Lecture 3 — Authentication

Authentication คือการพิสูจน์ว่าคุณเป็นคนที่คุณอ้างว่าเป็นจริง ทำได้สามทางคือ สิ่งที่คุณรู้ สิ่งที่คุณถือ และ คนที่คุณเชื่อ ไม่มีทางไหนสมบูรณ์แบบ ระบบจริงจึงเอาหลายทางมาต่อกัน

เนื้อหามาจากสไลด์ Chapter 3 หน้า 20–41 ของไฟล์ Lecture-2,3.pdf คำนิยาม รายการต่าง ๆ ค่าแฮชตัวอย่าง และลิงก์ทั้งหมดมาจากสไลด์จริง ส่วนคำอธิบาย รูป ตาราง และกล่องที่ติดป้าย "เสริม" เขียนขึ้นใหม่

คาบนี้ต่อจาก Lecture 2 — Security Components ที่บอกว่า Authentication เป็นด่านแรกในสามด่านของ AAA คาบนี้เจาะเข้าไปในด่านนั้นด่านเดียว

สองบรรทัดหลังคือแก่นของทั้งคาบ

การพิสูจน์ตัวตนทำได้แค่สองแบบเท่านั้น คือ ดูของที่คุณถือมา เช่น บัตร กุญแจ รหัสผ่านที่คุณจำมา หรือ ดูตัวคุณเอง เช่น ลายนิ้วมือ ใบหน้า เสียง

วิธีทั้งหมดในส่วนที่ 2 แตกออกมาจากสองแบบนี้

เวลาโหลดโปรแกรมมาติดตั้ง เครื่องเราต้องรู้ให้ได้ว่าไฟล์นี้มาจากคนที่เขาอ้างจริง ไม่ใช่ไฟล์ที่ถูกสลับระหว่างทาง วิธีที่ใช้กันคือผู้พัฒนาเซ็นไฟล์ด้วยกุญแจของตัวเอง แล้วเครื่องเราตรวจลายเซ็นนั้น

นี่คือ authentication แบบ "ตรวจของที่ถืออยู่" ตามนิยามข้างบน ต่างกันแค่ตรงที่ผู้ถูกพิสูจน์เป็นไฟล์ ไม่ใช่คน

ถ้ารีโมทรถส่งรหัสเดิมทุกครั้งที่กดปุ่ม คนที่นั่งดักฟังอยู่ในลานจอดรถแค่ครั้งเดียว ก็อัดรหัสนั้นไว้แล้วเปิดรถเราได้ตลอดไป

Challenge and response แก้ตรงนี้ด้วยการทำให้ N เปลี่ยนทุกครั้ง คำตอบที่ถูกอัดไว้เมื่อวานจึงตอบโจทย์ของวันนี้ไม่ได้

Biometrics ถูกจัดอยู่ในกลุ่ม "สิ่งที่คุณถือ" ไม่ใช่กลุ่ม "สิ่งที่คุณรู้" เพราะมันคือคุณสมบัติที่ติดตัวมา ไม่ใช่ความลับที่จำไว้ในหัว

ข้อแตกต่างที่สำคัญคือ รหัสผ่านหลุดแล้วเปลี่ยนได้ ลายนิ้วมือหลุดแล้วเปลี่ยนไม่ได้ และตามนิยามในส่วนที่ 1 biometrics คือการ "ตรวจคุณสมบัติของตัวมันเอง" ซึ่งเป็นคนละแบบกับการตรวจของที่ถือมา

Proximity เป็นวิธีที่อ่อนที่สุดในสามกลุ่ม เพราะมันไม่ได้พิสูจน์อะไรเลย แค่อาศัยว่า "คนที่เข้ามาถึงตรงนี้ได้ น่าจะมีสิทธิ์"

ตัวอย่างข้างบนตรงไปตรงมามาก ใครก็แต่งตัวเหมือนนิสิตได้ ในระบบคอมพิวเตอร์ก็เหมือนกัน การเชื่อว่า "เครื่องนี้อยู่ใน network ของออฟฟิศ เพราะฉะนั้นเชื่อได้" คือกับดักแบบเดียวกัน

เหตุผลที่ต้องต่อกันหลายวิธีมาจากประโยคในหน้า 24 ที่ว่าไม่มีวิธีไหนสมบูรณ์แบบ

จุดอ่อนของแต่ละกลุ่มไม่เหมือนกัน รหัสผ่านถูกเดาหรือถูกหลอกเอาไปได้ การ์ดถูกขโมยหรือทำหายได้ แต่การที่คนคนเดียวจะทั้งรู้รหัสผ่านของเรา และ ขโมยการ์ดจากกระเป๋าเราไปด้วยพร้อมกัน ยากกว่าอย่างใดอย่างหนึ่งมาก

วิธีปกติคือส่งรหัสผ่านไปให้อีกฝั่งตรวจ ปัญหาคือระหว่างทางอาจมีคนดักฟัง และปลายทางเองก็ได้เห็นรหัสผ่านของเราไปเต็ม ๆ ต่อให้เราไม่ได้อยากให้เขาเห็น

ZKPP ตัดปัญหานี้ทิ้ง ด้วยการเปลี่ยนจาก "ส่งความลับไปให้ตรวจ" เป็น "ทำอะไรบางอย่างที่ทำได้เฉพาะคนที่รู้ความลับ"

ถ้าเธอไม่มีกุญแจ เธอเดาได้แค่ว่าเราจะเรียกทางไหน แล้วเดินเข้าไปทางนั้น

รอบเดียวเธอมีโอกาสรอด 50% สองรอบเหลือ 25% สิบรอบเหลือประมาณหนึ่งในพัน ยิ่งทำซ้ำมาก โอกาสที่คนไม่มีกุญแจจะฟลุกผ่านทุกรอบก็ยิ่งเข้าใกล้ศูนย์ ในขณะที่คนมีกุญแจผ่าน 100% ทุกรอบเสมอ

จุดสำคัญคือ ตลอดทั้งกระบวนการ เราไม่เคยเห็นกุญแจเลย เรารู้แค่ว่าเธอมี

สังเกตว่าทั้งสองหัวข้อมีเครื่องหมายคำถามติดมาด้วย คือ Substitution (Good?) และ Guessable pattern (Bad?) จึงไม่ได้ฟันธงว่าฝั่งซ้ายดีจริง

เหตุผลอยู่ในส่วนที่ 5 คือ dictionary attack สมัยนี้ไม่ได้ลองแค่คำในพจนานุกรม แต่ลองคำที่ผ่านการแทนตัวอักษรแบบนี้ด้วย p3nc1l จึงไม่ได้แข็งแรงกว่า pencil มากอย่างที่คนคิด สิ่งที่ช่วยจริงคือความยาว ซึ่งเป็นเรื่องของหัวข้อถัดไป

คำว่า deterministic ในยุคที่ 2 คือต้นเหตุของทุกอย่างที่ตามมา

ฟังก์ชันแฮชให้ผลเดิมกับค่าเดิมเสมอ ซึ่งจำเป็น ไม่งั้นตอนเรา login ระบบก็เทียบไม่ได้ แต่มันแปลว่า ทุกคนที่ตั้งรหัสผ่านว่า password จะมีค่าแฮชเหมือนกันหมด ผู้โจมตีจึงคำนวณค่าแฮชของคำยอดฮิตเก็บไว้ล่วงหน้าครั้งเดียว แล้วเอาไปเทียบกับฐานข้อมูลที่ขโมยมาได้ทุกอัน

Salt (ค่าสุ่มที่เติมให้แต่ละคนไม่ซ้ำกัน) แก้ตรงนี้ ด้วยการเติมค่าสุ่มคนละตัวก่อนแฮช คนสองคนที่ตั้งรหัสผ่านเหมือนกันจึงได้ค่าแฮชคนละอัน ตารางที่ทำไว้ล่วงหน้าก็ใช้ไม่ได้ทันที

ส่วนยุคที่ 4 แก้อีกด้านหนึ่ง คือแทนที่จะทำให้ตารางใช้ไม่ได้ ก็ทำให้ การคำนวณแต่ละครั้งช้าลง จนการไล่เดาไม่คุ้มค่าไฟ

จำนวนความเป็นไปได้ทั้งหมดคือ k ยกกำลัง n และเวลาที่ใช้ลองทุกอันคือ C × k^n

สมมติว่าผู้โจมตีลองได้พันล้านครั้งต่อวินาที (C = หนึ่งในพันล้านวินาที)

สังเกตสองแถวสุดท้าย ชุดตัวอักษรเท่ากัน ต่างกันแค่ความยาวจาก 8 เป็น 12 แต่เวลาต่างกันเป็นร้อยล้านเท่า ความยาวมีผลมากกว่าความซับซ้อน

สี่วิธีแรกโจมตีที่ตัวระบบ วิธีที่ห้าโจมตีที่ตัวคน และเป็นวิธีที่ได้ผลที่สุด

รหัสผ่านที่ยาว 12 ตัวและเก็บด้วย Argon2 ต้องใช้เวลาเดาเป็นล้านปี แต่ถ้าเจ้าตัวพิมพ์มันลงในหน้าเว็บปลอมที่หน้าตาเหมือนของจริง ผู้โจมตีได้ไปในสามวินาที ไม่มีมาตรการทางเทคนิคข้อไหนกันเรื่องนี้ได้ทั้งหมด

คำสั่ง echo "security" เติมตัวขึ้นบรรทัดใหม่ต่อท้ายให้อัตโนมัติ ค่าที่ได้จึงเป็นค่าแฮชของ security\n ไม่ใช่ของ security เฉย ๆ

ทดสอบเทียบกันได้

$ printf 'security\n' | md5sum
e46d69abde01f581f79cd4ec029a8469

$ printf 'security' | md5sum
e91e6348157868de9dd8b25c81aebfb9

ค่าแรกตรงกับที่สไลด์เขียนไว้ ถ้าจะแฮชข้อความล้วนโดยไม่มีตัวขึ้นบรรทัด ต้องใช้ echo -n หรือ printf แทน

บนเครื่อง Linux คำสั่งชื่อ md5sum ส่วนบน macOS ชื่อ md5

กติกา password policy ในข้อ 2 สร้างปัญหาใหม่ขึ้นมาเอง คือรหัสผ่านที่ยาวและมั่วพอจนเดาไม่ได้ ก็เป็นรหัสผ่านที่คนจำไม่ได้เหมือนกัน

คนจึงแก้ปัญหาด้วยการใช้รหัสผ่านเดิมซ้ำทุกเว็บ ซึ่งแปลว่าเว็บเล็ก ๆ เว็บเดียวที่ถูกเจาะ ทำให้บัญชีอื่นทั้งหมดของเราถูกยึดตามไปด้วย

Password manager ตัดปมนี้ ด้วยการให้เราจำรหัสเดียว แล้วมันจำรหัสยาว ๆ ที่ไม่ซ้ำกันของทุกเว็บให้แทน

หัวข้อพวกนี้ถูกทิ้งไว้เพราะเป็นเรื่องที่ตัดสินใจตอนออกแบบระบบจริง ไม่ใช่ตอนเรียนทฤษฎี

ยกตัวอย่าง Transferability กับ biometrics เราให้เพื่อนยืมรหัสผ่านได้ แต่ให้เพื่อนยืมลายนิ้วมือไม่ได้ ข้อนี้เป็นข้อดีเมื่อมองจากมุมความปลอดภัย และเป็นข้อเสียเมื่อมองจากมุมของคนที่ต้องมอบอำนาจให้คนอื่นทำแทน

นิยาม

• Authentication ในระบบคอมพิวเตอร์ = การยืนยันตัวตนของผู้ใช้ ในระบบสื่อสาร = การยืนยันว่าข้อความมาจากต้นทางที่อ้างจริง
• ทำได้สองแบบ คือตรวจของที่ถือมา (token) หรือตรวจคุณสมบัติของตัวมันเอง
• ใช้พิสูจน์ได้ทั้งเอกสาร คน ต้นทางของข้อมูล และความเป็นเจ้าของ

สามกลุ่มของวิธีพิสูจน์ตัวตน

• What do you know? — รหัสผ่าน passphrase คำถามที่นัดไว้ one-time pad challenge-response
• What do you have? — token, smart token, biometrics เก้าแบบ ตั้งแต่ลายนิ้วมือถึงจังหวะการพิมพ์
• Who do you trust? — Facebook / Google Login, ChulaSSO, และการเชื่อเพราะอยู่ในเขตที่ไว้ใจ
• ไม่มีวิธีไหนสมบูรณ์แบบ ทุกวิธีมีจุดอ่อนของตัวเอง

Protocol

• Authentication protocol = การเอาหลายวิธีมาต่อกัน เช่น รหัสผ่าน + smart token
• Challenge and response: Alice > Bob : N แล้ว Bob > Alice : {N,B}k — N เปลี่ยนทุกครั้ง จึงกัน replay attack ได้
• ZKPP = พิสูจน์ว่ารู้รหัส โดยไม่ต้องบอกรหัส ตัวอย่างคือ Where is Waldo และเด็กกับอุโมงค์
• ระบบพิสูจน์ตัวตนสมัยใหม่ตั้งอยู่บน ZKPP

รหัสผ่าน

• มีเครื่องหมายคำถามกำกับทั้งสองฝั่ง — Substitution (Good?) กับ Guessable pattern (Bad?)
• สี่ยุคของการเก็บ: Plaintext (1960s), Hashing (1970s), Salted hashing (1980s+), Slow adaptive hashing (2000s+ คือ bcrypt, scrypt, Argon2)
• ตัวแปรสี่ตัว: n ความยาว, k ขนาดชุดตัวอักษร, C เวลาต่อการลองหนึ่งครั้ง, t จำนวนครั้งก่อนล็อกบัญชี
• จำนวนความเป็นไปได้ = k^n และเวลาลองครบ = C × k^n — ความยาวมีผลมากกว่าความซับซ้อน

วิธีเจาะ

• Dictionary attack, Brute-force, Rainbow table, Replay attack, Social engineering (phishing)
• Rainbow table = คำนวณค่าแฮชไว้ล่วงหน้าตอนเครื่องว่าง เปลี่ยนการเดาให้เป็นการเปิดตาราง
• ดาวน์โหลดได้ฟรี และค่าแฮชของคำง่าย ๆ เคยค้นเจอใน search engine
• salt ทำให้ rainbow table ใช้ไม่ได้ เพราะค่าแฮชของคำเดียวกันไม่ซ้ำกันอีกต่อไป

วิธีป้องกัน

• Multi-Factor Authentication (SMS? Authenticator apps?)
• Password policy — ผสมพิมพ์ใหญ่ พิมพ์เล็ก ตัวเลข สัญลักษณ์
• Rate limiting และ account lockout — แนะนำ fail2ban
• Password manager สำหรับปัญหาฝั่งคน
• เรื่องที่ยังไม่ได้พูด: ค่าดูแลระบบ, ช่องทางสื่อสาร, human factor, ความแม่นยำ, การส่งต่อสิทธิ์, รวมศูนย์หรือกระจาย, และ single sign-on