一种针对暴力破解的安全口令保管库方案

尹芷仪 江伟玉 沈嘉荟

(中国科学院信息工程研究所 北京 100093)



一种针对暴力破解的安全口令保管库方案

尹芷仪 江伟玉 沈嘉荟*

(中国科学院信息工程研究所 北京 100093)

当前口令管理工具和Web认证系统普遍使用基于PBE标准的加密方式，但是此类方法难以阻止暴力破解技术恢复口令明文，不能保证口令的真正安全。针对此现象，提出一种基于口令云的口令保管库方案。该方案拆分口令信息，将口令管理与保护功能从系统中独立出来，分开存储口令库组成部分并隐藏了计算口令密码相关数据之间的关联。通过对服务器端口令保管库方案的安全性进行定量分析，认为该方案能够大大增强暴力破解验证环节的难度，有效规避口令库泄露后的安全风险。

口令保管库 PBE 暴力破解

0 引 言

基于口令的身份鉴别是目前Web应用的主要方式，但是随着不同的Web应用的使用，用户不可避免需要记忆多个不同的身份和密码，这就造成用户记忆负担的增加。在确保口令使用安全的情况下，为了减轻用户的记忆负担，出现了一系列的口令管理器服务(如LastPass[1]、KeePass[2]、1Password[3]等)，这类服务能够在口令库中安全保存用户登录各Web应用的用户名/口令信息，用户仅需记忆一个主口令便可访问不同的Web应用。

然而，近年来层出不穷的口令库泄露事件威胁着用户的隐私和经济安全。无论是国外的Google Gmail[4]、LinkedIn[5]公司，还是国内的天涯社区和CSDN[6]等均出现过此类事件，即使是采用了PBE[10]密码技术进行口令加密的LastPass[7]也出现过大量口令泄露风波。……