DALock：分布感知密码节流锁定

大规模在线密码猜测攻击十分普遍，并持续被列为顶级网络安全风险之一。缓解在线破解风险的常用方法是在固定次数（$K$）连续错误登录尝试后锁定用户。选择$K$的值会引发典型的安全性-可用性权衡。当$K$过大时，黑客可以（快速）攻破相当比例的用户账户；但当$K$过小时，我们会在少数错误后锁定诚实用户而惹恼他们。受“诚实用户的错误通常看起来与在线攻击者的密码猜测截然不同”这一观察的启发，我们引入了DALock这一{\em 分布感知}的密码锁定机制，以在最小化用户风险的同时减少用户困扰。顾名思义，DALock旨在感知用于登录攻击的密码的频率与流行度，而标准节流机制（如$K$次锁定）对密码分布毫无察觉。具体而言，DALock为每个用户除“尝试计数”外还维护一个“命中计数”，其基于该特定账户所有登录尝试的（估计）累积概率。我们使用真实世界密码数据集通过大量模拟对DALock进行了实证评估。与传统的$K$次锁定机制相比，我们发现DALock提供了更优的安全性/可用性权衡。例如，在一项模拟中，我们能将攻击者的成功率降至$0.05\%$（相比之下$10$次锁定机制为$1\%$），同时将未受攻击账户的意外锁定率降至仅$0.08\%$（相比之下$3$次锁定机制为$4\%$）。