Embed Size (px)
Citation preview
Session “But Maybe All You Need Is Something to Trust”の論文紹介USENIX Security ‘15 勉強会
2015年12月2日
金岡 晃（東邦大）
Papers on the session
• Measuring Real-World Accuracies and Biases in Modeling Password Guessability
– Blase Ur, Sean M. Segreti, Lujo Bauer, Nicolas Christin, Lorrie Faith Cranor, Saranga Komanduri, and Darya Kurilova (Carnegie Mellon University), Michelle L. Mazurek (University of Maryland), William Melicher , Richard Shay (Carnegie Mellon University)
• Sound-Proof: Usable Two-Factor Authentication Based on Ambient Sound
– Nikolaos Karapanos, Claudio Marforio, Claudio Soriente, and Srdjan Čapkun (ETH Zürich)
• Android Permissions Remystified: A Field Study on Contextual Integrity
– Primal Wijesekera (University of British Columbia), Arjun Baokar, Ashkan Hosseini, Serge Egelman, and David Wagner (University of California, Berkeley), Konstantin Beznosov (University of British Columbia)
1 2015/12/2 USENIX Security '15勉強会
MEASURING REAL-WORLD ACCURACIES AND BIASES IN MODELING PASSWORD GUESSABILITY
Blase Ur, Sean M. Segreti, Lujo Bauer, Nicolas Christin, Lorrie Faith Cranor, Saranga Komanduri, and Darya Kurilova (Carnegie Mellon University), Michelle L. Mazurek (University of Maryland), William Melicher , Richard Shay (Carnegie Mellon University)
2 2015/12/2 USENIX Security '15勉強会
概要• パスワードの強度
– 本当の、実世界における、パスワードの強度ってどうなんですか？– 統計的なパスワード強度ではなく、現実的なパスワード強度を、しかもパスワード単体
（データセットではなく）で求めたい• アプローチはある
– 統計的アプローチ• シャノンの情報量• Alpha-guesswork
• Guessability– 何回の推測試行でどれくらいの量のパスワードが推測成功するか
• 4つのパスワードセットと、5つのパスワードクラックアプローチを準備• まとめ
– プロによる半自動攻撃は自動攻撃より強い– 複数手法を混ぜると強い
• しかし注意深いチューニングが必要– 1つの方法での解析は不十分– 研究へのインパクト
• 荒い解析だと攻撃手法が異なっても同じ結果になるが、きちんと（Fine-grained）解析されると異なる結果になる
• 1つのパスワードに対する解析結果も異なる• Password Guessability Service（PGS）というサービスを提供
3 2015/12/2 USENIX Security '15勉強会
5つのクラッキングアプローチ
2015/12/2 USENIX Security '15勉強会4
John The Ripper
自動手法・ツール
Hashcat
マルコフモデル
確率的文脈非依存文法（Probabilistic Context-Free Grammer、PCFG）
人手（半自動）
KoreLogic社による解析
KoreLogic
• パスワードリカバリサービスを提供している会社
– Fortune誌のトップ500会社にサービス提供
• DEFCONのCrack Me If You Canを主催
• 利用ツール
– JTR
– HashCat
– マルコフモデル（これまでの10年を超える検査から得ている）
2015/12/2 USENIX Security '15勉強会5
データセット
2015/12/2 USENIX Security '15勉強会6
• 13345のパスワード• これまでの研究で得たパスワード（どういう構成ポリシで作成されてい
たかの付属データ付）
論文のTable1より引用
データセット
2015/12/2 USENIX Security '15勉強会7
発表資料のスライド35より引用
訓練データ
• 漏えいパスワードデータを利用
– MySpace
– RockYou
– Yahoo!
• 辞書
– Google Web Corpus
– UNIX Dictionary
– SCOWL（250000語）
2015/12/2 USENIX Security '15勉強会8
結果：Basic
2015/12/2 USENIX Security '15勉強会9
論文のFigure2より引用
結果：Complex
2015/12/2 USENIX Security '15勉強会10
論文のFigure3より引用
結果：LongBasic
2015/12/2 USENIX Security '15勉強会11
論文のFigure4より引用
結果：LongComplex
2015/12/2 USENIX Security '15勉強会12
論文のFigure5より引用
結果：
2015/12/2 USENIX Security '15勉強会13
論文のFigure6より引用
結果：
2015/12/2 USENIX Security '15勉強会14
論文のFigure8より引用
論文の周辺情報
• 著者数
– 10人
• ページ数
– 19
• 参考文献数
– 72
2015/12/2 USENIX Security '15勉強会15
1. Introduction（1.5p）2. Related Work（1.5p）3. Methodology（3p）
1. Datasets2. Training Data3. Simulating Password
Cracking4. Computational Limitations
4. Results（7p）1. The Importance of
Configuration2. Comparison of Guessing
Approaches3. Differences Across
Approaches4. Robustness of Analyses to
Approach5. Conclusion（0.5p）
概要• パスワードの強度
– 本当の、実世界における、パスワードの強度ってどうなんですか？– 統計的なパスワード強度ではなく、現実的なパスワード強度を、しかもパスワード単体
（データセットではなく）で求めたい• アプローチはある
– 統計的アプローチ• シャノンの情報量• Alpha-guesswork
• Guessability– 何回の推測試行でどれくらいの量のパスワードが推測成功するか
• 4つのパスワードセットと、5つのパスワードクラックアプローチを準備• まとめ
– プロによる半自動攻撃は自動攻撃より強い– 複数手法を混ぜると強い
• しかし注意深いチューニングが必要– 1つの方法での解析は不十分– 研究へのインパクト
• 荒い解析だと攻撃手法が異なっても同じ結果になるが、きちんと（Fine-grained）解析されると異なる結果になる
• 1つのパスワードに対する解析結果も異なる• Password Guessability Service（PGS）というサービスを提供
16 2015/12/2 USENIX Security '15勉強会
SOUND-PROOF: USABLE TWO-FACTOR AUTHENTICATION BASED ON AMBIENT SOUND
Nikolaos Karapanos, Claudio Marforio, Claudio Soriente, and Srdjan Čapkun (ETH Zürich)
17 2015/12/2 USENIX Security '15勉強会
手法概要
• パスワード
– 問題あり
• 2要素認証（2 Factor Authentication：2FA）に注目
– 端末にコード送るとか
– めんどい（ユーザのアクションが）
• 音声を利用
– サーバが端末とPCの両方に音声データ送信
– PCが音声発信
– 端末が音声受信
• 類似度計算
– 類似度をサーバに送る
– サーバが判定
18 2015/12/2 USENIX Security '15勉強会
結果
2015/12/2 USENIX Security '15勉強会19
論文のFigure3より引用
結果
2015/12/2 USENIX Security '15勉強会20
論文のFigure5より引用
ユーザ実験
• 32人
2015/12/2 USENIX Security '15勉強会21
発表資料のスライド16より引用
論文の周辺情報
• 著者数
– 4人
• ページ数
– 16
• 参考文献数
– 53
2015/12/2 USENIX Security '15勉強会22
1. Introduction（1p）2. Assumptions and Goals（0.5p）3. Alternative Approaches（1p）4. Background on Sound Similarity
（1p）5. Sound-Proof Architecture
（1.5p）6. Prototype Implementation
（1p）7. Evaluation（3.5p）
1. Analysis2. False Rejection Rate3. Advanced Attack Scenarios
8. User Study（1.5p）9. Discussion（1.5p）10.Related Work（0.5p）11.Conclusion（0.2p）
ANDROID PERMISSIONS REMYSTIFIED: A FIELD STUDY ON CONTEXTUAL INTEGRITY
Primal Wijesekera (University of British Columbia), Arjun Baokar, Ashkan Hosseini, Serge Egelman, and David Wagner (University of California, Berkeley), Konstantin Beznosov (University of British Columbia)
23 2015/12/2 USENIX Security '15勉強会
概要
• Android OSにおいて、どれくらい・どの状況でスマホアプリがパーミッションに保護されたリソースにアクセスしているか、のデータを収集
• 36人のフィールド調査
– Contextual Integrityの意向調査：
• Contextual Integrityユーザが予期しないときにアプリが保護リソースにアクセスすること
• 調査後のインタビューを含め、複数のことが判明
– パーミッションへのリクエストの回数
– 利用者の8割が少なくとも1回はパーミッションリクエストをブロックした経験
– 全リクエストの35%が不適切である、という結果
24 2015/12/2 USENIX Security '15勉強会
調査と結果
• 36人のユーザ、計6048時間
• 2700万回のパーミッションリクエスト
2015/12/2 USENIX Security '15勉強会25
発表資料のスライド8より引用
結果
2015/12/2 USENIX Security '15勉強会26
発表資料のスライド9より引用
結果
2015/12/2 USENIX Security '15勉強会27
発表資料のスライド16より引用
結果
2015/12/2 USENIX Security '15勉強会28
発表資料のスライド18より引用
論文の周辺情報
• 著者数
– 6人
• ページ数
– 16
• 参考文献数
– 48
2015/12/2 USENIX Security '15勉強会29
1. Introduction（1p）2. Related Work（1p）3. Methodology（3.5p）
1. Tracking Access to Sensitive Data
2. Recruitment3. Exit Survey
4. Application Behaviors（3p）1. Invisible Permission
Requests2. High Frequency Requests3. Frequency of Data Exposure
5. User Expectations and Reactions （2p）1. Reasons for Blocking2. Influential Factors
6. Feasibility of Runtime Requests（1.5p）
7. Discussion（1p）
