθεντικοποίηση μεταξύ διαφορετικών υπηρεσιών. Οι χρήστες πουεπιθυμούν να έχουν πρόσβαση στο λογαριασμό τους σε μία υπηρεσία S θα πρέπειεπίσης να αυθεντικοποιηθούν για το λογαριασμό τους σε μία υπηρεσία V, η οποίαενεργεί ως εγγυητικό μέλος. Και οι δύο υπηρεσίες S και V είναι τακτικοί δικτυακοίτόποι που επισκέπτονται από τον χρήστη καθημερινά (π.χ., το Twitter, το Facebook,το Gmail). Σε περίπτωση που ένας εισβολέας αποκτήσει τον κωδικό πρόσβασης γιατην υπηρεσία S δεν θα είναι σε θέση να συνδεθεί αν δεν αποκτήσει επίσης τονκωδικό πρόσβασης για την υπηρεσία V και πιθανώς περισσότερων εγγυητικώνυπηρεσιών. Το SAuth είναι μια επέκταση και όχι η αντικατάσταση των υφιστάμενωνμεθόδων αυθεντικοποίησης. Λειτουργεί ένα στρώμα πάνω, χωρίς εξάρτηση με μίασυγκεκριμένη μέθοδο, επιτρέποντας έτσι σε διαφορετικές υπηρεσίες ναχρησιμοποιούν ετερογενή συστήματα.

Password-based authentication is the dominant form of accesscontrol in web services. Unfortunately, it proves to bemore and more inadequate every year. Even if users chooselong and complex passwords, vulnerabilities in the way theyare managed by a service may leak them to an attacker.Recent incidents in popular services such as LinkedIn andTwitter demonstrate the impact that such an event couldhave. The use of one-way hash functions to mitigate theproblem is countered by the evolution of hardware whichenables powerful password-cracking platforms.In this paper we propose SAuth, a protocol which employsauthentication synergy among different services. Userswishing to access their account on service S will also have toauthenticate for their account on service V , which acts as avouching party. Both services S and V are regular sites visitedby the user everyday (e.g., Twitter, Facebook, Gmail).Should an attacker acquire the password for service S he willbe unable to log in unless he also compromises the passwordfor service V and possibly more vouching services. SAuth isan extension and not a replacement of existing authenticationmethods. It operates one layer above without ties to aspecific method, thus enabling different services to employheterogeneous systems. Finally we employ password decoysto protect users that share a password across services