SoK: Web Authentication in the Age of End-to-End Encryption
本文系统梳理了端到端加密（E2EE）服务和无密码认证在安全性、隐私、可用性与可恢复性方面的现有研究与行业实践，调查了主流E2EE服务及Top-200网站，并指出了学术界与工业界之间的差距及未来研究方向。
2024-06-26 cs.CR
Automated Testing of Broken Authentication Vulnerabilities in Web APIs with AuthREST
提出开源安全测试工具 AuthREST，通过自动化检测撞库、密码暴力破解及未检查令牌真实性等问题，有效提升 Web API 安全性，并成功在四个公共 API 中发现未知身份验证漏洞。
2025-09-12 cs.CR cs.SE
A Systematic Study of the Consistency of Two-Factor Authentication User Journeys on Top-Ranked Websites (Extended Version)
用户体验的启发式理论指出，用户会将他们的期望从一个产品转移到另一个产品。产品之间缺乏一致性会增加用户的认知摩擦，导致沮丧和拒绝。本文首次系统地研究了顶级网站上双因素身份验证用户旅程的外部功能一致性。我们发现，这些网站只实现了最小数量的设计方面一致（例如，设置的命名和位置），但是对于第二因素的设置和使用表现出混合的设计模式。此外，我们发现，一些更一致实现的方面，如双因素身份验证的描述，在文献中被描述为有问题的和不利的用户体验。我们的研究结果主张为2FA实施者提供更一般的用户体验指南，并提出了关于2FA用户旅程的新研究问题。
2022-10-17 cs.CR
"Guess Who ?" Large-Scale Data-Centric Study of the Adequacy of Browser Fingerprints for Web Authentication
浏览器指纹识别包括从Web浏览器收集属性以构建浏览器指纹。在这项工作中，我们评估了浏览器指纹作为身份验证因素的充分性，在由216个属性组成的4，145，408个指纹的数据集上。它是在6个月内从普通浏览器中收集的。我们识别，形式化，并评估属性的浏览器指纹是可用的和实用的身份验证因素。我们特别评估它们的独特性，它们随时间的稳定性，它们的收集时间，以及它们在内存中的大小。我们发现，考虑到216个指纹属性的大表面，在1，989，365个浏览器的人群中，单一性率为81%。此外，众所周知，浏览器指纹会进化，但我们观察到，在连续的指纹之间，超过90%的属性在近6个月后保持不变。指纹也很便宜。平均而言，它们的重量为12个字节，并在几秒钟内收集。我们的结论是，浏览器指纹是一个有前途的额外的Web身份验证因素。
2021-06-22 cs.CR
SSH-Passkeys: Leveraging Web Authentication for Passwordless SSH
本文提出SSH-Passkeys框架，利用WebAuthn和UNIX PAM实现无密码SSH认证，在兼容现有服务器且无需客户端新软件的前提下，有效防止密钥泄露与钓鱼，将关键安全错误降低90%并将认证时间缩短4倍。
2025-07-11 cs.CR
A Large-scale Empirical Analysis of Browser Fingerprints Properties for Web Authentication
现代浏览器可以访问几个属性，可以收集这些属性以形成浏览器指纹。虽然浏览器指纹主要是作为Web跟踪工具进行研究的，但它们可以通过增强Web身份验证机制来改善当前的Web安全状态。在本文中，我们调查的浏览器指纹的Web认证的充分性。我们将区分浏览器的数字指纹和区分人类的生物指纹联系起来，根据生物特征认证因素激发的属性来评估浏览器指纹。这些属性包括它们的独特性、它们随时间的稳定性、它们的收集时间、它们的大小以及简单验证机制的准确性。我们评估了这些属性的大规模数据集的4，145，408指纹组成的216个属性，并从1，989，365浏览器收集。通过对数据集进行时间分区，我们发现超过81.3%的指纹被一个浏览器共享。虽然我们知道浏览器指纹会进化，但平均91%的指纹属性在两次观察之间保持相同，即使相隔近6个月。关于它们的性能，我们展示了我们的指纹有十几个字节，并且需要几秒钟来收集。最后，通过处理一个简单的验证机制，我们展示了它达到了0.61%的相等出错率。我们丰富了我们的结果与分析的属性之间的相关性，和他们的贡献的评估属性。我们的结论是，我们的浏览器指纹进行承诺，以加强网络认证机制。
2021-10-03 cs.CR
Web Single Sign-On Authentication using SAML
越来越多的公司转向应用程序服务提供商（ASP）或软件即服务（SaaS）供应商，以提供专门的基于Web的服务，这些服务将降低成本，并为用户提供特定和集中的应用程序。使用这种方法可以消除设计、安装、配置、部署和支持系统的复杂性，从而为组织带来巨大的好处。然而，这些模型可能会给拥有大量外部服务提供者的公司带来身份验证问题。本文描述了安全断言置标语言（SAML）的实现及其为外部托管应用程序提供安全单点登录（SSO）解决方案的功能。
2009-09-12 cs.CR
FIDO2 With Two Displays-Or How to Protect Security-Critical Web Transactions Against Malware Attacks
随着过去几年对在线帐户的攻击的增加，越来越多的服务为其用户提供双重认证。从三个类别中的两个类别中选择一个因素，即你知道的东西，你拥有的东西和你是什么，应该确保攻击者不能同时破坏其中两个。因此，对手不应该能够恶意地与某人的帐户进行交互。然而，只有当一个人认为对手很弱时，这才是正确的。特别是，由于大多数当前的解决方案只认证会话而不是单个交易，如果设备感染了恶意软件，它们就无效了。对于网上银行，银行业早就认识到需要对交易进行身份验证。然而，这种身份验证方案的规范并不公开，并且实施细节因银行而异，大多数银行仍然无法抵御恶意软件。在这项工作中，我们提出了一个通用的方法来解决恶意帐户接管的问题，即使在存在恶意软件。为此，我们定义了一个新的范例，以改善双因素身份验证，涉及的概念，二选一的安全和交易身份验证。遵循这种范式的Web身份验证方案可以保护安全关键事务免受操纵，即使其中一个因素完全受损。分析现有的认证方案，我们发现他们没有实现二选一的安全性。我们给出了一个蓝图，如何设计安全的Web认证方案一般。基于这一蓝图，我们提出了FIDO 2与两个显示器（FIDO 2D），一个新的Web认证方案的基础上FIDO 2标准，并证明其安全性使用Tamarin。我们希望我们的工作能够激发新一波更安全的Web身份验证方案，即使是恶意软件的攻击也能保护安全关键交易。
2022-07-06 cs.CR
The Emperor is Now Clothed: A Secure Governance Framework for Web User Authentication through Password Managers
针对现有密码管理器与Web应用交互方案的功能缺陷与安全漏洞，提出基于浏览器的Berytus治理框架，通过双API协调二者交互，可有效缓解多类网络攻击，支持多种认证模式并已在Firefox中实现验证。
2024-07-12 cs.CR
BrFAST: a Tool to Select Browser Fingerprinting Attributes for Web Authentication According to a Usability-Security Trade-off
在本演示中，我们将自己置于一个网站管理员的位置，他试图使用浏览器指纹进行Web身份验证。第一步是从数百个可用属性中选择要实现的属性。为此，我们开发了BrFAST，这是一个属性选择平台，其中包括FPSelect，这是一种根据安全性和可用性之间的权衡严格选择属性的算法。BrFAST配置了一组参数，我们为BrFAST提供了可用的值。我们特别包括使用两个公开的浏览器指纹数据集的资源。BrFAST可以扩展到使用其他参数：其他属性选择方法，其他安全性和可用性措施，或其他指纹数据集。BrFAST有助于在搜索要使用的最佳属性期间可视化探索可能性，比较属性集的属性，并比较几种属性选择方法。在演示过程中，我们将FPSelect选择的属性与根据所得浏览器指纹的属性（例如，它们的可用性，它们的唯一性）。
2021-04-19 cs.CR
Secure Shell (SSH): Public Key Authentication over Hypertext Transfer Protocol (HTTP)
安全外壳（SSH）协议要求所有实现都支持用于身份验证目的的公钥身份验证方法（“publickey”），因此通过Web浏览器提供SSH客户端的Web应用程序需要支持“publickey”。然而，超文本传输协议（HTTP）中的限制（例如同源策略和对本地资源的有限访问）使得难以执行此类身份验证。在本文档中，提供了一种通过HTTP执行“公钥”认证的系统。确保不会做出任何会对SSH协议造成安全风险的妥协。
2015-06-15 cs.CR cs.NI
Let Your Camera See for You: A Novel Two-Factor Authentication Method against Real-Time Phishing Attacks
如今，双因素身份验证（2FA）是一种广泛实施的对抗网络钓鱼攻击的机制。尽管在2FA方面已经进行了大量的研究，但大多数2FA系统仍然容易受到精心设计的钓鱼攻击，有些甚至需要特殊的硬件，这限制了它们的广泛部署。最近，实时的【形】网络钓鱼（RTP）使情况变得更糟，因为对手可以毫不费力地建立一个复制目标网站的网络钓鱼网站，而无需任何网页设计技术的背景。传统的2FA很容易被这种RTP攻击绕过。在这项工作中，我们提出了一种新的2FA系统来对抗RTP攻击。其主要思想是请求用户拍摄具有地址栏中的域名的Web浏览器的照片作为第二认证因素。Web服务器端基于光学字符识别（OCR）提取域名信息，然后确定用户正在访问的是该网站还是假冒网站，从而击败对手必须使用不同域建立假冒网站的RTP攻击。我们原型我们的系统，并评估其在各种环境中的性能。实验结果表明，PhotoAuth是一种有效的认证技术，具有良好的可扩展性。我们还表明，与其他2FA系统相比，PhotoAuth具有几个优势，特别是除了手机之外，客户端不需要特殊的硬件或软件支持，因此易于部署。
2021-09-01 cs.CR
FPSelect: Low-Cost Browser Fingerprints for Mitigating Dictionary Attacks against Web Authentication Mechanisms
浏览器指纹识别包括从Web浏览器收集属性。这些年来已经发现了数百种属性。它们中的每一个都提供了一种区分浏览器的方法，但也带来了可用性成本（例如，收集时间）。在这项工作中，我们提出了FPSelect，一个属性选择框架，允许验证者调整他们的浏览器指纹探针的Web认证。我们将问题形式化为搜索满足安全要求并最小化可用性成本的属性集。安全性被测量为给定指纹探针、用户群体和知道用户群体中的确切指纹分布的攻击者的模拟用户的比例。可用性通过浏览器指纹的收集时间、大小和不稳定性来量化。我们比较我们的框架与常见的基线，基于现实生活中的指纹数据集，并发现在我们的实验设置，我们的框架选择的属性集的可用性成本较低。与基线相比，FPSelect发现的属性集生成的指纹最多小97倍，收集速度最多快3，361倍，两次观察之间的属性变化平均最多少7.2倍。
2020-10-13 cs.CR
Passwords and FIDO2 Are Meant To Be Secret: A Practical Secure Authentication Channel for Web Browsers
本文针对密码管理器自动填充和FIDO2协议面临本地攻击的问题，提出并实现两种防御方案，在Firefox中验证可防XSS和恶意扩展，兼容性高。
2025-10-15 cs.CR
A Secure Web-Based File Exchange Server: Software Requirements Specification Document
本文介绍了一个安全文件交换系统原型的简要软件规范，该原型涉及用户通过浏览器和应用程序服务器进行相互认证，使用基于PKI的证书作为凭据，使用LDAP进行凭据管理，以及在应用程序和数据库服务器之间进行认证，以保持各方之间的高度信任。
2011-01-24 cs.CR
"We've Disabled MFA for You": An Evaluation of the Security and Usability of Multi-Factor Authentication Recovery Deployments
本文评估了1,303个网站的多因素认证恢复机制，并对71个网站进行实测，发现许多恢复程序不安全、可被绕过且与官方文档不一致，据此提出最佳实践建议。
2023-09-19 cs.CR
Active Authentication on Mobile Devices via Stylometry, Application Usage, Web Browsing, and GPS Location
主动认证是基于个人与计算设备的交互的行为方面来持续验证个人身份的问题。在这项研究中，我们收集和分析了200名受试者的行为生物特征数据，每个人都使用他们的个人Android移动终端至少30天。该数据集在主动认证的背景下是新颖的，因为它的大小，持续时间，模态的数量，以及对跟踪活动的限制。研究中受试者的地理位置代表了大型封闭世界环境，例如组织，其中器械的未授权用户可能是内部威胁：来自组织内部。我们考虑了四种生物识别模式：（1）通过软键盘输入的文本，（2）使用的应用程序，（3）访问的网站，以及（4）通过GPS（在室外时）或WiFi（在室内时）确定的设备的物理位置。我们实现和测试的分类器为每种形式和组织的分类器作为一个并行的二元决策融合架构。我们能够表征系统的入侵者检测时间的性能，并量化每个模态对整体性能的贡献。
2015-03-29 cs.CR stat.ML
PAKE-based mutual HTTP authentication for preventing phishing attacks
本文提出了一种新的基于密码的Web系统的相互认证协议，以防止各种类型的钓鱼攻击。该协议在使用字典式攻击的情况下，也能保护用户的口令不受任何网络钓鱼者的攻击，防止网络钓鱼者模仿用户成功认证的假象。该协议的设计考虑了与许多最近的Web应用程序的互操作性，这些应用程序需要许多当前HTTP身份验证不提供的功能。该协议作为Internet草案提交给IETF，并在服务器端（作为Apache扩展）和客户端（作为基于Mozilla的浏览器和基于IE的浏览器）实现。本文还提出了一种新的用户界面，该协议始终是从虚假的对话由钓鱼者提供的区别。
2009-11-27 cs.CR cs.NI
A Secure Method for Signing in Using Quick Response Codes with Mobile Authentication
互联网上对用户隐私的威胁正在以惊人的速度增长。通过键盘记录软件，从不可靠的终端登录到网络帐户可能会导致用户的私人详细信息（如用户名和密码）泄露。这种软件能够在用户不知情的情况下，通过隐蔽渠道秘密记录密码。在本文中，我们提出了一种安全的方法，使用快速响应（QR）码与移动认证的签名。通过该方法，用户可以使用移动终端，通过在不可靠的终端浏览器上认证用户会话来安全地登录到网络账户。
2013-10-15 cs.CR
LoginTrap: Uncovering Task-Agnostic Phishing-Style Indirect Prompt Injection Attacks against LLM-based Web Agents
Tongji University（同济大学）
该研究提出LoginTrap攻击，是针对基于LLM的Web智能体的任务无关型登录诱导攻击，在黑盒威胁模型下可达到86%的平均端到端攻击成功率，揭示了登录诱导的认证边界风险并推动相关防御研究。
2026-08-06 cs.CR
MetaSecure: A Passwordless Authentication for the Metaverse
一般来说，元宇宙为网络空间提供了一个潜在的未来。在Web 2.0开始时，人们使用各种假名或“nyms”登录，通过增加虚假帐户的存在来冒着在线身份的风险，导致难以对不同角色进行唯一识别。然而，在Web 3.0中，用户的身份与他们的原始身份联系在一起，其中一个人的风险会给另一个人带来重大风险。因此，本文提出了一种新的身份验证系统，用于保护数字资产，在线身份，头像和名为Metasecure的帐户，其中每个实体或用户的唯一ID在数字平台上开发人类设施是必不可少的。拟议的无密码系统提供了三个层次的安全性，使用设备认证，面部识别和使用物理安全密钥，安全密钥，或智能卡根据快速身份在线（FIDO 2）规范。它提供SDK用于在包括VR/XR眼镜在内的任何系统上进行身份验证，从而确保在Metaverse中访问服务的无缝性。
2023-01-04 cs.CR
Authentication Mechanism for Resistance to Password Stealing and Reuse Attack
考虑到计算机系统，安全性是可用性的主要关注点。需要制定安全策略以保护信息不受未经授权的访问。在用户和信息系统之间使用的密码和密码，用于系统的安全用户认证。密码在安全性中起着至关重要的作用，容易被猜到的密码是漏洞的链接。它们允许入侵者将系统资源放置得更接近于访问它们、附近机器上的其他帐户，甚至可能是具有不同威胁和漏洞的管理权限（例如，网络钓鱼、密钥记录和恶意软件）。该系统的目的是介绍帮助组织和用户实施更强大的密码策略的概念和方法。研究了基于口令的身份认证系统中的口令窃取和重用问题。技术和认证的概念进行了讨论，从而产生了一种新的方法的双因素认证。避免密码重复使用是信息系统中的一个关键问题，这在一定程度上也会导致密码窃取问题。在拟议的系统中，每个参与网站都拥有用户的唯一电话号码、在注册和恢复阶段的电信服务以及用于为所有网站的每次登录会话生成一次性密码的长期密码。
2014-02-26 cs.CR
Beyond the Hype: On Using Blockchains in Trust Management for Authentication
用于身份验证的信任管理（TM）系统对于在线交互的安全性至关重要，在线交互在我们的日常生活中无处不在。各种系统，如Web PKI（X.509）和PGP的Web of Trust用于管理此设置中的信任。近年来，区块链技术已被引入作为我们的安全问题的灵丹妙药，包括身份验证，没有足够的理由，至于其优点。在这项工作中，我们调查使用开放分布式账本（ODL）的优点，如区块链技术实现的，用于保护TM系统的身份验证。我们正式建模这样的系统，并探索区块链如何帮助减轻对它们的攻击。经过正式的论证，我们得出结论，在身份验证的信任管理背景下，区块链技术和一般的ODL与以前的方法相比可以提供相当大的优势。据我们所知，我们的分析是第一个基于区块链技术正式建模和讨论TM认证系统安全性的分析。为了实现这一结果，我们首先提供了一个抽象的模型TM系统的身份验证。然后，我们展示了如何将这个模型在概念上编码到区块链中，将其表达为一系列状态转换。作为下一步，我们研究了对TM系统的五种常见攻击，并提供证据证明基于区块链的解决方案可以通过减轻或完全否定此类攻击来有益于此类系统的安全性。
2017-11-13 cs.CR
SPRESSO: A Secure, Privacy-Respecting Single Sign-On System for the Web
单点登录（SSO）系统，如OpenID和OAuth，允许网站，所谓的依赖方（RP），将用户身份验证委托给身份提供商（IdP），如Facebook或Google。这些系统非常受欢迎，因为它们为用户提供了一种方便的方式来登录RP，并将用户身份验证的大部分负担从RP转移到IdP。然而，目前的系统有一个缺点，因为它们不尊重用户的隐私：IdP知道用户在哪个RP登录。除了一个例外，即Mozilla的BrowserID系统（a.k.a. Mozilla Persona），目前的SSO系统甚至没有考虑到用户隐私。不幸的是，最近发现的利用BrowserID设计缺陷的攻击表明BrowserID也不提供用户隐私。因此，在本文中，我们提出了第一个隐私尊重单点登录系统的Web，称为SPRESSO（安全隐私尊重单点登录）。该系统易于使用，分散和平台无关。它完全基于标准的HTML5和Web功能，不使用浏览器扩展，插件或其他可执行文件。现有的单点登录系统和对这种系统的大量攻击说明安全单点登录系统的设计是非常重要的。因此，我们还进行了形式化的分析SPRESSO的表达模型的基础上，以正式证明SPRESSO享有强大的身份验证和隐私属性。
2015-08-07 cs.CR
Analyzing the BrowserID SSO System with Primary Identity Providers Using an Expressive Model of the Web
BrowserID是Mozilla最近开发的一个复杂的、真实的Web应用程序单点登录（SSO）系统。它采用新的HTML5功能（如Web消息和Web存储）和加密断言来提供分散的登录，旨在尊重用户的隐私。它可以在主要和次要身份提供者模式下操作。在主模式下，BrowserID与任意身份提供程序（IdP）一起运行，而在辅助模式下，只有一个IdP，即Mozilla的默认IdP。最近，我们提出了一个表达的通用模型的Web基础设施，并在此Web模型的基础上，分析了二级身份验证模式的BrowserID的安全性。分析揭示了几个严重的弱点。在本文中，我们通过分析BrowserID的更复杂的主IdP模式来补充我们之前的工作。我们不仅像以前一样研究认证属性，而且还研究隐私属性。在我们的分析过程中，我们发现了不适用于二级模式的新的和实际的攻击：身份注入攻击，它违反了SSO系统的中央身份验证属性，以及破坏BrowserID的重要隐私承诺的攻击，如果不对系统进行重大重新设计，这些攻击似乎是不可修复的。我们对隐私的一些攻击利用了浏览器侧通道，到目前为止还没有得到很多关注。对于身份验证错误，我们提出了一个修复方案，并在我们的通用Web模型的轻微扩展中正式证明，修复后的系统满足我们考虑的所有要求。这构成了迄今为止基于Web基础设施的表达模型的Web应用程序的最复杂的形式化分析。作为另一个贡献，我们确定并证明了重要的安…
2015-04-01 cs.CR
SafeKeeper: Protecting Web Passwords using Trusted Execution Environments
密码无疑是当今网络上最主要的用户身份验证机制。虽然它们价格便宜且易于使用，但基于密码的身份验证的安全问题非常严重。网络钓鱼和盗窃密码数据库是两个关键问题。用户在不同服务之间重复使用密码的趋势加剧了这两个问题的影响。解决这些问题的当前解决方案并不完全令人满意：它们通常只解决两个问题中的一个;它们不保护密码不受流氓服务器的攻击;它们不向用户提供任何可验证的（服务器端）采用证据;并且它们在服务提供商的成本和/或最终用户的易用性方面面临可部署性挑战。我们提出了SafeKeeper，一个全面的方法来保护密码的机密性，在Web身份验证系统。与以前的方法不同，SafeKeeper可以保护用户密码免受非常强大的攻击，包括流氓服务器和复杂的外部钓鱼者。它的部署相对便宜，因为它（i）使用广泛可用的硬件安全机制，如英特尔SGX，（ii）集成到流行的Web平台，如WordPress，（iii）性能开销很小。我们描述了在设计和实施这样一个系统的各种挑战，以及我们如何克服它们。通过86名参与者的用户研究，系统的分析和实验，我们证明了SafeKeeper的可用性，安全性和可部署性，这是作为开源。
2018-04-23 cs.CR
What's in Score for Website Users: A Data-driven Long-term Study on Risk-based Authentication Characteristics
基于风险的身份验证（RBA）旨在加强而不是取代基于密码的身份验证。RBA通过在登录过程中监视和记录其他功能来实现这一目标。如果登录时的特征值与之前观察到的特征值有很大差异，RBA会要求提供额外的身份证明。尽管NIST数字身份指南推荐使用RBA，但到目前为止，它几乎只被主要的在线服务使用。这部分是由于缺乏开放的知识和实施，这将允许任何服务提供商向其用户转出RBA保护。为了弥补这一差距，我们首次深入分析了实际部署中的RBA特性。我们观察了N=780个用户，在现实世界的在线服务上有247个独特的功能超过1.8年。基于我们收集的数据集，我们提供了（i）两个RBA实现的行为分析，这些RBA实现显然被主要的在线服务广泛使用，（ii）特征的基准测试，以提取最适合RBA使用的子集，（iii）之前未在RBA中使用的新特征，以及（iv）对RBA性能有重大影响的因素。我们的研究结果表明，RBA需要仔细定制每个在线服务，因为即使是很小的配置调整也会极大地影响RBA的安全性和可用性。我们提供了关于特征选择、权重和风险分类的见解，以便在最少的登录尝试次数后从RBA中受益。
2021-01-26 cs.CR cs.HC
Defend Data Poisoning Attacks on Voice Authentication
Vanderbilt University（范德堡大学）
本文针对语音认证系统提出一种易实施且现有防御难以捕获的数据投毒攻击，并设计基于卷积神经网络的Guardian判别器，融合偏差削减、输入增强和集成学习，将攻击账户识别准确率从约60%提升至约95%。
2023-07-07 cs.AI cs.CR cs.LG
Zero-Knowledge User Authentication: An Old Idea Whose Time Has Come
用户认证可以依赖于各种因素（例如，密码、密钥、生物统计数据），但不应泄露任何秘密或私人信息。这个看似矛盾的壮举可以通过零知识证明来实现。不幸的是，天真的基于密码的方法仍然在网络上流行。多因素身份验证方案解决了传统登录过程的一些弱点，但通常存在可部署性问题或进一步降低可用性，因为它们假设用户没有足够的硬件。这种假设不再成立：具有生物识别传感器、摄像头、短距离通信功能和无限数据计划的智能手机已经无处不在。在本文中，我们表明，假设用户有这样的设备，安全性和可用性可以大大提高使用增强的密码认证密钥协商（PAKE）协议和消息认证码。
2019-12-17 cs.CR
Blind-Touch: Homomorphic Encryption-Based Distributed Neural Network Inference for Privacy-Preserving Fingerprint Authentication
本文提出Blind-Touch系统，通过同态加密和分布式神经网络推理实现隐私保护指纹认证，在保持高准确率的同时显著提升云端处理效率。
2024-04-01 cs.CR
Is FIDO2 Passwordless Authentication a Hype or for Real?: A Position Paper
FIDO 2标准所附带的操作系统和浏览器支持，以及智能手机上越来越多的生物识别用户验证选项，让每个人都对无密码的未来感到兴奋，尤其是大型科技公司。梦想成真了吗？我们终于完全摆脱了密码吗？在这份立场文件中，我们认为，尽管无密码认证在某些情况下可能更可取，但在可预见的未来，在网络上消除密码仍然是不可能的。我们用五个主要理由来捍卫我们的立场，这些理由要么得到最近文献结果的支持，要么得到我们自己的技术和业务经验的支持。我们相信我们的讨论也可以作为一个研究议程，包括有前途的未来工作方向（无密码）用户身份验证。
2022-11-14 cs.CR
A Longitudinal Study on Web-sites Password Management (in)Security: Evidence and Remedies
单因素基于密码的身份验证通常是访问在线网站的标准。虽然单因素身份验证众所周知是一种弱形式的身份验证，但当考虑攻击者通过利用密码恢复机制中的漏洞来恢复用户密码的可能性时，会产生进一步的担忧。事实上，一个网站采用一个糟糕的密码管理系统，即使是注册用户选择的最强大的密码也毫无用处。在本文中，我们以前的工作的基础上，我们研究了可能的攻击在线密码恢复系统分析的机制，实现了一些最流行的网站。具体来说，我们提供了几个贡献：（i）我们修改和详细说明了攻击者模型;（ii）我们提供了关于我们在2017年12月进行的初步研究的更新分析;（iii）我们对五个主要欧盟国家的当前前200名Alexa网站进行了全新的分析;和，（iv）我们提出了\sol，一个工作的开源模块，可以通过任何Web站点为注册用户提供密码恢复机制，以防止邮件服务提供商级别的攻击。总的来说，值得注意的是，分析的网站几乎没有（如果有的话）努力遵守GDPR法规，这表明尽管受到GDPR的罚款威胁，但建立基本用户保护机制的目标仍然很远，主要是因为低于标准的安全管理实践。最后，值得注意的是，虽然这项研究的重点是欧盟注册的网站，拟议的解决方案，而不是，普遍适用。
2020-01-29 cs.CR cs.CY
Simple But Not Secure: An Empirical Security Analysis of Two-factor Authentication Systems
提出漏洞评估框架 SE2FA 分析 407 个 2FA 系统，发现三个零日漏洞，揭示简化设计对安全性的削弱，并提供加强 2FA 安全的对策建议。
2024-11-18 cs.CR
Broken Access: On the Challenges of Screen Reader Assisted Two-Factor and Passwordless Authentication
Texas A&M University（德克萨斯农工大学）
本文提出AWARE框架，用于评估屏幕阅读器辅助的双因素和无密码认证的可访问性与安全性，揭示现实场景中的脆弱性。
2026-03-08 cs.CR cs.HC
A novel Two-Factor HoneyToken Authentication Mechanism
大多数系统依赖于密码的用户身份验证，但密码有很多弱点和广泛的使用，很容易引起重大的安全问题，无论其加密形式如何。用户为不同的帐户持有相同的密码，管理员从不检查密码文件中可能导致成功破解的缺陷，以及缺乏关于定期密码更换的严格安全策略是需要解决的几个问题。拟议的研究工作旨在加强这种安全机制，防止渗透，密码盗窃，并试图闯入安全计算系统。所选的解决方案方法是双重的;它实现了双因素身份验证方案以防止未经授权的访问，并伴随着Honeyword原则来检测损坏或被盗的令牌。两者都可以集成到任何平台或Web应用程序中，使用QR码和手机。
2021-01-20 cs.CR
Measuring Website Password Creation Policies At Scale
本文开发了一种自动推断网站密码创建策略的技术，并大规模测量了超过20K个网站的策略，首次为理解网络密码策略现状及改进认证提供了大规模实证依据。
2023-09-06 cs.CR
QES-Backed Virtual FIDO2 Authenticators: Architectural Options for Secure, Synchronizable WebAuthn Credentials
Informatics Institute, Istanbul Technical University（伊斯坦布尔理工大学信息学研究所）；Securify Information Technology and Security Training Consulting Inc.（Securify信息技术与安全培训咨询有限公司）
本文提出基于QES的虚拟FIDO2认证器架构，通过PKCS#11密钥实现安全同步，兼顾信任与部署权衡。
2026-01-10 cs.CR
One Click to Leak: Characterizing the Real-World Usage and Threat Impact of MNO-based Single Sign-On Websites
Tsinghua University（清华大学）；Zhongguancun Laboratory（中关村实验室）；Fudan University（复旦大学）；Baidu Inc.（百度公司）；Quancheng Laboratory（泉城实验室）
本研究分析基于移动网络运营商的单点登录（MSSO）网站，揭示其流程中的信任缺陷，提出一键泄露（OCL）攻击，并通过大规模纵向研究证实广泛存在的安全风险，旨在加强移动认证安全。
2026-09-14 cs.CR
TUSH-Key: Transferable User Secrets on Hardware Key
针对 FIDO Passkeys 依赖专有云与端到端加密、跨平台同步不畅的问题，本文提出 TUSH-Key 私钥管理系统，以实现符合 FIDO2 的跨设备无缝无密码登录。
2023-07-14 cs.CR
FIDO2 the Rescue? Platform vs. Roaming Authentication on Smartphones
本文通过 N=87 的实验室研究比较智能手机上的 FIDO2 平台认证与漫游认证，揭示用户接受度及阻碍其替代密码的可用性、安全性与多客户端等因素。
2023-02-15 cs.CR cs.HC cs.NI
Investigation of 3-D Secure's Model for Fraud Detection
背景3-D Secure 2.0（3DS 2.0）是一种身份联合协议，用于对Web上的信用卡交易的支付发起者进行身份验证。瞄准我们的目标是量化3DS 2.0在其欺诈检测决策过程中使用的因素的影响。法我们在两个网站上运行了信用卡交易，这两个网站系统地操纵了名义IV \textsf{machine\_data}、\textsf{value}、\textsf{region}和\textsf{website}。我们测量用户是否是具有身份验证的\textsf{challenged}，交易是否是\textsf{declined}，以及卡是否是\textsf{blocked}作为名义DV。结果虽然\textsf{website}和\textsf{card}在很大程度上对任何结局均无显著影响，但\textsf{machine\_data}、\textsf{value}和\textsf{region}对任何结局均有显著影响。更改\textsf{machine\_data}、\textsf{region}或\textsf{value}会使密码身份验证受到质询的可能性增加5-7倍。然而，即使在一个外国地区，另一个因素被改变，被挑战的整体可能性只达到$60\%$。当在卡的主区域中时，交易很少被拒绝（$< 5\%$处于控制中，$40\%$具有一个改变的因子）。然而，在卡以外的区域中，系统将更可能拒绝交易（关…
2020-09-25 cs.CR
LemonLDAP::NG -- A Full AAA Free Open Source WebSSO Solution
如今，安全正成为一个主要的问题和关注。越来越多的组织，如医院，大都市或银行，受到网络攻击，必须提高其网络基础设施的安全性。第一个先决条件是对用户进行身份验证，提供身份并仅授予所需和有用的访问权限。这些需求可以通过实现单点登录（SSO）解决方案来解决。它是一种身份验证方案，允许用户使用单个身份登录到多个相关但独立的系统中的任何一个。它允许用户登录一次并访问服务，而无需再次进行身份验证。SSO解决方案根据身份验证、授权和计费功能进行分类。AAA定义了一个框架，用于智能地控制对资源的访问、实施安全策略、审计使用情况以及提供对服务进行计费所需的信息。这些组合过程对于有效的网络管理和网络安全非常重要。LemonLDAP：：NG（LL：：NG）是一个完整的AAA WebSSO解决方案。它实现了所有标准的身份验证和身份联合（IdF）协议。与其他产品相比，LL：：NG的主要优势是其插件引擎和基于处理程序的高级保护机制，可用于保护Server 2Server交换或提供SSO即服务，这是一种实现完整DevOps架构的解决方案。LL：：NG是一个社区和专业项目，主要由法国政府自2010年以来雇用，以确保警察，财政或司法部门以及法国移动运营商的IT基础设施。但是几年来，来自世界各地的贡献和LL：：NG变得越来越受欢迎。
2023-01-26 cs.CR cs.NI
Web password recovery --- a necessary evil?
Web密码恢复使忘记密码的用户能够重新建立与网站的共享秘密，这是非常广泛的实现。然而，使用这种回退系统会给用户身份验证带来额外的漏洞。本文提供了一个框架内，这样的系统可以进行系统的分析，并利用这一点，以帮助更好地了解如何最好地实现这样的系统。为此，给出了一个Web密码恢复模型，并在该模型的背景下记录和分析了现有技术。这自然会导致一组建议，管理这些系统应该如何实现最大限度的安全性。还强调了一系列需要进一步研究的问题。
2018-01-30 cs.CR
Accountable authentication with privacy protection: The Larch system for universal login
针对凭证泄露难以检测和缓解的问题，提出问责认证框架larch，在保护隐私并确保正确记录认证的同时，兼容FIDO2、TOTP和密码登录，且不降低用户原有的安全与隐私期望。
2024-09-23 cs.CR
Strong authentication on smart wireless devices
无线技术的快速部署已经导致了移动电话和其他无线设备已经成为包括家庭在内的所有类型的活动中的基本要素的现状。特别地，例如，智能电话和膝上型计算机用于无线共享照片和文档、玩游戏、浏览网站和观看多媒体。这项工作描述了一个建议，桌面和移动应用程序，使用基于身份的密码（IBC），以保护智能无线设备之间的通信在家里。它将用于Wi-Fi和蓝牙通信的IBC与用于安全认证的有前途的近场通信（NFC）技术相结合。所提出的方案涉及NFC配对以建立链接到设备的一条信息（诸如电话号码或IP地址）作为公钥。以这种方式，这样的信息然后可以在用于对等通信的IBC方案中使用。这是一项正在进行的工作，但在几个移动平台上初步实现的原型已经产生了有希望的结果。
2022-08-06 cs.CR
Dual-Technique Privacy & Security Analysis for E-Commerce Websites Through Automated and Manual Implementation
本文通过自动化工具与人工评估相结合的双重技术方法分析90个美国电商网站，发现cookie滥用、缺乏多因素认证和输入验证不足等安全缺陷，并提出改进隐私政策、增强cookie透明度和强化认证协议等针对性建议，以促进CCPA和COPPA合规并保护年轻用户。
2024-10-19 cs.CR cs.CY
Killing the Password and Preserving Privacy with Device-Centric and Attribute-based Authentication
目前Web上的身份验证方法存在严重的缺陷。首先，服务严重依赖于传统的密码范例，这降低了最终用户的安全性和可用性。其次，缺乏基于属性的身份验证不允许对服务进行匿名保护访问。第三，用户拥有多个在线账户，这些账户往往反映出不同的身份特征。这使得用户难以证明身份属性的组合。在本文中，我们提出了一个隐私保护架构，以设备为中心和基于属性的身份验证，基于以下方面来解决这些弱点：1）可用/强大的以设备为中心的身份验证方法和联合登录解决方案之间的无缝集成; 2）分离授权、认证、行为认证和标识的关注点，以促进增量部署，广泛采用并符合NIST保证级别;以及3）一个新颖的集中式组件，允许最终用户执行身份配置文件和同意管理，以证明分散的身份方面的组合，并在设备丢失的情况下执行帐户恢复。据我们所知，这是在集成架构下融合上述技术的第一次努力。这种体系结构有效地认为密码范例过时，对服务提供商的软件栈进行最小的修改。
2020-01-16 cs.CR cs.NI
Secure Password Generator Based on Secure Pseudo-Random Number Generator
Chunghwa Telecom Laboratories（中華電信實驗室）
本文提出利用加密安全伪随机数生成器生成安全密码，采用多种MAC算法提升密码随机性和安全性，通过NIST标准验证其熵和独立同分布特性。
2025-08-25 cs.CR cs.PF
An Analysis of Attack Vectors Against FIDO2 Authentication
Kiel University of Applied Sciences（基尔应用科技大学）
本文分析了FIDO2认证的攻击方法，探讨了两种新型攻击方式，发现其安全性较高，相比传统密码认证更具优势。
2026-04-22 cs.CR
Beyond BeautifulSoup: Benchmarking LLM-Powered Web Scraping for Everyday Users
本文评估了基于LLM的网络爬虫在日常用户中的应用，展示了端到端LLM代理如何使复杂爬虫变得简单，同时比较了LLM辅助脚本和端到端代理在不同场景下的效果。
2026-01-09 cs.AI cs.CR cs.SE
On the security of modern Single Sign-On Protocols: Second-Order Vulnerabilities in OpenID Connect
OAuth是Web授权的新事实标准。OAuth的一个重要限制是它是为授权而不是身份验证而设计的。因此，使用OAuth进行身份验证会导致严重的漏洞，如Zhou et. [44]和Chen et.等[9]。OpenID Connect是在OAuth之上创建的，通过提供联合身份管理和用户身份验证来填补这一空白。OpenID Connect于2014年2月标准化，但Google，Microsoft，AOL和PayPal等领先公司已经在其Web应用程序中使用它[1]，[2]，[3]，[30]。在本文中，我们描述了OpenID Connect协议，并提供了第一次深入分析的关键功能之一：发现和动态注册扩展。我们提出了一类新的攻击OpenID连接，属于二阶漏洞的类别。这些攻击包括两个阶段：首先，注入有效载荷由合法应用程序存储。稍后，此有效载荷用于安全关键操作。我们的新攻击类别-称为恶意端点攻击-利用OpenID Connect扩展发现和动态注册。这些攻击会破坏用户身份验证，损害用户隐私，并启用服务器端请求伪造（SSRF），客户端代码注入和拒绝服务（DoS）。因此，当这些扩展以其目前的形式启用时，OpenID Connect协议的安全性无法得到保证。我们联系了OpenID Connect和OAuth规范的作者。他们承认我们的恶意端点攻击，并认识到需要改进规范[29]。我们目前正在讨论如何缓解现有的问…
2016-01-07 cs.CR
Verifiable Passkey: The Decentralized Authentication Standard
CyberMACS；Kadir Has University, Turkey（卡迪尔·哈斯大学）；Centre of Excellence, Artificial Intelligence & Robotics (AIR)（人工智能与机器人卓越中心）；School of Computer Science and Engineering（计算机科学与工程学）；VIT-AP University, India
本文提出'可验证的Passkey'标准，旨在解决传统passkey存储限制和隐私风险，实现跨平台安全认证。
2025-12-25 cs.CR cs.ET
Beyond SSO: Mobile Money Authentication for Inclusive e-Government in Sub-Saharan Africa
针对撒哈拉以南非洲电子政务，提出结合USSD多因素认证与JWT会话管理的混合移动货币认证框架，实现离线可用、防SIM卡交换，较SSO认证快45%、成功率更高。
2025-09-24 cs.CR cs.HC
Password-authenticated Decentralized Identities
密码验证身份是互联网上最广泛的用户验证方法，用户在其中与各个服务器建立用户名-密码对，并在以后使用它们进行验证。虽然它们简单、用户友好且被广泛采用，但它们提供了不安全的身份验证，并将服务器操作员定位为受信任方，使他们能够完全控制用户的身份。为了减轻这些限制，许多身份系统采用了公钥密码学和分散化概念。然而，所有这些系统都需要用户创建和管理公钥-私钥对。不幸的是，用户通常没有所需的知识和资源来正确处理他们的加密秘密，这可能导致许多以最终用户为中心的公钥基础设施（PKI）失败。事实上，到目前为止，没有一种能够向Web服务器验证用户的最终用户PKI具有显著的采用率。在本文中，我们提出了密码认证的分散身份（PDID），身份和认证框架，用户可以注册自己的主权用户名密码对，并使用它们作为通用凭证。我们的系统提供了全球命名空间，人类有意义的用户名，并对用户名冲突攻击的弹性。用户的身份可用于向任何服务器认证用户，而不向该服务器泄露关于密码的任何信息，从而不可能针对密码进行离线字典式攻击。我们分析PDID并使用现有的基础设施和工具实现它。我们报告我们的实施和评估。
2021-09-16 cs.CR
