Naturally Rehearsing Passwords
我们引入量化的可用性和安全性模型来指导密码管理方案的设计-帮助用户创建和记住多个密码的系统策略。与密码学中的安全证明基于复杂性理论假设（例如，困难的因素和离散对数），我们量化的可用性引入可用性假设。特别地，密码管理依赖于关于人类记忆的假设，例如，遵循特定排练时间表的用户将成功地保持相应的存储器。这些假设是由认知科学的研究提供信息，并通过实证研究得到验证。给定排练要求和用户对每个帐户的访问时间表，我们使用用户为了记住所有密码而必须进行的额外排练的总数来衡量密码方案的可用性。我们的可用性模型使我们得到一个关键的观察结果：密码重用不仅通过减少用户必须记住的密码数量而使用户受益，更重要的是通过增加每个密码的自然排练率。我们还提出了一个安全模型，该模型考虑了多个帐户和相关威胁（包括在线，离线和明文密码泄漏攻击）的密码管理的复杂性。观察到目前的密码管理方案是不安全的或不可用的，我们提出了共享线索-一个新的计划，其中的基础秘密是战略性地跨帐户共享，以确保大多数排练的要求自然得到满足，同时提供强大的安全性。该构造使用中国剩余定理来实现这些竞争目标。
2013-09-09 cs.CR
Skeptic: Automatic, Justified and Privacy-Preserving Password Composition Policy Selection
提出Skeptic工具，基于真实密码数据构建概率分布并模拟用户重选行为，自动选择均匀性最优的密码组合策略，无需访问原始数据即可论证选择，并验证了与实证研究的一致性。
2024-03-15 cs.CR
Password-Based Authentication and The Experiences of End Users
本文通过调查尼日利亚东南部大学社区291名师生在社交媒体、网购、电子医疗和网银中的密码使用体验，发现该地区账户被盗不常见，受访者密码体验良好。
2023-05-30 cs.CR
When Intelligence Fails: An Empirical Study on Why LLMs Struggle with Password Cracking
Future Data Minds Research Lab（未来数据智能研究实验室）
本研究发现LLMs在密码破解任务中表现不佳，指出其在领域适应和记忆能力上的不足，强调需要改进的密码推断方法。
2025-12-31 cs.AI cs.CR cs.LG
Shades of Perception- User Factors in Identifying Password Strength
本研究的目的是衡量是否参与者的教育，专业和技术技能水平表现出的关系，识别密码强度。参与者检查了50个密码，并将每个密码标记为弱或强。卡方检验的独立性被用来衡量教育，职业，技术技能水平相对于弱和强密码识别的频率之间的关系。结果表明，除了技术技能和强密码没有关系外，所有变量组合之间都存在显著关系。这项研究有三个局限性。数据汇集依赖于参与者的自我报告，外部力量有限。此外，该仪器是在所有参与者都能阅读英语并理解密码强度概念的假设下构建的。最后，我们没有控制外部工具使用（即，密码强度计）。结果建立在现有的文献，只要结果添加到集体理解的用户感知的密码在特定的和一般的身份验证。虽然之前的研究已经探索了类似的领域，但这些工作是通过让参与者创建密码来完成的。这项工作测量了对预先生成的密码的感知。结果表明，需要进一步调查为什么用户继续依赖弱密码。这项工作的独创性在于征求广泛的参与者和测量参与者的教育，职业和技术技能水平之间的潜在相关性。
2020-01-14 cs.CR cs.CY
Protocols for Checking Compromised Credentials
为了防止凭据填充攻击，行业最佳实践现在主动检查用户凭据是否存在于已知的数据泄露中。最近，一些网络服务，如HaveIBeenPwned（HIBP）和Google Password Checkup（GPC），已经开始提供API来检查违反的密码。我们将此类服务称为受损凭证检查（C3）服务。我们给出了C3服务的第一个正式描述，详细说明了不同的设置和操作要求，并给出了相关的威胁模型。一个关键的安全需求是用户密码的保密性。当前广泛部署的C3服务让用户共享通过用户密码计算的哈希的小前缀。我们提供了一个框架，以经验分析这种协议的泄漏，表明在某些情况下，知道的哈希前缀导致远程猜测攻击的功效增加12倍。我们提出了两个新的协议，为用户的密码提供更强的保护，实现它们，并通过实验表明，它们仍然是实用的部署。
2019-09-04 cs.CR
DAHash: Distribution Aware Tuning of Password Hashing Costs
入侵认证服务器并窃取所有加密密码散列的攻击者能够对每个用户的密码发起离线蛮干攻击。针对密码的离线蛮干攻击越来越普遍，并且有据可查的人类倾向于选择低熵密码和/或在多个帐户中重复使用这些密码，从而放大了这种危险。通常部署中等难度的密码散列函数，以通过增加攻击者的猜测成本来帮助保护密码免受离线攻击。然而，由于认证服务器是资源受限的，并且必须避免引入大量的认证延迟，因此可以使密码散列函数“硬”到何种程度是有限制的。观察到不同用户选择的密码强度存在很大差距，我们引入了DAHash（分布式感知密码哈希），这是一种新的机制，可以减少攻击者将破解的密码数量。我们的关键见解在于，资源受限的认证服务器可以根据用户密码的（估计）强度动态调整密码哈希函数的硬度参数。我们引入了一个Stackelberg游戏模型之间的相互作用的防御者（认证服务器）和离线攻击者。我们的模型允许防御者优化DAHash的参数，例如，指定对弱/中等/高强度密码进行哈希运算所花费的工作量。我们使用几个大规模的密码频率数据集，实证评估我们的差异化成本密码哈希机制的有效性。我们发现，使用我们的机制的防御者可以将被理性离线攻击者破解的密码减少约15%。
2021-01-30 cs.CR cs.GT
Is This Really You? An Empirical Study on Risk-Based Authentication Applied in the Wild
基于风险的身份验证（RBA）是一种自适应的安全措施，用于加强基于密码的身份验证。RBA会在密码输入过程中监控其他隐式功能，例如设备或地理位置信息，并在检测到特定风险级别时请求其他身份验证因素。RBA是NIST数字身份指南推荐的，被几个大型在线服务使用，并提供针对安全风险的保护，如密码数据库泄漏，凭据填充，不安全的密码和大规模猜测攻击。尽管具有相关性，但RBA工具化在线服务所使用的程序目前尚未披露。因此，关于RBA的科学研究很少，减缓了进展和更深入的理解，使最终用户更难理解他们使用和信任的服务所提供的安全性，并阻碍了RBA的广泛采用。在本文中，与一系列的研究8个流行的在线服务，我们（一）分析哪些功能和组合/分类器的使用，并在实际情况下是有用的，（二）开发一个框架和方法来衡量RBA在野外，和（三）调查和讨论的差异，用户界面的RBA。在此之后，我们的工作提供了对实际RBA部署的第一个更深入的理解，并有助于促进这一方向的进一步研究。
2020-03-17 cs.CR cs.HC
DALock: Distribution Aware Password Throttling
大规模的在线密码猜测攻击是广泛存在的，并且一直是最大的网络安全风险之一。降低在线破解风险的常用方法是在连续错误登录尝试达到固定次数（$K$）后锁定用户。选择$K$的值会导致经典的安全性-可用性权衡。当$K$太大时，黑客可以（快速）侵入相当一部分用户帐户，但当$K$太低时，我们会在几次错误后锁定诚实的用户，从而开始惹恼他们。出于观察，诚实的用户的错误通常看起来完全不同的密码猜测的在线攻击者，我们引入DALock { \em分布感知}密码锁定机制，以减少用户的烦恼，同时最大限度地减少用户的风险。顾名思义，DALock被设计为知道用于登录攻击的密码的频率和流行度，而标准节流机制（例如，$K$ -strikes）对密码分发不敏感。具体地，DALock除了针对每个用户的“点击计数”之外还维护额外的“点击计数”，其基于针对该特定账户的{ \em all}登录尝试的累积概率（的估计）。我们根据经验评估DALock与广泛的电池模拟使用真实世界的密码数据集。与传统的$K$ -strikes机制相比，我们发现DALock提供了一个优越的安全性/可用性权衡。例如，在我们的一个模拟中，我们能够将攻击者的成功率降低到$0.05\%$（与$10$ -strikes机制的$1\%$相比），同时将未受到攻击的帐户的不必要锁定率降低到仅$0.08\%$（与$3$ -strikes机制的$4\%$相比）。
2020-05-18 cs.CR cs.CY
Shoulder Surfing: From An Experimental Study to a Comparative Framework
肩部冲浪是一种被广泛认为是真正威胁的攻击媒介-足以保证研究人员致力于设计新的身份验证方法以抵抗肩部冲浪。尽管多年来提出了许多解决方案，但很少有人采用不同方法之间的经验评估和比较，我们对肩冲浪现象的理解仍然有限。除了实验设计方面的挑战外，其原因主要是缺乏客观和可比的脆弱性衡量标准。在本文中，我们开发了一个整体的脆弱性指标，第一次努力对一个给定的方法的敏感性进行全面评估观察攻击。在迄今为止最大的现场肩冲浪实验（n = 274）中，我们在两个观察场景中验证了四种概念上不同的身份验证方法的模型。以一种新的基于关联的混合认证方法为例，探讨了输入类型对攻击者有效性的影响。我们提供了第一个经验证据，图形密码更容易观察，但是，这并不一定意味着观察到的信息将允许攻击者更容易猜测受害者的密码。对集群中的各个指标进行深入分析，可以深入了解以前没有探索过的肩冲浪攻击的许多其他方面。我们的比较框架，使肩冲浪的评价进步，并进一步加深了我们的理解观察攻击。研究结果对未来的肩冲浪研究和整个密码安全领域具有重要意义。
2019-04-20 cs.CR
MASCARA: Systematically Generating Memorable And Secure Passphrases
密码是在线验证用户身份的最常用机制。然而，研究表明，用户发现很难创建和管理安全密码。为此，密码短语通常被推荐作为密码的可用替代品，这可能很容易记住并且很难猜测。然而，正如我们所展示的，用户选择的密码短语不够安全，而最先进的机器生成的密码短语很难记住。在这项工作中，我们的目标是解决系统的缺点，生成密码用于实际使用。特别是，我们解决的问题，生成安全和难忘的密码，并将它们与用户选择的密码在使用中。我们从先前泄露的密码数据库中识别并表征了72999个用户选择的使用中的唯一英语密码短语。然后，我们利用这种理解来创建一个新的框架来衡量密码短语的可记忆性和可猜测性。利用我们的框架，我们设计MASCARA，它遵循一个受约束的马尔可夫生成过程来创建优化的可记忆性和可猜测性的密码短语。我们对密码短语的评估表明，MASCARA生成的密码短语比用户生成的密码短语更难猜测，同时与最先进的机器生成的密码短语相比更容易记住。我们与众包平台Prolific进行了一项由两部分组成的用户研究，以证明用户在使用MASCARA密码时具有最高的记忆召回率（和最低的出错率）。此外，对于用户所需长度的密码短语，与当前系统生成的密码短语相比，MASCARA生成的密码短语的召回率高出60-100%。
2023-03-16 cs.CR cs.HC
Measuring Lower Bounds of Local Differential Privacy via Adversary Instantiations in Federated Learning
局部差分隐私（LDP）提供了一个强有力的隐私保证，可用于分布式环境，如联邦学习（FL）。FL中的LDP机制通过在客户端随机化梯度来保护客户端的梯度;然而，我们如何解释随机化所给出的隐私级别？此外，我们在实践中可以减轻哪些类型的攻击？为了回答这些问题，我们引入了一个经验隐私测试通过测量LDP的下限。隐私测试估计攻击者如何预测所报告的随机梯度是否是从原始梯度$g_1$或$g_2$制作的。然后，我们实例化六个对手在FL下LDP来衡量经验LDP在各种攻击面，包括最坏情况下的攻击，达到理论上的LDP上限。与对手的实例化的经验隐私测试，使我们能够更直观地解释LDP和讨论放松的隐私参数，直到一个特定的实例化的攻击表面。我们还展示了在这些对抗性设置中测量的隐私的数值观察，并且最坏情况下的攻击在FL中是不现实的。最后，我们还讨论了在LDP下FL中隐私级别的可能放宽。
2022-06-18 cs.CR
Pre-hijacked accounts: An Empirical Study of Security Failures in User Account Creation on the Web
用户帐户在网站和在线服务中的普遍存在使得帐户劫持成为一个严重的安全问题。虽然以前的研究已经研究了攻击者可以访问受害者帐户的各种技术，但对帐户创建过程的关注相对较少。目前的联合身份验证趋势（例如，单点登录）增加了额外的复杂性，因为许多服务现在既支持用户直接设置密码的经典方法，也支持用户通过身份提供者进行身份验证的联合方法。受先前关于抢先帐户劫持的工作的启发[Ghasemisharif等人，USENIX SEC 2018]，我们发现存在一类帐户预劫持攻击。这些攻击的显著特征是，攻击者在受害者创建帐户之前执行某些操作，这使得攻击者在受害者创建/恢复帐户之后获得访问权限变得微不足道。假设一个现实的攻击者只知道受害者的电子邮件地址，我们确定并讨论了五种不同类型的帐户预劫持攻击。为了确定这些漏洞在野外的普遍性，我们分析了75个流行的服务，发现其中至少有35个容易受到一个或多个帐户预劫持攻击。虽然其中一些可能会被细心的用户注意到，但从受害者的角度来看，其他人完全无法察觉。最后，我们调查了这些漏洞的根本原因，并提出了一套安全要求，以防止此类漏洞在未来出现。
2022-05-20 cs.CR
Towards Measuring Membership Privacy
机器学习模型越来越多地通过公共查询接口提供给大众。最近的学术工作已经证明，可以查询这种模型的恶意用户能够推断出关于训练数据内的记录的敏感信息。差分隐私可以阻止这种攻击，但并不是所有的模型都可以很容易地训练来实现这种保证，或者以可接受的效用损失来实现它。因此，如果一个模型是在没有差分隐私保证的情况下训练的，那么我们对释放它的隐私风险知之甚少或可以说。在这项工作中，我们调查和分析了成员攻击，以了解它们为什么以及如何成功。基于这种理解，我们提出了差分训练隐私（DTP），一个经验性的度量，以估计隐私风险发布分类时，如差分隐私的方法不能应用。DTP是一个衡量分类器相对于其训练数据集，我们表明，计算DTP是有效的，在许多实际情况下。我们使用最先进的机器学习模型（例如在真实世界数据集上训练的神经网络）来经验性地验证DTP。我们的研究结果表明，DTP是高度预测的成功成员攻击，因此减少DTP也降低了隐私风险。我们提倡在考虑发布分类器时将DTP用作决策过程的一部分。为此，我们还建议采用DTP-1假设：如果分类器的DTP值大于1，则不应发布。
2017-12-25 cs.CR
SPEECHMINER: A Framework for Investigating and Measuring Speculative Execution Vulnerabilities
SPEECH漏洞导致了臭名昭著的Meltdown、Spectre和L1终端故障（L1TF）攻击。虽然许多研究报告了SPEECH漏洞的不同变体，但它们仍然没有得到很好的理解。这主要是由于缺乏关于微处理器实现细节的信息，这些细节影响各种微架构事件的时序和顺序。此外，到目前为止，还没有系统的方法来定量衡量商品加工商的SPEECH漏洞。本文介绍了SPEECHMINER，一个软件框架，探索和测量SPEECH漏洞的自动化方式。SPEECHMINER凭经验建立了一个新的两相故障处理模型和SPEECH漏洞的可利用性和推测窗口之间的联系。它可以在同一个软件框架下测试一个全面的异常触发指令列表，该框架利用隐蔽通道技术和差分测试来获得对微体系结构状态变化的可见性。我们在9种不同的处理器类型上评估了SPEECHMINER，检查了21个潜在的漏洞变体，确认了各种已知的攻击，并确定了几个新的变体。
2019-12-09 cs.CR
Comparative Simulation of Phishing Attacks on a Critical Information Infrastructure Organization: An Empirical Study
本文通过对泰国铁路企业735名员工开展两次不同内容的模拟钓鱼攻击及培训干预，量化受骗率并验证钓鱼内容会显著影响员工网络安全意识。
2024-10-07 cs.CR cs.HC
Measuring CEX-DEX Extracted Value and Searcher Profitability: The Darkest of the MEV Dark Forest
本文通过优化链上套利识别启发式方法与实证框架，分析以太坊CEX-DEX套利的经济动态，发现搜索者集中度高且盈利能力与区块构建者整合度相关，纠正了垂直整合区块构建者的盈利低估问题，揭示了MEV生态的集中化风险。
2025-08-03 cs.CR q-fin.TR
