一所大学对利用重用密码进行攻击的脆弱性的二十年回顾性分析

凭据猜测攻击经常利用用户在线帐户中重复使用的密码。为了了解组织如何更好地保护用户，我们回顾性地分析了20年来我校在凭证猜测攻击方面的脆弱性。给出一个大学用户名列表，我们在数百个网站的数据泄露和十几个大型泄露汇编中搜索匹配项。在破解散列密码和调整猜测后，我们在数据泄露中成功地猜测了32.0%与大学电子邮件地址匹配的帐户的密码，以及6.5%与用户名（但不一定是域）匹配的帐户。在被泄露的数据被泄露后，这些账户中的许多账户在数年内仍然存在漏洞，在泄露中逐字发现的密码被利用的可能性（即观察到可疑账户活动）几乎是经过调整的猜测的四倍。超过70种不同的数据泄露和各种匹配用户名的策略引导了正确的猜测。在对40名密码被我们猜到的用户进行的调查中，许多用户不知道他们的大学帐户存在风险，也不知道他们所持有的证书遭到了破坏。我们大学对密码重用的分析为组织保护帐户提供了实用建议。