USENIX Security ’12勉強会：Session「CAPTHAs and Password Strength」
•
0 likes•513 views
USENIX Security '12勉強会で担当したセッション「Password」の資料です。
Recommended
More Related Content
Similar to USENIX Security ’12勉強会：Session「CAPTHAs and Password Strength」
Similar to USENIX Security ’12勉強会：Session「CAPTHAs and Password Strength」 (16)
More from Akira Kanaoka
More from Akira Kanaoka (10)
Recently uploaded
Recently uploaded (7)
USENIX Security ’12勉強会：Session「CAPTHAs and Password Strength」
- 1. Session: CAPTCHAs and Password Strength 担当：金岡 晃（筑波大学）
- 2. Session: CAPTCHAs and Password Strength • Security and Usability Challenges of Moving-Object CAPTCHAs: Decoding Codewords in Motion – Y. Xu, University of North Carolina at Chapel Hill; G. Reynaga and S. Chiasson, Carleton University; J.-M. Frahm and F. Monrose, University of North Carolina at Chapel Hill; P. van Oorschot, Carleton University • How Does Your Password Measure Up? The Effect of Strength Meters on Password Creation – Blase Ur, Patrick Gage Kelley, Saranga Komanduri, Joel Lee, Michael Maass, Michelle L. Mazurek, Timothy Passaro, Richard Shay, Timothy Vidas, Lujo Bauer, Nicolas Christin, and Lorrie Faith Cranor, Carnegie Mellon University • I Forgot Your Password: Randomness Attacks Against PHP Applications – George Argyros and Aggelos Kiayias, University of Athens 2012/9/18 USENIX Security '12 勉強会 2
- 3. SECURITY AND USABILITY CHALLENGES OF MOVING- OBJECT CAPTCHAS: DECODING CODEWORDS IN MOTION Y. Xu, University of North Carolina at Chapel Hill; G. Reynaga and S. Chiasson, Carleton University; J.-M. Frahm and F. Monrose, University of North Carolina at Chapel Hill; P. van Oorschot, Carleton University 2012/9/18 USENIX Security '12 勉強会 3
- 4. Abstract • CAPTCHAの新しい方式として、文字が動く タイプのCAPTCHAである、Moving-image おobject recognition (MIOR) Captchaが ある • MIOR Captchasへの攻撃 • 攻撃を緩和する改良方式の提案と実装 • ユーザスタディによる評価 2012/9/18 USENIX Security '12 勉強会 4
- 5. MIOR Captchas 2012/9/18 USENIX Security '12 勉強会 5
- 6. MIOR Captchaへの攻撃：A Naïve Attack • OCRベースの技術を単純に用いて、キャラクタベース のCHAPTCHAとして攻撃 • 方法 – ランダムにフレームを選び、与えられている参照カラーと 比較してCodeword（CHAPTCHAの文字）を抽出 – 抽出領域の横幅と高さから文字数を類推、 各文字領域に分割 – 分割した領域内の文字を推定 • Neural Networkを利用 • 精度 – 3文字の場合、36%の正確さ – NuCaptchaから4000の Codewordsを取得して実施 2012/9/18 USENIX Security '12 勉強会 6
- 7. MIOR Captchaへの攻撃: Exploiting Temporal Information • 参照カラーなどの前提知識を 変えられることでNaïve Attackは回避される • より強い攻撃 – 前提知識を必要としない • ビデオより目立った箇所 （Salient features）を複数 のフレームより抽出 – Object Tracking • 背景色をGaussian Mixture Modelで推定し、取り除いた色 を前景色とする • 各文字が独立して動いている ことを利用して各領域に分割 • 各領域で文字を推定 2012/9/18 USENIX Security '12 勉強会 7
- 8. MIOR Captchaへの攻撃: Exploiting Temporal Information 2012/9/18 USENIX Security '12 勉強会 8
- 9. 評価 • NuCaptchaのでもページからダウンロードし たビデオシーケンス – 4500種のCapcthaデータをダウンロード – 19種の背景 – 背景も文字も動く 2012/9/18 USENIX Security '12 勉強会 9
- 10. 改良 • Extended – 文字数を3文字以上 • Overlapping – 文字をある程度（パラ メータを用いて）重ねる • Semi-Transparent – 文字に透明度を持たせる • Emerging Images – 機械には判別が難しいが、 人間には判別できるよう な加工を加える 2012/9/18 USENIX Security '12 勉強会 10
- 11. 改良の効果 2012/9/18 USENIX Security '12 勉強会 11
- 12. ユーザスタディによる評価 2012/9/18 USENIX Security '12 勉強会 12 ユーザの認識成功と失敗、スキップ 要した時間 エラー発生箇所
- 13. ユーザスタディによる評価 2012/9/18 USENIX Security '12 勉強会 13
- 14. HOW DOES YOUR PASSWORD MEASURE UP? THE EFFECT OF STRENGTH METERS ON PASSWORD CREATION Blase Ur, Patrick Gage Kelley, Saranga Komanduri, Joel Lee, Michael Maass, Michelle L. Mazurek, Timothy Passaro, Richard Shay, Timothy Vidas, Lujo Bauer, Nicolas Christin, and Lorrie Faith Cranor, Carnegie Mellon University 2012/9/18 USENIX Security '12 勉強会 14
- 15. Abstract • Webサイトなどのパスワード登録時、入力さ れたパスワードの強度を示すようなパスワー ドメータが配置されることがある • 広く利用されているがその効果はきちんと調 べられていない • 14種のパスワードメータを対象 • MTurkを用い、被験者によりパスワードを生 成してもらう – 特徴評価：メータごとのパスワード長、数値の利 用、大文字・小文字の利用 – パスワード推測攻撃の耐性評価 2012/9/18 USENIX Security '12 勉強会 15
- 16. メータの種類 2012/9/18 USENIX Security '12 勉強会 16
- 17. メータの種類 • Control Conditions – No meter – Baseline meter • Conditions Differing in Appearance – Three-segment – Green – Tiny – Huge – No suggestions – Text-only • Conditions Differing in Scoring – Half-score – One-third-score – Nudge-16 – Nudge-comp8 • Conditions Differing in Multiple Ways – Text-only half-score – Bold text-only half-score – Bunny 2012/9/18 USENIX Security '12 勉強会 17
- 18. メータ種類によるパスワード長などの違い 2012/9/18 USENIX Security '12 勉強会 18
- 19. メータ種類による推測攻撃への耐性 2012/9/18 USENIX Security '12 勉強会 19
- 20. I FORGOT YOUR PASSWORD: RANDOMNESS ATTACKS AGAINST PHP APPLICATIONS George Argyros and Aggelos Kiayias, University of Athens 2012/9/18 USENIX Security '12 勉強会 20
- 21. Abstract • PHPアプリおける乱数性の脆弱性を調査す るあためのアルゴリズムと実践テクニッ クを提供 • パスワードリセットトークンの予測性に 焦点を当て、攻撃者がその予測に基づい てウェブアプリのユーザアカウントをい かに奪取を示す 2012/9/18 USENIX Security '12 勉強会 21
- 22. 攻撃モデル 2012/9/18 USENIX Security '12 勉強会 22 パスワードリセットによりユーザ権限を奪取することが目的。 PRNG出力を使うようなWebアプリへのアクセスを繰り返し、 リセットのためのトークンを予測する
- 23. 乱数生成と時刻情報の取得 • 多くのWebアプリはエントロピーのソース として時刻測定を用いている – PHPの場合、time()とmicrotime() • アタッカーの側から見るとtime()はエントロピー を持たない • microtime()に着目し、そのエントロピーを減少さ せる攻撃を開発 • Adversarial Time Synchronization (ATS) • Request Twins 2012/9/18 USENIX Security '12 勉強会 23
- 24. • PHPシステムのPRNGに利用されるシードの Recovery/Reconstructを可能にする攻撃 • 3つの攻撃より構成 – セッションIDを用い、PHPに利用される内部 LCGシードのRecoverする攻撃 – LCGシードの要素を用いてrand()とmt_rand() のシードをReconstructする攻撃 – これら関数の出力が十分小さくなり、値をブ ルーとフォース攻撃する 2012/9/18 USENIX Security '12 勉強会 24