Passwords Are Meant to Be Secret: A Practical Secure Password Entry Channel for Web Browsers
本文提出一种由密码管理器自动填充假密码、再由浏览器在请求发送前替换为真密码的安全输入方案，有效阻止恶意脚本和扩展窃取凭证，且无需用户改变行为。
2024-02-09 cs.CR
Web password recovery --- a necessary evil?
Web密码恢复使忘记密码的用户能够重新建立与网站的共享秘密，这是非常广泛的实现。然而，使用这种回退系统会给用户身份验证带来额外的漏洞。本文提供了一个框架内，这样的系统可以进行系统的分析，并利用这一点，以帮助更好地了解如何最好地实现这样的系统。为此，给出了一个Web密码恢复模型，并在该模型的背景下记录和分析了现有技术。这自然会导致一组建议，管理这些系统应该如何实现最大限度的安全性。还强调了一系列需要进一步研究的问题。
2018-01-30 cs.CR
A Spark is Enough in a Straw World: a Study of Websites Password Management in the Wild
在线网站中密码认证的广泛使用导致了越来越多的关注，特别是当考虑到攻击者通过利用密码恢复机制中的漏洞来恢复用户密码的可能性时。事实上，如果一个网站采用了一个糟糕的密码管理系统，这种选择甚至会使用户选择的最强大的密码变得无用。在本文中，我们首先提供了一个调查目前采用的密码恢复机制。稍后，我们将对具有不同能力的攻击者进行建模，并展示如何在我们的攻击者模型中利用当前的密码恢复机制。然后，我们提供了一些Alexa的前200名网站在不同国家，包括英国，法国，德国，西班牙和意大利的密码管理的透彻分析。在这1,000个网站中，有722个不需要认证，因此被排除在我们的研究之外，而在剩下的278个网站中，我们重点关注了174个，因为104个网站需要复杂的注册程序。在这174个漏洞中，近25%存在严重漏洞，而44%存在某种形式的漏洞。最后，我们提出了一些有效的对策，并指出，考虑到2018年5月《通用数据保护条例》（GDPR）的生效，大多数网站都不符合立法规定，可能会面临巨额罚款。这项研究，除了本身很重要，因为它强调了一些严重的当前脆弱性，并提出了相应的补救措施，也有可能对欧盟工业生态系统产生相关的影响。
2018-04-24 cs.CR
Measuring Website Password Creation Policies At Scale
本文开发了一种自动推断网站密码创建策略的技术，并大规模测量了超过20K个网站的策略，首次为理解网络密码策略现状及改进认证提供了大规模实证依据。
2023-09-06 cs.CR
ROSTAM: A Passwordless Web Single Sign-on Solution Mitigating Server Breaches and Integrating Credential Manager and Federated Identity Systems
针对Web应用仍依赖密码、企业SSO覆盖不全的问题，提出整合凭证管理与联邦身份的无密码单点登录方案ROSTAM，用主密钥保障密码安全并实现密钥同步恢复，兼具两类系统优势。
2023-10-08 cs.CR
SafeKeeper: Protecting Web Passwords using Trusted Execution Environments
密码无疑是当今网络上最主要的用户身份验证机制。虽然它们价格便宜且易于使用，但基于密码的身份验证的安全问题非常严重。网络钓鱼和盗窃密码数据库是两个关键问题。用户在不同服务之间重复使用密码的趋势加剧了这两个问题的影响。解决这些问题的当前解决方案并不完全令人满意：它们通常只解决两个问题中的一个;它们不保护密码不受流氓服务器的攻击;它们不向用户提供任何可验证的（服务器端）采用证据;并且它们在服务提供商的成本和/或最终用户的易用性方面面临可部署性挑战。我们提出了SafeKeeper，一个全面的方法来保护密码的机密性，在Web身份验证系统。与以前的方法不同，SafeKeeper可以保护用户密码免受非常强大的攻击，包括流氓服务器和复杂的外部钓鱼者。它的部署相对便宜，因为它（i）使用广泛可用的硬件安全机制，如英特尔SGX，（ii）集成到流行的Web平台，如WordPress，（iii）性能开销很小。我们描述了在设计和实施这样一个系统的各种挑战，以及我们如何克服它们。通过86名参与者的用户研究，系统的分析和实验，我们证明了SafeKeeper的可用性，安全性和可部署性，这是作为开源。
2018-04-23 cs.CR
Passwords and FIDO2 Are Meant To Be Secret: A Practical Secure Authentication Channel for Web Browsers
本文针对密码管理器自动填充和FIDO2协议面临本地攻击的问题，提出并实现两种防御方案，在Firefox中验证可防XSS和恶意扩展，兼容性高。
2025-10-15 cs.CR
The Emperor is Now Clothed: A Secure Governance Framework for Web User Authentication through Password Managers
针对现有密码管理器与Web应用交互方案的功能缺陷与安全漏洞，提出基于浏览器的Berytus治理框架，通过双API协调二者交互，可有效缓解多类网络攻击，支持多种认证模式并已在Firefox中实现验证。
2024-07-12 cs.CR
Fluid Passwords - Mitigating the effects of password leaks at the user level
近年来，密码泄露事件频繁发生，索尼、亚马逊、LinkedIn和沃尔玛等大公司都成为涉及客户信息泄露的受害者。尽管密码通常存储在加盐哈希中，但由于不安全的密码选择和密码重用，攻击者仍然会猜测密码。但是，密码泄露的不利影响可以通过更改用户的密码来减轻。我们引入了一个简单而强大的算法来自动重置用户帐户密码，同时仍然允许用户进行身份验证，而无需他们付出任何额外的努力。我们将我们的算法实现为Firefox附加组件，当用户登录到他们的帐户时，它会自动重置用户的密码，并将新密码存储在内置的Firefox密码管理器中。
2017-08-30 cs.CR
WebCrack: Dynamic Dictionary Adjustment for Web Weak Password Detection based on Blasting Response Event Discrimination
不同Web系统在页面元素、提交内容和返回信息等方面的特征差异给弱口令的自动检测带来了困难。针对这一问题，提出在DBKER算法中集成多因素相关检测方法，实现Web弱口令和通用口令的自动检测。基于PCFG算法生成密码字典，提出利用传统的静态关键字特征和动态页面特征信息分4步判断爆破结果。然后根据响应时间判别爆破失败事件并爆破用户名。此后，根据响应失败页面提供的提示动态调整弱密码字典。基于该算法，本文实现了一个检测系统WebCrack。DedeCMS和Discuz！系统以及随机后台测试表明，该方法可以检测出各种Web系统的弱口令和通用口令，平均准确率达到93.75%，为用户的口令设置提供了安全依据，具有很强的实用性。
2022-10-26 cs.CR cs.DS
Securing Password Authentication for Web-based Applications
密码的使用和保护密码的需求不会消失。大多数需要身份验证的网站继续支持密码身份验证。即使是部署了双因素身份验证的高安全性应用程序（如Internet Banking门户），也依赖密码身份验证作为身份验证因素之一。然而，尽管在检测和移除方面做出了积极的努力，以及全面的用户意识和培训计划，网络钓鱼攻击仍然困扰着基于密码的身份验证。目前，即使是注重安全的网站，也没有一种万无一失的机制来防止用户被引导到欺诈网站并使他们的密码被钓鱼。在本文中，我们应用威胁分析的Web密码登录过程中，发现了HTML<inputtype=“password”>字段的设计漏洞。由于Web身份验证过程从每个输入密码字段到Web服务器都不是端到端安全的，因此可以利用此漏洞进行网络钓鱼攻击。我们确定了四个属性，封装的要求，以阻止基于Web的密码钓鱼，并提出了一个安全的协议，用于一个新的凭据字段，符合这四个属性。我们通过滥用案例评估进一步分析了所提出的协议，讨论了各种部署问题，并进行了测试实现，以了解其数据和执行开销
2020-11-12 cs.CR cs.NI
AuthStore: Password-based Authentication and Encrypted Data Storage in Untrusted Environments
密码广泛用于客户端到服务器的身份验证以及用于加密存储在不受信任的环境中的数据，例如云存储。身份验证和加密云存储通常是单独讨论的。在这项工作中，我们提出了AuthStore，一个灵活的身份验证框架，允许用户安全地重复使用密码进行身份验证，以及在一个或多个服务提供商的加密云存储。用户可以使用密码扩展技术配置如何保护安全密码。我们提出了一个紧凑的密码认证密钥交换协议（CompactPAKE），集成了检索的密码拉伸参数。一个参数攻击的描述，我们将展示如何现有的解决方案遭受这种攻击。此外，我们还介绍了一个支持CompactPAKE的密码管理器。
2018-05-14 cs.CR
PassREfinder-FL: Privacy-Preserving Credential Stuffing Risk Prediction via Graph-Based Federated Learning for Representing Password Reuse between Websites
Kwangwoon University（光州大学）
提出 PassREfinder-FL，用图神经网络链接预测网站间密码重用风险，并结合联邦学习保护隐私，真实大规模数据上 F1 达 0.9153。
2025-10-17 cs.AI cs.CR cs.LG
Preventing Phishing Attacks using One Time Password and User Machine Identification
网络钓鱼是一种网络犯罪分子欺骗受害者窃取其个人和财务数据的攻击类型。它已成为一种有组织的犯罪活动。声称来自合法来源的欺骗性电子邮件是精心制作的，目的是通过将受害者误导到假冒网站来泄露他们的个人财务数据。本文提出了一种新的方法来对抗网络钓鱼攻击。提出了一种方法，其中用户将通过SMS或备用电子邮件地址检索一次性密码。在接收到一次性密码后，Web服务器将为用户的计算机或设备创建加密令牌以进行身份验证。加密令牌将用于识别，任何时候用户希望访问网站，他或她必须请求新密码。顾名思义，一次性密码将在一次性使用后过期。一次性密码和加密令牌是解决这个问题的一个聪明的方法。
2013-05-13 cs.CR
SSH-Passkeys: Leveraging Web Authentication for Passwordless SSH
本文提出SSH-Passkeys框架，利用WebAuthn和UNIX PAM实现无密码SSH认证，在兼容现有服务器且无需客户端新软件的前提下，有效防止密钥泄露与钓鱼，将关键安全错误降低90%并将认证时间缩短4倍。
2025-07-11 cs.CR
Quantifying User Password Exposure to Third-Party CDNs
Web服务通常采用内容分发网络（CDN）来提高性能和安全性。随着网络流量成为100% HTTPS，越来越多的网站允许CDN终止其HTTPS连接。这种做法可能会将网站的用户敏感信息（如用户的登录密码）暴露给第三方CDN。在本文中，我们测量和量化了用户密码暴露于第三方CDN的程度。我们发现，在Alexa排名前5万的网站中，至少有12,451个使用CDN并包含用户登录入口。在这些网站中，33%的网站将用户的密码暴露给CDN，一个流行的CDN可能会观察到超过40%的客户的密码。这一结果表明，如果CDN基础设施存在漏洞或受到内部攻击，许多用户的帐户将面临风险。如果我们假设攻击者是被动窃听者，则网站可以通过加密HTTPS连接中的用户密码来避免此漏洞。我们的测量显示，只有不到17%的网站采取了这一对策。
2023-02-01 cs.CR cs.NI
A Cryptographic Mutual Authentication Scheme for Web Applications
当前大多数Web身份验证都是基于用户名/密码的。不幸的是，密码替换提供了更多的安全性，但它很难使用，部署成本也很高。在本文中，我们提出了一个新的相互认证方案称为StrongAuth，保留了大多数密码认证的优点，同时提高了安全性，使用密码原语。我们的方案不仅为网站管理员提供了一个清晰的框架来建立安全的用户认证，但它也提供了几乎相同的传统用户体验。安全性分析表明，该方案满足用户认证的安全性要求，能够抵抗各种可能的攻击。
2014-12-09 cs.CR
SoK: Web Authentication in the Age of End-to-End Encryption
本文系统梳理了端到端加密（E2EE）服务和无密码认证在安全性、隐私、可用性与可恢复性方面的现有研究与行业实践，调查了主流E2EE服务及Top-200网站，并指出了学术界与工业界之间的差距及未来研究方向。
2024-06-26 cs.CR
A Longitudinal Study on Web-sites Password Management (in)Security: Evidence and Remedies
单因素基于密码的身份验证通常是访问在线网站的标准。虽然单因素身份验证众所周知是一种弱形式的身份验证，但当考虑攻击者通过利用密码恢复机制中的漏洞来恢复用户密码的可能性时，会产生进一步的担忧。事实上，一个网站采用一个糟糕的密码管理系统，即使是注册用户选择的最强大的密码也毫无用处。在本文中，我们以前的工作的基础上，我们研究了可能的攻击在线密码恢复系统分析的机制，实现了一些最流行的网站。具体来说，我们提供了几个贡献：（i）我们修改和详细说明了攻击者模型;（ii）我们提供了关于我们在2017年12月进行的初步研究的更新分析;（iii）我们对五个主要欧盟国家的当前前200名Alexa网站进行了全新的分析;和，（iv）我们提出了\sol，一个工作的开源模块，可以通过任何Web站点为注册用户提供密码恢复机制，以防止邮件服务提供商级别的攻击。总的来说，值得注意的是，分析的网站几乎没有（如果有的话）努力遵守GDPR法规，这表明尽管受到GDPR的罚款威胁，但建立基本用户保护机制的目标仍然很远，主要是因为低于标准的安全管理实践。最后，值得注意的是，虽然这项研究的重点是欧盟注册的网站，拟议的解决方案，而不是，普遍适用。
2020-01-29 cs.CR cs.CY
On the Account Security Risks Posed by Password Strength Meters
本文分析11种密码强度计，揭示数据驱动模型的训练密码泄露与规则型模型的拦截密码公开问题，并提出感知强度计攻击，证明 Zxcvbn 部署场景下账户面临额外风险。
2025-05-13 cs.CR
Usability of Humanly Computable Passwords
在多个网站上重复使用密码是一种危及安全的常见做法。最近，Blum和Vempala提出了密码策略，帮助人们在不依赖第三方工具或外部设备的情况下计算不同网站的密码。到目前为止，这些“心理算法”的安全性和效率仅在理论上进行了分析。但这些方法是否可行呢？我们提出了人类可计算的密码策略的第一个可用性研究，包括学习阶段（学习密码策略），然后排练阶段（登录到几个网站），和多个后续测试。在我们的用户研究中，经过培训，参与者能够在20秒内为任意新网站计算出确定性的八个字符密码。
2018-05-24 cs.CR cs.CY cs.HC
Naturally Rehearsing Passwords
我们引入量化的可用性和安全性模型来指导密码管理方案的设计-帮助用户创建和记住多个密码的系统策略。与密码学中的安全证明基于复杂性理论假设（例如，困难的因素和离散对数），我们量化的可用性引入可用性假设。特别地，密码管理依赖于关于人类记忆的假设，例如，遵循特定排练时间表的用户将成功地保持相应的存储器。这些假设是由认知科学的研究提供信息，并通过实证研究得到验证。给定排练要求和用户对每个帐户的访问时间表，我们使用用户为了记住所有密码而必须进行的额外排练的总数来衡量密码方案的可用性。我们的可用性模型使我们得到一个关键的观察结果：密码重用不仅通过减少用户必须记住的密码数量而使用户受益，更重要的是通过增加每个密码的自然排练率。我们还提出了一个安全模型，该模型考虑了多个帐户和相关威胁（包括在线，离线和明文密码泄漏攻击）的密码管理的复杂性。观察到目前的密码管理方案是不安全的或不可用的，我们提出了共享线索-一个新的计划，其中的基础秘密是战略性地跨帐户共享，以确保大多数排练的要求自然得到满足，同时提供强大的安全性。该构造使用中国剩余定理来实现这些竞争目标。
2013-09-09 cs.CR
Is FIDO2 Passwordless Authentication a Hype or for Real?: A Position Paper
FIDO 2标准所附带的操作系统和浏览器支持，以及智能手机上越来越多的生物识别用户验证选项，让每个人都对无密码的未来感到兴奋，尤其是大型科技公司。梦想成真了吗？我们终于完全摆脱了密码吗？在这份立场文件中，我们认为，尽管无密码认证在某些情况下可能更可取，但在可预见的未来，在网络上消除密码仍然是不可能的。我们用五个主要理由来捍卫我们的立场，这些理由要么得到最近文献结果的支持，要么得到我们自己的技术和业务经验的支持。我们相信我们的讨论也可以作为一个研究议程，包括有前途的未来工作方向（无密码）用户身份验证。
2022-11-14 cs.CR
Quantum-Safe Web Service Architecture Using Time-Based One-Time Passwords
Chunghwa Telecom Laboratories（中华电信实验室）
本研究开发了一种量子安全Web服务架构，采用基于后量子密码学的TLS与HTTPS保障传输安全，通过HMAC驱动的TOTP保障服务安全，并实验对比了四种哈希算法的性能以支撑部署。
2026-08-19 cs.CR cs.NI cs.PF
Hash chaining degrades security at Facebook
本文首次揭示 Facebook 密码存储方案因临时升级哈希算法而存在安全弱点，并讨论了该漏洞的影响及遵循道德披露的实践。
2025-10-14 cs.CR
Pathwords: a user-friendly schema for common passwords management
许多基于计算机的认证模式是基于口令的。登录计算机、阅读电子邮件、访问Web服务器上的内容都是应用程序的示例，其中通常通过将用户提供的数据与应用程序已知的数据进行匹配来完成用户的识别。这种广泛的方法依赖于一些假设，这些假设的满足对于保证解决方案的鲁棒性至关重要。其中的一些假设，如有一个“安全”的通道来传输数据，或有健全的算法来检查数据的正确性，没有在本文中讨论。我们将集中讨论两个简单的问题：使用适当密码的问题和管理密码的问题。建议的解决方案，路径字，是一种方法，保证：1，在路径字的帮助下生成的密码是足够的（即，他们不容易猜测），2，管理路径字是更用户友好的管理密码和路径字是不太容易受到密码的典型问题。
2005-11-16 cs.CR
Password-Based Authentication and The Experiences of End Users
本文通过调查尼日利亚东南部大学社区291名师生在社交媒体、网购、电子医疗和网银中的密码使用体验，发现该地区账户被盗不常见，受访者密码体验良好。
2023-05-30 cs.CR
A novel Two-Factor HoneyToken Authentication Mechanism
大多数系统依赖于密码的用户身份验证，但密码有很多弱点和广泛的使用，很容易引起重大的安全问题，无论其加密形式如何。用户为不同的帐户持有相同的密码，管理员从不检查密码文件中可能导致成功破解的缺陷，以及缺乏关于定期密码更换的严格安全策略是需要解决的几个问题。拟议的研究工作旨在加强这种安全机制，防止渗透，密码盗窃，并试图闯入安全计算系统。所选的解决方案方法是双重的;它实现了双因素身份验证方案以防止未经授权的访问，并伴随着Honeyword原则来检测损坏或被盗的令牌。两者都可以集成到任何平台或Web应用程序中，使用QR码和手机。
2021-01-20 cs.CR
Evaluating Password Advice
标准机构、公司、网站和专家不断发布密码建议。但就所提供的建议而言，似乎存在很大的差异。用户已经注意到，不同的网站正在执行不同的限制。例如，需要不同的字母和数字、数字和专用字符的组合。我们收集了密码建议，发现一个组织发布的建议可能直接与另一个组织提供的建议相矛盾。我们的论文旨在阐明有趣的特性的一个样本的密码建议分布。我们还创建了一个框架，用于确定与实施密码建议相关的成本。在这样做的时候，我们确定了密码建议经常被嘲笑和忽视的原因。
2017-10-26 cs.CR cs.CY cs.HC
Password-authenticated Decentralized Identities
密码验证身份是互联网上最广泛的用户验证方法，用户在其中与各个服务器建立用户名-密码对，并在以后使用它们进行验证。虽然它们简单、用户友好且被广泛采用，但它们提供了不安全的身份验证，并将服务器操作员定位为受信任方，使他们能够完全控制用户的身份。为了减轻这些限制，许多身份系统采用了公钥密码学和分散化概念。然而，所有这些系统都需要用户创建和管理公钥-私钥对。不幸的是，用户通常没有所需的知识和资源来正确处理他们的加密秘密，这可能导致许多以最终用户为中心的公钥基础设施（PKI）失败。事实上，到目前为止，没有一种能够向Web服务器验证用户的最终用户PKI具有显著的采用率。在本文中，我们提出了密码认证的分散身份（PDID），身份和认证框架，用户可以注册自己的主权用户名密码对，并使用它们作为通用凭证。我们的系统提供了全球命名空间，人类有意义的用户名，并对用户名冲突攻击的弹性。用户的身份可用于向任何服务器认证用户，而不向该服务器泄露关于密码的任何信息，从而不可能针对密码进行离线字典式攻击。我们分析PDID并使用现有的基础设施和工具实现它。我们报告我们的实施和评估。
2021-09-16 cs.CR
Human-Usable Password Schemas: Beyond Information-Theoretic Security
密码用户经常使用过于简单的密码，或者他们只是重复使用多个网站的密码。一个常见的抱怨是，使用安全密码太难了。这个问题的一个可能的解决方案是使用密码模式。密码模式是确定性函数，它将挑战（通常是网站名称）映射到响应（密码）。以前的工作已经做了开发和分析易失性模式，但这些分析是信息理论，而不是复杂性理论;他们认为对手具有无限的计算能力。我们进行了分析，相对于目前可实现的计算能力的对手，评估这种模式的现实的实际安全性。我们证明了几个特定的模式，一台计算机是没有比一个无限的对手更糟糕，它可以成功地从泄漏的挑战和他们各自的响应，被称为挑战-响应对提取所有信息。我们还表明，任何模式，希望是安全的，对有界的计算对手应该模糊的信息在一个非常具体的方式，通过引入许多可能的约束，每个挑战-响应对。这些令人惊讶的结果使密码模式的分析建立在更坚实和实用的基础上。
2019-05-31 cs.CC cs.CR cs.CY
Incentivizing Collaboration for Detection of Credential Database Breaches
Duke University（杜克大学）
本文提出评估算法，通过协作监控提高检测能力，分析关键参数对检测效果的影响，并在泄露数据集上验证算法有效性。
2026-05-13 cs.CR
PassViz: A Visualisation System for Analysing Leaked Passwords
本文提出 PassViz，一种结合编辑距离与 t-SNE 降维算法的泄露密码可视化分析方法，并实现了命令行工具与图形用户界面，以支持大规模及小规模密码数据库的交互式分析，帮助研究者发现未知密码模式并提升密码安全。
2024-02-18 cs.CR
Secure Password Generator Based on Secure Pseudo-Random Number Generator
Chunghwa Telecom Laboratories（中華電信實驗室）
本文提出利用加密安全伪随机数生成器生成安全密码，采用多种MAC算法提升密码随机性和安全性，通过NIST标准验证其熵和独立同分布特性。
2025-08-25 cs.CR cs.PF
DAHash: Distribution Aware Tuning of Password Hashing Costs
入侵认证服务器并窃取所有加密密码散列的攻击者能够对每个用户的密码发起离线蛮干攻击。针对密码的离线蛮干攻击越来越普遍，并且有据可查的人类倾向于选择低熵密码和/或在多个帐户中重复使用这些密码，从而放大了这种危险。通常部署中等难度的密码散列函数，以通过增加攻击者的猜测成本来帮助保护密码免受离线攻击。然而，由于认证服务器是资源受限的，并且必须避免引入大量的认证延迟，因此可以使密码散列函数“硬”到何种程度是有限制的。观察到不同用户选择的密码强度存在很大差距，我们引入了DAHash（分布式感知密码哈希），这是一种新的机制，可以减少攻击者将破解的密码数量。我们的关键见解在于，资源受限的认证服务器可以根据用户密码的（估计）强度动态调整密码哈希函数的硬度参数。我们引入了一个Stackelberg游戏模型之间的相互作用的防御者（认证服务器）和离线攻击者。我们的模型允许防御者优化DAHash的参数，例如，指定对弱/中等/高强度密码进行哈希运算所花费的工作量。我们使用几个大规模的密码频率数据集，实证评估我们的差异化成本密码哈希机制的有效性。我们发现，使用我们的机制的防御者可以将被理性离线攻击者破解的密码减少约15%。
2021-01-30 cs.CR cs.GT
Tales from the Git: Automating the detection of secrets on code and assessing developers' passwords choices
本研究通过爬取公共 GitHub 代码库中数百万个密码，首次调查了开发者在不同编程语言和上下文下的密码选择特质，发现开发者倾向于使用更安全的密码，但仍需加强明文密码泄露的安全意识。
2023-07-03 cs.CR cs.SE
The Nonce-nce of Web Security: an Investigation of CSP Nonces Reuse
本研究测量了实际环境中CSP nonce的使用情况，发现2271个部署nonce策略的网站中有598个存在nonce重用问题，分析了重用原因及影响，并探讨了攻击者绕过CSP实现XSS的可能性。
2023-09-14 cs.CR
Protocols for Checking Compromised Credentials
为了防止凭据填充攻击，行业最佳实践现在主动检查用户凭据是否存在于已知的数据泄露中。最近，一些网络服务，如HaveIBeenPwned（HIBP）和Google Password Checkup（GPC），已经开始提供API来检查违反的密码。我们将此类服务称为受损凭证检查（C3）服务。我们给出了C3服务的第一个正式描述，详细说明了不同的设置和操作要求，并给出了相关的威胁模型。一个关键的安全需求是用户密码的保密性。当前广泛部署的C3服务让用户共享通过用户密码计算的哈希的小前缀。我们提供了一个框架，以经验分析这种协议的泄漏，表明在某些情况下，知道的哈希前缀导致远程猜测攻击的功效增加12倍。我们提出了两个新的协议，为用户的密码提供更强的保护，实现它们，并通过实验表明，它们仍然是实用的部署。
2019-09-04 cs.CR
Detecting stuffing of a user's credentials at her own accounts
我们提出了一个框架，通过该框架，网站可以协调检测个人用户帐户的凭据填充。我们的检测算法会将正常的登录行为（包括密码重复使用、将正确的密码输入错误的网站等）区分开来。通过利用现代异常检测和仔细跟踪可疑登录，网站协调使用一种新的私人成员测试协议，从而确保有关密码的信息不被泄露;该协议是高度可扩展的，部分原因是它使用布谷鸟过滤器，并且在我们定义的一个重要措施中比类似的可扩展替代方案更安全。我们使用概率模型检验来估计在一系列操作点上的凭证填充检测精度。这些方法可能是独立的兴趣，他们的新应用程序的形式化方法来估计我们的设计的可用性的影响。我们表明，即使是我们框架的最小基础设施部署也应该已经支持美国航空公司，酒店，零售和消费者银行业所经历的组合登录负载。
2021-03-04 cs.CR
Passwords: Divided they Stand, United they Fall
如今，离线攻击是对密码安全的最严重威胁之一。这些攻击已经从包括雅虎、LinkedIn、Twitter、索尼、Adobe等在内的知名网站上窃取了数百万个密码。因此，作为预防措施，有必要衡量离线猜测密码数据库的阻力，并帮助用户选择安全的密码。依赖于最小密码长度和不同字符类的基于规则的机制太天真，无法捕捉复杂的人类行为，而那些基于概率模型的机制需要整个密码分布的知识，这并不总是容易学习的。在本文中，我们提出了一个空间分区攻击模型，利用以前的泄漏，调查，攻击和其他来源的信息划分的密码搜索空间为非重叠的分区和学习分区密度。我们证明了一个分区攻击者的预期成功是最大的，如果由此产生的分区探索密度的降序。我们表明，所提出的攻击模型是更一般的和各种流行的攻击技术，包括基于概率，基于字典，基于语法和暴力只是不同的分区攻击者的实例。随后，我们介绍了bin攻击者，分区攻击者的另一个实例，并测量了真实世界的密码数据库的猜测阻力。我们证明了利用的搜索空间是非常小的，因此，即使是一个弱的攻击者可以造成足够的损害系统。我们证明了分区攻击可以反击，只有当分区密度是均匀的。我们使用这个结果，并提出了一个系统，通过在不同的分区分布用户，挫败分区攻击者。最后，我们演示了一些著名的密码方案可以适应，以帮助用户选择密码从系统分配的分区。
2020-09-12 cs.CR
The 23andMe Data Breach: Analyzing Credential Stuffing Attacks, Security Vulnerabilities, and Mitigation Strategies
本文分析了2023年23andMe因凭据填充导致约550万用户基因数据泄露的攻击方法、影响及缓解策略，强调多因素认证和企业数据保护责任的重要性。
2025-02-06 cs.CR
Enhancing Password Security Through a High-Accuracy Scoring Framework Using Random Forests
Universiti Kuala Lumpur（吉隆坡大学）；New York University（纽约大学）
针对传统静态规则密码强度检测器易被绕过的问题，本文提出结合混合特征工程的随机森林密码评分框架，在66万真实密码数据集上达99.12%准确率，兼顾精度与可用性，可提供可操作安全反馈。
2025-11-13 cs.AI cs.CR
Systematic Solutions to Login and Authentication Security Problems: A Dual-Password Login-Authentication Mechanism
针对凭证窃取和远程攻击，提出双密码登录认证机制，将无机密登录密码转为不可输入认证密码，禁用相关功能以防攻击，解决密码重用与存储问题，并基于密码转换器实现双身份认证与未授权输入识别。
2024-05-31 cs.CR cs.ET cs.SY
Comparative Analysis and Framework Evaluating Web Single Sign-On Systems
我们对过去十年提出和/或部署的14个Web单点登录（SSO）系统进行了全面的分析和比较，包括联合身份和凭据/密码管理方案。我们确定常见的设计属性，并使用它们来开发一个SSO方案的分类，突出显示相关的利益（积极的属性）提供的权衡。我们开发了一个框架来评估方案，在其中我们确定了14个安全性，可用性，可部署性和隐私优势。我们还讨论了用户，服务提供商（SP）和身份提供商（IdPs）之间的优先级差异如何影响SSO方案的设计和部署。
2020-08-09 cs.CR
Online Authentication Habits of Indian Users
本研究通过调查90名印度用户，发现他们虽广泛使用密码管理器和双因素认证，但多用于非敏感平台，且存在密码重用等不安全习惯，需定制策略提升安全意识。
2025-01-24 cs.CR cs.CY
Zero-Knowledge User Authentication: An Old Idea Whose Time Has Come
用户认证可以依赖于各种因素（例如，密码、密钥、生物统计数据），但不应泄露任何秘密或私人信息。这个看似矛盾的壮举可以通过零知识证明来实现。不幸的是，天真的基于密码的方法仍然在网络上流行。多因素身份验证方案解决了传统登录过程的一些弱点，但通常存在可部署性问题或进一步降低可用性，因为它们假设用户没有足够的硬件。这种假设不再成立：具有生物识别传感器、摄像头、短距离通信功能和无限数据计划的智能手机已经无处不在。在本文中，我们表明，假设用户有这样的设备，安全性和可用性可以大大提高使用增强的密码认证密钥协商（PAKE）协议和消息认证码。
2019-12-17 cs.CR
Trenchcoat: Human-Computable Hashing Algorithms for Password Generation
本文提出了Trenchcoat，一系列人类可计算的哈希算法，利用用户独特的联想和内隐记忆配置，将主密钥与账户结合生成密码，有效减轻认知负荷并提升安全性，且对认知或身体能力不同的用户具有可访问性。
2023-10-19 cs.CR cs.HC
Universal Neural-Cracking-Machines: Self-Configurable Password Models from Auxiliary Data
EPFL（洛桑联邦理工学院）；George Mason University（乔治梅森大学）
提出通用密码模型概念，利用用户辅助信息通过深度学习自动生成定制密码模型，无需明文密码或再训练，改进了密码强度评估与攻击，并普及了密码安全部署。
2024-03-13 cs.CR cs.LG
Comparative Analysis and Framework Evaluating Mimicry-Resistant and Invisible Web Authentication Schemes
多年来提出的许多用于Web身份验证的密码替代方案，尽管具有不同的设计和目标，但都主要依赖于某些秘密的知识。这促使我们，在这里，提供了第一个详细的探索，从根本上不同的元素的防御集成到Web认证方案的设计：防模仿的尺寸。我们分析了Web认证机制的新的可用性和安全属性相关的模仿阻力（增强UDS框架），特别是评估无形技术（既不需要用户操作，也不需要意识），提供一定的模仿阻力（不像那些只依赖于静态秘密），包括设备指纹方案，PUF（物理上不可克隆的功能）和互联网地理定位机制的子集。
2019-03-30 cs.CR
SE#PCFG: Semantically Enhanced PCFG for Password Analysis and Cracking
University of Kent（肯特大学）；Haitong Securities（海通证券）
本文提出语义增强的PCFG框架SE#PCFG，考虑43种语义信息分析密码，并基于此提出SEPCA破解架构，在17个数据库上显著优于三种最先进基准。
2025-03-26 cs.CL cs.CR
A Multi-Factor Security Protocol for Wireless Payment - Secure Web Authentication using Mobile Devices
以前的Web访问认证系统通常单独使用Web或移动信道来确认远程用户的声明身份。本文提出了一种新的协议，使用多因素认证系统，是安全的和高度可用的。它采用了一种基于交易识别码和SMS的新方法，与传统的登录/密码系统相比，增强了额外的安全级别。该系统提供了一个高度安全的环境，易于使用和部署，不需要对无线网络的基础设施或协议进行任何更改。该无线支付协议被扩展以提供双向认证。
2011-11-13 cs.CR
Zero Knowledge Proof based authentication protocol using graph isomorphism
我们生活在一个信息时代，处理好信息交流是非常重要的。在将数据发送到授权来源时，我们需要保护它免受未经授权的来源、更改和身份验证的影响。ZKP技术可用于设计安全的认证系统，该系统不涉及请求者和验证者之间的任何直接信息交换，从而防止任何可能的个人信息泄漏。提出了一种基于同构图的零知识证明算法。我们建议大多数计算应该在用户的Web浏览器上进行，而不会在任何时候向服务器泄露密码。相反，它将根据登录ID和密码生成随机图及其排列。
2019-11-21 cs.CR
Typer vs. CAPTCHA: Private information based CAPTCHA to defend against crowdsourcing human cheating
众包人工解决或在线打字攻击是破坏性的问题。然而，对这些主题的研究一直有限。在本文中，我们专注于这种攻击，所有的验证码可以简单地打破，因为它的设计目的。本文在对验证码的Typer现象和攻击机制进行全面分析的基础上，提出了一种新的验证码设计原则，以区分人（Typer）和人（user）。其核心思想是验证码的挑战过程应该包含具有私有属性的唯一信息。我们的想法是基于人类之间的信息不对称。如果没有这些私人信息，即使他们识别出CAPTCHA中的所有字符，Typers也无法完成攻击。我们形式化，设计和实现两个例子，我们提出的原则，一个字符为基础的，基于数据报的情况下，根据Web交互和密码处理程序。我们要求用户从密码序列中没有的随机字符中选择密码，或者将随机排序的序列放入正确的顺序。提出了一种新的基于模糊匹配的生成算法，增加了人工容错能力和随机猜测攻击的难度。与其他解决方案不同，我们的方法不需要修改主身份验证协议、用户界面和典型Web服务的体验。几项用户研究的结果表明，我们提出的方法既简单（人类可以在不到20秒的时间内准确解决）又高效（Typer只能部署随机猜测攻击，成功率非常低）。
2019-04-29 cs.CR
PAKE-based mutual HTTP authentication for preventing phishing attacks
本文提出了一种新的基于密码的Web系统的相互认证协议，以防止各种类型的钓鱼攻击。该协议在使用字典式攻击的情况下，也能保护用户的口令不受任何网络钓鱼者的攻击，防止网络钓鱼者模仿用户成功认证的假象。该协议的设计考虑了与许多最近的Web应用程序的互操作性，这些应用程序需要许多当前HTTP身份验证不提供的功能。该协议作为Internet草案提交给IETF，并在服务器端（作为Apache扩展）和客户端（作为基于Mozilla的浏览器和基于IE的浏览器）实现。本文还提出了一种新的用户界面，该协议始终是从虚假的对话由钓鱼者提供的区别。
2009-11-27 cs.CR cs.NI
