Comparative Analysis and Framework Evaluating Mimicry-Resistant and Invisible Web Authentication Schemes
多年来提出的许多用于Web身份验证的密码替代方案，尽管具有不同的设计和目标，但都主要依赖于某些秘密的知识。这促使我们，在这里，提供了第一个详细的探索，从根本上不同的元素的防御集成到Web认证方案的设计：防模仿的尺寸。我们分析了Web认证机制的新的可用性和安全属性相关的模仿阻力（增强UDS框架），特别是评估无形技术（既不需要用户操作，也不需要意识），提供一定的模仿阻力（不像那些只依赖于静态秘密），包括设备指纹方案，PUF（物理上不可克隆的功能）和互联网地理定位机制的子集。
2019-03-30 cs.CR
JSON Web Token (JWT) based client authentication in Message Queuing Telemetry Transport (MQTT)
本文概述了JSON Web令牌（JWT）和传输层安全性（TLS）作为互联网上事物认证的两种主要方法。JSON Web Token（JWT）目前被广泛用于OAuth和OpenId框架中的授权和身份验证。最近，Google Cloud IoT强制要求将JWT用于基于HTTP和消息传输远程传输（MQTT）协议的客户端，通过TLS安全地连接到云服务。MQTT是物联网设备中的首选协议，也是本文作为应用协议的主要关注点。另一个流行的云平台Amazon Web Service（AWS）使用TLS双向身份验证进行客户端身份验证。这里提供的两种方法之间的任何比较主要是从受约束的设备客户端的角度。
2019-03-07 cs.CR
Genuine onion: Simple, Fast, Flexible, and Cheap Website Authentication
Tor是一种通信基础设施，广泛用于不受限制和匿名访问互联网网站。Tor也用于访问.onion虚拟域上的网站。传统上，.onion的使用和讨论的重点是提供隐藏服务，这些服务将其可达性与其IP地址的识别分开。我们认为Tor的.onion系统可以用来提供一个完全独立的好处：基本的网站认证。我们还认为，洋葱网站不仅可以提供网站身份验证，而且与标准使用TLS证书等替代方案相比，这样做简单，快速，便宜，灵活和安全。
2015-06-12 cs.CR
A Multi-Factor Security Protocol for Wireless Payment - Secure Web Authentication using Mobile Devices
以前的Web访问认证系统通常单独使用Web或移动信道来确认远程用户的声明身份。本文提出了一种新的协议，使用多因素认证系统，是安全的和高度可用的。它采用了一种基于交易识别码和SMS的新方法，与传统的登录/密码系统相比，增强了额外的安全级别。该系统提供了一个高度安全的环境，易于使用和部署，不需要对无线网络的基础设施或协议进行任何更改。该无线支付协议被扩展以提供双向认证。
2011-11-13 cs.CR
SoK: Web Authentication in the Age of End-to-End Encryption
本文系统梳理了端到端加密（E2EE）服务和无密码认证在安全性、隐私、可用性与可恢复性方面的现有研究与行业实践，调查了主流E2EE服务及Top-200网站，并指出了学术界与工业界之间的差距及未来研究方向。
2024-06-26 cs.CR
"Guess Who ?" Large-Scale Data-Centric Study of the Adequacy of Browser Fingerprints for Web Authentication
浏览器指纹识别包括从Web浏览器收集属性以构建浏览器指纹。在这项工作中，我们评估了浏览器指纹作为身份验证因素的充分性，在由216个属性组成的4，145，408个指纹的数据集上。它是在6个月内从普通浏览器中收集的。我们识别，形式化，并评估属性的浏览器指纹是可用的和实用的身份验证因素。我们特别评估它们的独特性，它们随时间的稳定性，它们的收集时间，以及它们在内存中的大小。我们发现，考虑到216个指纹属性的大表面，在1，989，365个浏览器的人群中，单一性率为81%。此外，众所周知，浏览器指纹会进化，但我们观察到，在连续的指纹之间，超过90%的属性在近6个月后保持不变。指纹也很便宜。平均而言，它们的重量为12个字节，并在几秒钟内收集。我们的结论是，浏览器指纹是一个有前途的额外的Web身份验证因素。
2021-06-22 cs.CR
SSH-Passkeys: Leveraging Web Authentication for Passwordless SSH
本文提出SSH-Passkeys框架，利用WebAuthn和UNIX PAM实现无密码SSH认证，在兼容现有服务器且无需客户端新软件的前提下，有效防止密钥泄露与钓鱼，将关键安全错误降低90%并将认证时间缩短4倍。
2025-07-11 cs.CR
A Large-scale Empirical Analysis of Browser Fingerprints Properties for Web Authentication
现代浏览器可以访问几个属性，可以收集这些属性以形成浏览器指纹。虽然浏览器指纹主要是作为Web跟踪工具进行研究的，但它们可以通过增强Web身份验证机制来改善当前的Web安全状态。在本文中，我们调查的浏览器指纹的Web认证的充分性。我们将区分浏览器的数字指纹和区分人类的生物指纹联系起来，根据生物特征认证因素激发的属性来评估浏览器指纹。这些属性包括它们的独特性、它们随时间的稳定性、它们的收集时间、它们的大小以及简单验证机制的准确性。我们评估了这些属性的大规模数据集的4，145，408指纹组成的216个属性，并从1，989，365浏览器收集。通过对数据集进行时间分区，我们发现超过81.3%的指纹被一个浏览器共享。虽然我们知道浏览器指纹会进化，但平均91%的指纹属性在两次观察之间保持相同，即使相隔近6个月。关于它们的性能，我们展示了我们的指纹有十几个字节，并且需要几秒钟来收集。最后，通过处理一个简单的验证机制，我们展示了它达到了0.61%的相等出错率。我们丰富了我们的结果与分析的属性之间的相关性，和他们的贡献的评估属性。我们的结论是，我们的浏览器指纹进行承诺，以加强网络认证机制。
2021-10-03 cs.CR
Technical Report on a Virtual CTAP2 WebAuthn Authenticator
尽管在线账户的无密码身份验证提供了更大的安全性和免受攻击的保护，但密码仍然很普遍。无密码身份验证的采用受到在身份验证协议内生成安全密钥所需的外部硬件密钥采用缓慢的影响。我们已经开发了一个虚拟的WebAuthn平台，以提供一个可扩展的开源平台，用于理解WebAuthn和CTAP2的相关标准。我们的SSL为无法访问物理硬件接口的设备提供安全的软件身份验证。我们的SSL还提供了外部物理硬件密钥的替代方案，并支持在设备上使用可信协议来生成WebAuthn协议中的安全密钥。
2021-08-09 cs.CR
FIDO2 With Two Displays-Or How to Protect Security-Critical Web Transactions Against Malware Attacks
随着过去几年对在线帐户的攻击的增加，越来越多的服务为其用户提供双重认证。从三个类别中的两个类别中选择一个因素，即你知道的东西，你拥有的东西和你是什么，应该确保攻击者不能同时破坏其中两个。因此，对手不应该能够恶意地与某人的帐户进行交互。然而，只有当一个人认为对手很弱时，这才是正确的。特别是，由于大多数当前的解决方案只认证会话而不是单个交易，如果设备感染了恶意软件，它们就无效了。对于网上银行，银行业早就认识到需要对交易进行身份验证。然而，这种身份验证方案的规范并不公开，并且实施细节因银行而异，大多数银行仍然无法抵御恶意软件。在这项工作中，我们提出了一个通用的方法来解决恶意帐户接管的问题，即使在存在恶意软件。为此，我们定义了一个新的范例，以改善双因素身份验证，涉及的概念，二选一的安全和交易身份验证。遵循这种范式的Web身份验证方案可以保护安全关键事务免受操纵，即使其中一个因素完全受损。分析现有的认证方案，我们发现他们没有实现二选一的安全性。我们给出了一个蓝图，如何设计安全的Web认证方案一般。基于这一蓝图，我们提出了FIDO 2与两个显示器（FIDO 2D），一个新的Web认证方案的基础上FIDO 2标准，并证明其安全性使用Tamarin。我们希望我们的工作能够激发新一波更安全的Web身份验证方案，即使是恶意软件的攻击也能保护安全关键交易。
2022-07-06 cs.CR
The Emperor is Now Clothed: A Secure Governance Framework for Web User Authentication through Password Managers
针对现有密码管理器与Web应用交互方案的功能缺陷与安全漏洞，提出基于浏览器的Berytus治理框架，通过双API协调二者交互，可有效缓解多类网络攻击，支持多种认证模式并已在Firefox中实现验证。
2024-07-12 cs.CR
BrFAST: a Tool to Select Browser Fingerprinting Attributes for Web Authentication According to a Usability-Security Trade-off
在本演示中，我们将自己置于一个网站管理员的位置，他试图使用浏览器指纹进行Web身份验证。第一步是从数百个可用属性中选择要实现的属性。为此，我们开发了BrFAST，这是一个属性选择平台，其中包括FPSelect，这是一种根据安全性和可用性之间的权衡严格选择属性的算法。BrFAST配置了一组参数，我们为BrFAST提供了可用的值。我们特别包括使用两个公开的浏览器指纹数据集的资源。BrFAST可以扩展到使用其他参数：其他属性选择方法，其他安全性和可用性措施，或其他指纹数据集。BrFAST有助于在搜索要使用的最佳属性期间可视化探索可能性，比较属性集的属性，并比较几种属性选择方法。在演示过程中，我们将FPSelect选择的属性与根据所得浏览器指纹的属性（例如，它们的可用性，它们的唯一性）。
2021-04-19 cs.CR
Let Your Camera See for You: A Novel Two-Factor Authentication Method against Real-Time Phishing Attacks
如今，双因素身份验证（2FA）是一种广泛实施的对抗网络钓鱼攻击的机制。尽管在2FA方面已经进行了大量的研究，但大多数2FA系统仍然容易受到精心设计的钓鱼攻击，有些甚至需要特殊的硬件，这限制了它们的广泛部署。最近，实时的【形】网络钓鱼（RTP）使情况变得更糟，因为对手可以毫不费力地建立一个复制目标网站的网络钓鱼网站，而无需任何网页设计技术的背景。传统的2FA很容易被这种RTP攻击绕过。在这项工作中，我们提出了一种新的2FA系统来对抗RTP攻击。其主要思想是请求用户拍摄具有地址栏中的域名的Web浏览器的照片作为第二认证因素。Web服务器端基于光学字符识别（OCR）提取域名信息，然后确定用户正在访问的是该网站还是假冒网站，从而击败对手必须使用不同域建立假冒网站的RTP攻击。我们原型我们的系统，并评估其在各种环境中的性能。实验结果表明，PhotoAuth是一种有效的认证技术，具有良好的可扩展性。我们还表明，与其他2FA系统相比，PhotoAuth具有几个优势，特别是除了手机之外，客户端不需要特殊的硬件或软件支持，因此易于部署。
2021-09-01 cs.CR
FPSelect: Low-Cost Browser Fingerprints for Mitigating Dictionary Attacks against Web Authentication Mechanisms
浏览器指纹识别包括从Web浏览器收集属性。这些年来已经发现了数百种属性。它们中的每一个都提供了一种区分浏览器的方法，但也带来了可用性成本（例如，收集时间）。在这项工作中，我们提出了FPSelect，一个属性选择框架，允许验证者调整他们的浏览器指纹探针的Web认证。我们将问题形式化为搜索满足安全要求并最小化可用性成本的属性集。安全性被测量为给定指纹探针、用户群体和知道用户群体中的确切指纹分布的攻击者的模拟用户的比例。可用性通过浏览器指纹的收集时间、大小和不稳定性来量化。我们比较我们的框架与常见的基线，基于现实生活中的指纹数据集，并发现在我们的实验设置，我们的框架选择的属性集的可用性成本较低。与基线相比，FPSelect发现的属性集生成的指纹最多小97倍，收集速度最多快3，361倍，两次观察之间的属性变化平均最多少7.2倍。
2020-10-13 cs.CR
Securing Password Authentication for Web-based Applications
密码的使用和保护密码的需求不会消失。大多数需要身份验证的网站继续支持密码身份验证。即使是部署了双因素身份验证的高安全性应用程序（如Internet Banking门户），也依赖密码身份验证作为身份验证因素之一。然而，尽管在检测和移除方面做出了积极的努力，以及全面的用户意识和培训计划，网络钓鱼攻击仍然困扰着基于密码的身份验证。目前，即使是注重安全的网站，也没有一种万无一失的机制来防止用户被引导到欺诈网站并使他们的密码被钓鱼。在本文中，我们应用威胁分析的Web密码登录过程中，发现了HTML<inputtype=“password”>字段的设计漏洞。由于Web身份验证过程从每个输入密码字段到Web服务器都不是端到端安全的，因此可以利用此漏洞进行网络钓鱼攻击。我们确定了四个属性，封装的要求，以阻止基于Web的密码钓鱼，并提出了一个安全的协议，用于一个新的凭据字段，符合这四个属性。我们通过滥用案例评估进一步分析了所提出的协议，讨论了各种部署问题，并进行了测试实现，以了解其数据和执行开销
2020-11-12 cs.CR cs.NI
Passwords and FIDO2 Are Meant To Be Secret: A Practical Secure Authentication Channel for Web Browsers
本文针对密码管理器自动填充和FIDO2协议面临本地攻击的问题，提出并实现两种防御方案，在Firefox中验证可防XSS和恶意扩展，兼容性高。
2025-10-15 cs.CR
Automated Testing of Broken Authentication Vulnerabilities in Web APIs with AuthREST
提出开源安全测试工具 AuthREST，通过自动化检测撞库、密码暴力破解及未检查令牌真实性等问题，有效提升 Web API 安全性，并成功在四个公共 API 中发现未知身份验证漏洞。
2025-09-12 cs.CR cs.SE
A Secure Web-Based File Exchange Server: Software Requirements Specification Document
本文介绍了一个安全文件交换系统原型的简要软件规范，该原型涉及用户通过浏览器和应用程序服务器进行相互认证，使用基于PKI的证书作为凭据，使用LDAP进行凭据管理，以及在应用程序和数据库服务器之间进行认证，以保持各方之间的高度信任。
2011-01-24 cs.CR
A Secure Method for Signing in Using Quick Response Codes with Mobile Authentication
互联网上对用户隐私的威胁正在以惊人的速度增长。通过键盘记录软件，从不可靠的终端登录到网络帐户可能会导致用户的私人详细信息（如用户名和密码）泄露。这种软件能够在用户不知情的情况下，通过隐蔽渠道秘密记录密码。在本文中，我们提出了一种安全的方法，使用快速响应（QR）码与移动认证的签名。通过该方法，用户可以使用移动终端，通过在不可靠的终端浏览器上认证用户会话来安全地登录到网络账户。
2013-10-15 cs.CR
LoginTrap: Uncovering Task-Agnostic Phishing-Style Indirect Prompt Injection Attacks against LLM-based Web Agents
Tongji University（同济大学）
该研究提出LoginTrap攻击，是针对基于LLM的Web智能体的任务无关型登录诱导攻击，在黑盒威胁模型下可达到86%的平均端到端攻击成功率，揭示了登录诱导的认证边界风险并推动相关防御研究。
2026-08-06 cs.CR
MetaSecure: A Passwordless Authentication for the Metaverse
一般来说，元宇宙为网络空间提供了一个潜在的未来。在Web 2.0开始时，人们使用各种假名或“nyms”登录，通过增加虚假帐户的存在来冒着在线身份的风险，导致难以对不同角色进行唯一识别。然而，在Web 3.0中，用户的身份与他们的原始身份联系在一起，其中一个人的风险会给另一个人带来重大风险。因此，本文提出了一种新的身份验证系统，用于保护数字资产，在线身份，头像和名为Metasecure的帐户，其中每个实体或用户的唯一ID在数字平台上开发人类设施是必不可少的。拟议的无密码系统提供了三个层次的安全性，使用设备认证，面部识别和使用物理安全密钥，安全密钥，或智能卡根据快速身份在线（FIDO 2）规范。它提供SDK用于在包括VR/XR眼镜在内的任何系统上进行身份验证，从而确保在Metaverse中访问服务的无缝性。
2023-01-04 cs.CR
State of Passkey Authentication in the Wild: A Census of the Top 100K sites
University of Surrey（萨里大学）
本文通过Fidentikit工具对前10万网站进行普查，揭示passkey在互联网上的实际采用情况，发现其使用与网站流行度及外部身份提供商密切相关。
2026-03-19 cs.CR
True2F: Backdoor-resistant authentication tokens
我们提出了True2F，一个第二因素身份验证系统，它在面对网络钓鱼和软件入侵时提供了传统身份验证令牌的好处，同时还提供了强大的保护，防止令牌故障和后门。为此，我们开发了新的轻量级两方协议来生成加密密钥和ECDSA签名，并实现了新的隐私防御来防止跨源令牌指纹攻击。为了便于实际部署，我们的系统与当今支持U2F的Web服务向后兼容，并在固件修改后在商品硬件令牌上运行。受True2F保护的身份验证只需57 ms即可完成令牌，而不受保护的U2F只需23 ms。
2019-08-11 cs.CR
Beyond the Hype: On Using Blockchains in Trust Management for Authentication
用于身份验证的信任管理（TM）系统对于在线交互的安全性至关重要，在线交互在我们的日常生活中无处不在。各种系统，如Web PKI（X.509）和PGP的Web of Trust用于管理此设置中的信任。近年来，区块链技术已被引入作为我们的安全问题的灵丹妙药，包括身份验证，没有足够的理由，至于其优点。在这项工作中，我们调查使用开放分布式账本（ODL）的优点，如区块链技术实现的，用于保护TM系统的身份验证。我们正式建模这样的系统，并探索区块链如何帮助减轻对它们的攻击。经过正式的论证，我们得出结论，在身份验证的信任管理背景下，区块链技术和一般的ODL与以前的方法相比可以提供相当大的优势。据我们所知，我们的分析是第一个基于区块链技术正式建模和讨论TM认证系统安全性的分析。为了实现这一结果，我们首先提供了一个抽象的模型TM系统的身份验证。然后，我们展示了如何将这个模型在概念上编码到区块链中，将其表达为一系列状态转换。作为下一步，我们研究了对TM系统的五种常见攻击，并提供证据证明基于区块链的解决方案可以通过减轻或完全否定此类攻击来有益于此类系统的安全性。
2017-11-13 cs.CR
Secure Shell (SSH): Public Key Authentication over Hypertext Transfer Protocol (HTTP)
安全外壳（SSH）协议要求所有实现都支持用于身份验证目的的公钥身份验证方法（“publickey”），因此通过Web浏览器提供SSH客户端的Web应用程序需要支持“publickey”。然而，超文本传输协议（HTTP）中的限制（例如同源策略和对本地资源的有限访问）使得难以执行此类身份验证。在本文档中，提供了一种通过HTTP执行“公钥”认证的系统。确保不会做出任何会对SSH协议造成安全风险的妥协。
2015-06-15 cs.CR cs.NI
TulaFale: A Security Tool for Web Services
Web服务安全规范通常表示为XML模式、示例消息和叙述性解释的混合体。我们提出了一种新的规约语言，用于编写基于SOAP的安全协议及其属性的补充机器可检查的描述。我们的TulaFale语言基于pi演算（用于编写并行运行的SOAP处理器的集合），加上XML语法（用于表达SOAP消息传递），逻辑谓词（用于构造和过滤SOAP消息）和通信断言（用于指定协议的身份验证目标）。我们的实现编译TulaFale到应用π演算，然后运行Blanchet的基于分辨率的协议验证器。因此，我们可以自动验证SOAP协议的身份验证属性。
2004-12-10 cs.CR
SPRESSO: A Secure, Privacy-Respecting Single Sign-On System for the Web
单点登录（SSO）系统，如OpenID和OAuth，允许网站，所谓的依赖方（RP），将用户身份验证委托给身份提供商（IdP），如Facebook或Google。这些系统非常受欢迎，因为它们为用户提供了一种方便的方式来登录RP，并将用户身份验证的大部分负担从RP转移到IdP。然而，目前的系统有一个缺点，因为它们不尊重用户的隐私：IdP知道用户在哪个RP登录。除了一个例外，即Mozilla的BrowserID系统（a.k.a. Mozilla Persona），目前的SSO系统甚至没有考虑到用户隐私。不幸的是，最近发现的利用BrowserID设计缺陷的攻击表明BrowserID也不提供用户隐私。因此，在本文中，我们提出了第一个隐私尊重单点登录系统的Web，称为SPRESSO（安全隐私尊重单点登录）。该系统易于使用，分散和平台无关。它完全基于标准的HTML5和Web功能，不使用浏览器扩展，插件或其他可执行文件。现有的单点登录系统和对这种系统的大量攻击说明安全单点登录系统的设计是非常重要的。因此，我们还进行了形式化的分析SPRESSO的表达模型的基础上，以正式证明SPRESSO享有强大的身份验证和隐私属性。
2015-08-07 cs.CR
Analyzing the BrowserID SSO System with Primary Identity Providers Using an Expressive Model of the Web
BrowserID是Mozilla最近开发的一个复杂的、真实的Web应用程序单点登录（SSO）系统。它采用新的HTML5功能（如Web消息和Web存储）和加密断言来提供分散的登录，旨在尊重用户的隐私。它可以在主要和次要身份提供者模式下操作。在主模式下，BrowserID与任意身份提供程序（IdP）一起运行，而在辅助模式下，只有一个IdP，即Mozilla的默认IdP。最近，我们提出了一个表达的通用模型的Web基础设施，并在此Web模型的基础上，分析了二级身份验证模式的BrowserID的安全性。分析揭示了几个严重的弱点。在本文中，我们通过分析BrowserID的更复杂的主IdP模式来补充我们之前的工作。我们不仅像以前一样研究认证属性，而且还研究隐私属性。在我们的分析过程中，我们发现了不适用于二级模式的新的和实际的攻击：身份注入攻击，它违反了SSO系统的中央身份验证属性，以及破坏BrowserID的重要隐私承诺的攻击，如果不对系统进行重大重新设计，这些攻击似乎是不可修复的。我们对隐私的一些攻击利用了浏览器侧通道，到目前为止还没有得到很多关注。对于身份验证错误，我们提出了一个修复方案，并在我们的通用Web模型的轻微扩展中正式证明，修复后的系统满足我们考虑的所有要求。这构成了迄今为止基于Web基础设施的表达模型的Web应用程序的最复杂的形式化分析。作为另一个贡献，我们确定并证明了重要的安…
2015-04-01 cs.CR
SafeKeeper: Protecting Web Passwords using Trusted Execution Environments
密码无疑是当今网络上最主要的用户身份验证机制。虽然它们价格便宜且易于使用，但基于密码的身份验证的安全问题非常严重。网络钓鱼和盗窃密码数据库是两个关键问题。用户在不同服务之间重复使用密码的趋势加剧了这两个问题的影响。解决这些问题的当前解决方案并不完全令人满意：它们通常只解决两个问题中的一个;它们不保护密码不受流氓服务器的攻击;它们不向用户提供任何可验证的（服务器端）采用证据;并且它们在服务提供商的成本和/或最终用户的易用性方面面临可部署性挑战。我们提出了SafeKeeper，一个全面的方法来保护密码的机密性，在Web身份验证系统。与以前的方法不同，SafeKeeper可以保护用户密码免受非常强大的攻击，包括流氓服务器和复杂的外部钓鱼者。它的部署相对便宜，因为它（i）使用广泛可用的硬件安全机制，如英特尔SGX，（ii）集成到流行的Web平台，如WordPress，（iii）性能开销很小。我们描述了在设计和实施这样一个系统的各种挑战，以及我们如何克服它们。通过86名参与者的用户研究，系统的分析和实验，我们证明了SafeKeeper的可用性，安全性和可部署性，这是作为开源。
2018-04-23 cs.CR
An Architecture to Support the Invocation of Personal Services in Web Interactions
本文提出了一种体系结构，使Web服务提供商与个人服务进行交互。个人服务是普通的HTTP服务，根据服务提供商的请求，从浏览器调用这些服务，以在客户端提供某些服务，即，由浏览器用户定义的执行环境。个人服务既可以用于处理内容操作和呈现，也可以用于提供具有不同目标的请求-响应交互（例如用户身份验证）。与在每个HTTP请求上向服务提供商描述的插件不同，个人服务由服务提供商使用与每个浏览器密切合作的新型代理（Broker）显式搜索。我们已经实现了这个体系结构，并实现了一个HTTP代理来处理它。为了演示的目的，我们展示了如何使用个人服务进行电子身份证（eID）的个人认证
2019-04-02 cs.CR
Active Authentication on Mobile Devices via Stylometry, Application Usage, Web Browsing, and GPS Location
主动认证是基于个人与计算设备的交互的行为方面来持续验证个人身份的问题。在这项研究中，我们收集和分析了200名受试者的行为生物特征数据，每个人都使用他们的个人Android移动终端至少30天。该数据集在主动认证的背景下是新颖的，因为它的大小，持续时间，模态的数量，以及对跟踪活动的限制。研究中受试者的地理位置代表了大型封闭世界环境，例如组织，其中器械的未授权用户可能是内部威胁：来自组织内部。我们考虑了四种生物识别模式：（1）通过软键盘输入的文本，（2）使用的应用程序，（3）访问的网站，以及（4）通过GPS（在室外时）或WiFi（在室内时）确定的设备的物理位置。我们实现和测试的分类器为每种形式和组织的分类器作为一个并行的二元决策融合架构。我们能够表征系统的入侵者检测时间的性能，并量化每个模态对整体性能的贡献。
2015-03-29 cs.CR stat.ML
PAKE-based mutual HTTP authentication for preventing phishing attacks
本文提出了一种新的基于密码的Web系统的相互认证协议，以防止各种类型的钓鱼攻击。该协议在使用字典式攻击的情况下，也能保护用户的口令不受任何网络钓鱼者的攻击，防止网络钓鱼者模仿用户成功认证的假象。该协议的设计考虑了与许多最近的Web应用程序的互操作性，这些应用程序需要许多当前HTTP身份验证不提供的功能。该协议作为Internet草案提交给IETF，并在服务器端（作为Apache扩展）和客户端（作为基于Mozilla的浏览器和基于IE的浏览器）实现。本文还提出了一种新的用户界面，该协议始终是从虚假的对话由钓鱼者提供的区别。
2009-11-27 cs.CR cs.NI
Simple But Not Secure: An Empirical Security Analysis of Two-factor Authentication Systems
提出漏洞评估框架 SE2FA 分析 407 个 2FA 系统，发现三个零日漏洞，揭示简化设计对安全性的削弱，并提供加强 2FA 安全的对策建议。
2024-11-18 cs.CR
mPSAuth: Privacy-Preserving and Scalable Authentication for Mobile Web Applications
Institute of Applied Research (IAF), Karlsruhe University of Applied Sciences（卡尔斯鲁厄应用技术大学应用研究所）
针对移动 Web 行为认证中的隐私与可扩展性问题，本文提出 mPSAuth，在同态加密数据上运行认证协议和与用户数解耦的机器学习模型，并在真实移动应用数据上验证其高准确率与低开销。
2022-10-07 cs.CR cs.LG
Measuring Website Password Creation Policies At Scale
本文开发了一种自动推断网站密码创建策略的技术，并大规模测量了超过20K个网站的策略，首次为理解网络密码策略现状及改进认证提供了大规模实证依据。
2023-09-06 cs.CR
Securing Web Services Using XML Signature and XML Encryption
本文旨在评估XML签名和XML加密在Web服务安全中的重要性。在当今的业务场景中，组织正在将大量资源投入到Web服务中。Web服务事务主要通过SOAP和WSDL等纯文本XML格式完成，因此侵入它们并不是一项乏味的任务。XML签名和XML加密既保证了XML文档的安全性，又保留了文档的结构，从而使它们易于实现。从认证、授权、集成、机密性和不可否认性等方面对这两种方法进行了评估。
2013-03-05 cs.CR
One Click to Leak: Characterizing the Real-World Usage and Threat Impact of MNO-based Single Sign-On Websites
Tsinghua University（清华大学）；Zhongguancun Laboratory（中关村实验室）；Fudan University（复旦大学）；Baidu Inc.（百度公司）；Quancheng Laboratory（泉城实验室）
本研究分析基于移动网络运营商的单点登录（MSSO）网站，揭示其流程中的信任缺陷，提出一键泄露（OCL）攻击，并通过大规模纵向研究证实广泛存在的安全风险，旨在加强移动认证安全。
2026-09-14 cs.CR
The Web SSO Standard OpenID Connect: In-Depth Formal Security Analysis and Security Guidelines
基于Web的单点登录（SSO）服务，如Google Sign-In和Log In with Paypal，都是基于OpenID Connect协议的。该协议使所谓的依赖方能够将用户认证委托给所谓的身份提供者。OpenID Connect是Web上最新和部署最广泛的单点登录协议之一。尽管它很重要，但到目前为止，它还没有受到安全研究人员的重视，特别是没有进行任何严格的安全分析。本文首先对OpenID Connect进行了深入的安全分析。为此，我们使用一个全面的通用模型的网络开发一个详细的正式模型的OpenID连接。基于这个模型，我们精确地形式化和证明了OpenID Connect的中心安全属性，包括身份验证，授权和会话完整性属性。在我们对OpenID Connect的建模中，我们采用了安全措施，以避免以前发现的对OpenID Connect的攻击，以及我们在本文中首次记录的新攻击变体。基于这些安全措施，我们提出了OpenID连接的实施者的安全准则。我们的正式分析表明，这些准则实际上是有效和充分的。
2017-04-27 cs.CR
A Spark is Enough in a Straw World: a Study of Websites Password Management in the Wild
在线网站中密码认证的广泛使用导致了越来越多的关注，特别是当考虑到攻击者通过利用密码恢复机制中的漏洞来恢复用户密码的可能性时。事实上，如果一个网站采用了一个糟糕的密码管理系统，这种选择甚至会使用户选择的最强大的密码变得无用。在本文中，我们首先提供了一个调查目前采用的密码恢复机制。稍后，我们将对具有不同能力的攻击者进行建模，并展示如何在我们的攻击者模型中利用当前的密码恢复机制。然后，我们提供了一些Alexa的前200名网站在不同国家，包括英国，法国，德国，西班牙和意大利的密码管理的透彻分析。在这1,000个网站中，有722个不需要认证，因此被排除在我们的研究之外，而在剩下的278个网站中，我们重点关注了174个，因为104个网站需要复杂的注册程序。在这174个漏洞中，近25%存在严重漏洞，而44%存在某种形式的漏洞。最后，我们提出了一些有效的对策，并指出，考虑到2018年5月《通用数据保护条例》（GDPR）的生效，大多数网站都不符合立法规定，可能会面临巨额罚款。这项研究，除了本身很重要，因为它强调了一些严重的当前脆弱性，并提出了相应的补救措施，也有可能对欧盟工业生态系统产生相关的影响。
2018-04-24 cs.CR
Strong authentication on smart wireless devices
无线技术的快速部署已经导致了移动电话和其他无线设备已经成为包括家庭在内的所有类型的活动中的基本要素的现状。特别地，例如，智能电话和膝上型计算机用于无线共享照片和文档、玩游戏、浏览网站和观看多媒体。这项工作描述了一个建议，桌面和移动应用程序，使用基于身份的密码（IBC），以保护智能无线设备之间的通信在家里。它将用于Wi-Fi和蓝牙通信的IBC与用于安全认证的有前途的近场通信（NFC）技术相结合。所提出的方案涉及NFC配对以建立链接到设备的一条信息（诸如电话号码或IP地址）作为公钥。以这种方式，这样的信息然后可以在用于对等通信的IBC方案中使用。这是一项正在进行的工作，但在几个移动平台上初步实现的原型已经产生了有希望的结果。
2022-08-06 cs.CR
What's in Score for Website Users: A Data-driven Long-term Study on Risk-based Authentication Characteristics
基于风险的身份验证（RBA）旨在加强而不是取代基于密码的身份验证。RBA通过在登录过程中监视和记录其他功能来实现这一目标。如果登录时的特征值与之前观察到的特征值有很大差异，RBA会要求提供额外的身份证明。尽管NIST数字身份指南推荐使用RBA，但到目前为止，它几乎只被主要的在线服务使用。这部分是由于缺乏开放的知识和实施，这将允许任何服务提供商向其用户转出RBA保护。为了弥补这一差距，我们首次深入分析了实际部署中的RBA特性。我们观察了N=780个用户，在现实世界的在线服务上有247个独特的功能超过1.8年。基于我们收集的数据集，我们提供了（i）两个RBA实现的行为分析，这些RBA实现显然被主要的在线服务广泛使用，（ii）特征的基准测试，以提取最适合RBA使用的子集，（iii）之前未在RBA中使用的新特征，以及（iv）对RBA性能有重大影响的因素。我们的研究结果表明，RBA需要仔细定制每个在线服务，因为即使是很小的配置调整也会极大地影响RBA的安全性和可用性。我们提供了关于特征选择、权重和风险分类的见解，以便在最少的登录尝试次数后从RBA中受益。
2021-01-26 cs.CR cs.HC
Reducing Trust in Automated Certificate Authorities via Proofs-of-Authentication
本文提出在证书中嵌入来自主体且防重放的身份认证证明，以降低基于 OIDC 的自动化 CA 可冒充任意身份的信任风险，并在 Sigstore 中完成低改动概念验证。
2023-07-17 cs.CR
A Longitudinal Study on Web-sites Password Management (in)Security: Evidence and Remedies
单因素基于密码的身份验证通常是访问在线网站的标准。虽然单因素身份验证众所周知是一种弱形式的身份验证，但当考虑攻击者通过利用密码恢复机制中的漏洞来恢复用户密码的可能性时，会产生进一步的担忧。事实上，一个网站采用一个糟糕的密码管理系统，即使是注册用户选择的最强大的密码也毫无用处。在本文中，我们以前的工作的基础上，我们研究了可能的攻击在线密码恢复系统分析的机制，实现了一些最流行的网站。具体来说，我们提供了几个贡献：（i）我们修改和详细说明了攻击者模型;（ii）我们提供了关于我们在2017年12月进行的初步研究的更新分析;（iii）我们对五个主要欧盟国家的当前前200名Alexa网站进行了全新的分析;和，（iv）我们提出了\sol，一个工作的开源模块，可以通过任何Web站点为注册用户提供密码恢复机制，以防止邮件服务提供商级别的攻击。总的来说，值得注意的是，分析的网站几乎没有（如果有的话）努力遵守GDPR法规，这表明尽管受到GDPR的罚款威胁，但建立基本用户保护机制的目标仍然很远，主要是因为低于标准的安全管理实践。最后，值得注意的是，虽然这项研究的重点是欧盟注册的网站，拟议的解决方案，而不是，普遍适用。
2020-01-29 cs.CR cs.CY
On the security of modern Single Sign-On Protocols: Second-Order Vulnerabilities in OpenID Connect
OAuth是Web授权的新事实标准。OAuth的一个重要限制是它是为授权而不是身份验证而设计的。因此，使用OAuth进行身份验证会导致严重的漏洞，如Zhou et. [44]和Chen et.等[9]。OpenID Connect是在OAuth之上创建的，通过提供联合身份管理和用户身份验证来填补这一空白。OpenID Connect于2014年2月标准化，但Google，Microsoft，AOL和PayPal等领先公司已经在其Web应用程序中使用它[1]，[2]，[3]，[30]。在本文中，我们描述了OpenID Connect协议，并提供了第一次深入分析的关键功能之一：发现和动态注册扩展。我们提出了一类新的攻击OpenID连接，属于二阶漏洞的类别。这些攻击包括两个阶段：首先，注入有效载荷由合法应用程序存储。稍后，此有效载荷用于安全关键操作。我们的新攻击类别-称为恶意端点攻击-利用OpenID Connect扩展发现和动态注册。这些攻击会破坏用户身份验证，损害用户隐私，并启用服务器端请求伪造（SSRF），客户端代码注入和拒绝服务（DoS）。因此，当这些扩展以其目前的形式启用时，OpenID Connect协议的安全性无法得到保证。我们联系了OpenID Connect和OAuth规范的作者。他们承认我们的恶意端点攻击，并认识到需要改进规范[29]。我们目前正在讨论如何缓解现有的问…
2016-01-07 cs.CR
Broken Access: On the Challenges of Screen Reader Assisted Two-Factor and Passwordless Authentication
Texas A&M University（德克萨斯农工大学）
本文提出AWARE框架，用于评估屏幕阅读器辅助的双因素和无密码认证的可访问性与安全性，揭示现实场景中的脆弱性。
2026-03-08 cs.CR cs.HC
Evaluation of Static Analysis on Web Applications
Web服务正在成为业务关键组件，通常部署有可能被恶意利用的关键软件错误。Web漏洞扫描器允许通过从攻击者的角度强调服务来检测Web服务中的安全漏洞。然而，研究和实践表明，不同的扫描程序在漏洞检测方面的表现是不同的。本文提出了一个定性的评估Web应用程序中发现的安全漏洞。一些著名的漏洞扫描器已被用于识别Web服务实现中的安全漏洞。已经观察到许多漏洞，这证实了许多服务是在没有进行适当的安全测试的情况下部署的。此外，在回顾和考虑了几篇文章后，检测到的漏洞的差异和观察到的大量误报突出了Web漏洞扫描器在检测Web服务中的安全漏洞方面的局限性。此外，这项工作将讨论的静态分析方法，发现安全漏洞的Web应用程序，并补充它与成熟的研究成果或解决方案。这些漏洞包括破坏的访问控制、跨站点脚本、SQL注入、缓冲区溢出、不受限制的文件上传、破坏的身份验证等。Web应用程序正在成为企业的关键任务组件，可能存在黑客可以恶意利用的多个软件漏洞。少数漏洞扫描器已被用于检测Web服务应用程序中的安全漏洞，并发现了许多漏洞，从而证实了许多在线应用程序在没有进行充分安全测试的情况下启动。
2022-12-13 cs.CR
Validating a Web Service Security Abstraction by Typing
XML Web服务大致上是一种RPC服务，其中请求和响应以XML编码为SOAP信封，并通过HTTP传输。我们考虑在SOAP级别对请求和响应进行身份验证的问题，而不是依赖于传输级别的安全性。我们提出了一个安全的抽象，灵感来自早期的工作安全RPC，其中的Web服务导出的方法注释与三个安全级别之一：无，认证，或认证和加密。我们的抽象模型作为一个对象演算与原语定义和调用Web服务。我们描述我们的对象演算的语义，通过翻译到一个较低层次的语言与原语的消息传递和密码学。为了验证我们的语义，我们嵌入了指定请求和响应的正确身份验证的对应断言。借助Gordon和Jeffrey的Cryptyc密码协议的类型论，我们简单地通过类型化来验证对应断言。最后，我们描述了我们的语义通过自定义SOAP头的实现。
2004-12-10 cs.CR
LemonLDAP::NG -- A Full AAA Free Open Source WebSSO Solution
如今，安全正成为一个主要的问题和关注。越来越多的组织，如医院，大都市或银行，受到网络攻击，必须提高其网络基础设施的安全性。第一个先决条件是对用户进行身份验证，提供身份并仅授予所需和有用的访问权限。这些需求可以通过实现单点登录（SSO）解决方案来解决。它是一种身份验证方案，允许用户使用单个身份登录到多个相关但独立的系统中的任何一个。它允许用户登录一次并访问服务，而无需再次进行身份验证。SSO解决方案根据身份验证、授权和计费功能进行分类。AAA定义了一个框架，用于智能地控制对资源的访问、实施安全策略、审计使用情况以及提供对服务进行计费所需的信息。这些组合过程对于有效的网络管理和网络安全非常重要。LemonLDAP：：NG（LL：：NG）是一个完整的AAA WebSSO解决方案。它实现了所有标准的身份验证和身份联合（IdF）协议。与其他产品相比，LL：：NG的主要优势是其插件引擎和基于处理程序的高级保护机制，可用于保护Server 2Server交换或提供SSO即服务，这是一种实现完整DevOps架构的解决方案。LL：：NG是一个社区和专业项目，主要由法国政府自2010年以来雇用，以确保警察，财政或司法部门以及法国移动运营商的IT基础设施。但是几年来，来自世界各地的贡献和LL：：NG变得越来越受欢迎。
2023-01-26 cs.CR cs.NI
Authentication, Authorization, and Selective Disclosure for IoT data sharing using Verifiable Credentials and Zero-Knowledge Proofs
随着物联网变得无所不在，产生了大量数据，这些数据可用于构建创新应用程序。然而，互操作性问题和安全问题阻止了这些数据的全部潜力。在本文中，我们考虑了智能建筑产生的数据的用例。通过集成物联网设备，建筑物正在变得越来越“智能”，这些设备通过传感和自动化来提高舒适度。然而，这些设备及其数据通常在特定应用或制造商中是孤立的，即使它们对于提供不同类型的“过顶”服务的各种感兴趣的利益相关者可能是有价值的，例如，能源管理大多数数据共享技术都遵循“全有或全无”的方法，这会造成重大的安全和隐私威胁，即使是部分暴露的、隐私保护的数据子集也会推动创新应用。考虑到这些，我们开发了一个平台，可以控制，保护隐私的数据项共享。我们的系统在两个方面进行了创新：首先，它提供了一个框架，允许在不违反其完整性的情况下发现和选择性地披露物联网数据。其次，它提供了一种用户友好的、直观的机制，允许对共享数据进行有效的、细粒度的访问控制。我们的解决方案利用了自主身份、可验证凭据和零知识证明领域的最新进展，并将它们集成到一个结合了行业标准授权框架OAuth 2.0和物联网规范的平台中。
2022-09-01 cs.CR
How Not to Handle Keys: Timing Attacks on FIDO Authenticator Privacy
本文提出了一种对FIDO 2（快速身份验证在线）认证协议的定时攻击，该协议允许攻击者链接存储在易受攻击的认证器中的用户帐户，这是一个严重的隐私问题。FIDO 2是FIDO行业联盟为安全令牌在线身份验证指定的新标准。它补充了W3C WebAuthn规范，提供了在身份验证过程中使用USB令牌或其他令牌作为第二因素的方法。从密码学的角度来看，该协议是一个简单的挑战-响应，其中椭圆曲线数字签名算法用于签署挑战。为了保护用户的隐私，令牌对每个服务使用唯一的密钥对。为了适应小内存，令牌使用各种技术，这些技术利用服务发送给令牌的称为密钥句柄的特殊参数。我们识别并分析了密钥句柄处理方式中的一个漏洞，该漏洞允许攻击者远程链接多个服务上的用户帐户。我们发现，对于脆弱的认证有一个不同的服务，但正确的认证，并为不同的认证，但正确的服务处理密钥句柄所需的时间之间的差异。这种差异可用于执行定时攻击，从而允许攻击者将用户的帐户跨服务链接起来。我们提出了几个现实世界的例子，对手是在一个位置，执行我们的攻击，并可以受益于链接帐户。我们发现，我们测试的八个硬件身份验证器中有两个尽管获得了FIDO 1级认证，但仍然存在漏洞。由于出于安全原因，身份验证程序通常不允许固件更新，因此无法轻松缓解此漏洞。此外，我们表明，由于现有的浏览器实现WebAuthn标准的方式，攻击可以远程执行。
2022-05-17 cs.CR
ROSTAM: A Passwordless Web Single Sign-on Solution Mitigating Server Breaches and Integrating Credential Manager and Federated Identity Systems
针对Web应用仍依赖密码、企业SSO覆盖不全的问题，提出整合凭证管理与联邦身份的无密码单点登录方案ROSTAM，用主密钥保障密码安全并实现密钥同步恢复，兼具两类系统优势。
2023-10-08 cs.CR
Nano-Resolution Visual Identifiers Enable Secure Monitoring in Next-Generation Cyber-Physical Systems
本文提出利用枝晶作为纳米分辨率视觉标识符，构建端到端供应链安全监控系统，通过电化学生成不可克隆图案，结合轻量识别与深度认证方法，并采用两步搜索实现可扩展性。
2022-11-16 cs.CR
Quantum-Safe Web Service Architecture Using Time-Based One-Time Passwords
Chunghwa Telecom Laboratories（中华电信实验室）
本研究开发了一种量子安全Web服务架构，采用基于后量子密码学的TLS与HTTPS保障传输安全，通过HMAC驱动的TOTP保障服务安全，并实验对比了四种哈希算法的性能以支撑部署。
2026-08-19 cs.CR cs.NI cs.PF
Killing the Password and Preserving Privacy with Device-Centric and Attribute-based Authentication
目前Web上的身份验证方法存在严重的缺陷。首先，服务严重依赖于传统的密码范例，这降低了最终用户的安全性和可用性。其次，缺乏基于属性的身份验证不允许对服务进行匿名保护访问。第三，用户拥有多个在线账户，这些账户往往反映出不同的身份特征。这使得用户难以证明身份属性的组合。在本文中，我们提出了一个隐私保护架构，以设备为中心和基于属性的身份验证，基于以下方面来解决这些弱点：1）可用/强大的以设备为中心的身份验证方法和联合登录解决方案之间的无缝集成; 2）分离授权、认证、行为认证和标识的关注点，以促进增量部署，广泛采用并符合NIST保证级别;以及3）一个新颖的集中式组件，允许最终用户执行身份配置文件和同意管理，以证明分散的身份方面的组合，并在设备丢失的情况下执行帐户恢复。据我们所知，这是在集成架构下融合上述技术的第一次努力。这种体系结构有效地认为密码范例过时，对服务提供商的软件栈进行最小的修改。
2020-01-16 cs.CR cs.NI
