On the Usability and Security of Password-Based User Authentication Dissertation zur Erlangung des Grades eines Doktor-Ingenieurs der Fakultät für Elektrotechnik und Informationstechnik an der Ruhr-Universität Bochum vorgelegt von Maximilian Golla geboren in Schweinfurt Bochum, 27. März 2019 Tag der mündlichen Prüfung: 29. Mai 2019 Gutachter: Prof. Dr.-Ing. Markus Dürmuth, Ruhr-Universität Bochum Zweitgutachter: Prof. Dr. rer. nat. Sascha Fahl, Leibniz Universität Hannover Abstract Passwords’ security and usability problems have been studied for decades. Still, passwords remain to be the primary authenticator in computer systems. With the increasing number of services that require authentication, users, administrators, and system developers face new challenges like the threats caused by weak passwords or pass- word reuse. To better protect their users, services deployed solutions to reinforce password-based authentication, mostly by considering au- thentication factors other than passwords. At the same time, legacy problems such as system designers’ and users’ incorrect mental models of attacker capabilities hinder the adoption of healthy password prac- tices. This thesis studies four key aspects of password-based user au- thentication: password recovery, password strength meters, password- reuse notifications, and cracking-resistant password managers. First, we explore password recovery mechanisms. When users are forced to comply with complicated password composition require- ments or expiration policies, they cannot be blamed for forgetting their passwords. However, currently deployed knowledge-based re- covery mechanisms are heavily biased by users’ selection and thus insecure. We propose a selection bias-free fallback authentication sys- tem that both relieves the user from memorizing a secret and performs well over longer periods of time. Second, we analyze password strength meters. During account reg- istration, users can benefit from additional guidance and feedback provided by password strength meters. However, in a large-scale survey, we found many meters that are inaccurate but are used on popular websites or password managers. To support developers and system designers, we provide metrics, guidance, and tools to improve their meters. Third, we look into communicating the threats caused by pass- word reuse. Currently, password reuse is one of the most pressing security issues in password-based authentication. Proactive checks by service providers against their user database for matches with leaked ii credentials is one technique services deploy to limit the success rate of password-reuse attacks. Communicating this security issue is a challenging task, as it involves a complexity that is difficult for users to understand, but that requires immediate action to prevent harm. We show that users’ mental models regarding the imminent threat of password reuse are incomplete and oftentimes wrong. We then pro- vide guidelines for system designers and developers to improve their password-reuse notifications. Finally, we examine the security of cracking-resistant password man- agers. Password managers can help to deal with the increasing number of passwords and accounts. By synchronizing the password protected vault file with cloud services, attackers have a higher chance to obtain and thus successfully decrypt the vault. Cracking-resistant managers help to mitigate this problem by trying to cover whether a guessed master password is correct or not. We show that the current proposal is vulnerable to distribution-based attacks which can distinguish real from decoy vaults and propose a more secure construction. Kurzfassung Die Benutzbarkeits- und Sicherheitsprobleme von Passwörtern wer- den seit Jahrzehnten untersucht. Dennoch sind Passwörter weiterhin das primäre Authentifizierungsmerkmal in Computersystemen. Mit der zunehmenden Anzahl von Diensten, für die eine Authentifizierung erforderlich ist, stehen Nutzer, Administratoren und Systementwick- ler vor neuen Herausforderungen, wie zum Beispiel der Bedrohung durch die Nutzung schwacher Passwörter oder die Wiederverwendung von Passwörtern. Um Nutzer besser zu schützen und passwortbasierte Authentifizierung zu stärken, haben Dienste neuartige Lösungen, die mehr als ein Authentifizierungsmerkmal berücksichtigen, entwickelt. Gleichzeitig verzögern Altlasten, wie etwa falsche mentale Modelle der Nutzer und Systementwickler über die Fähigkeiten von Angreifern, die Verbreitung sicherer Passwortpraktiken. In dieser Dissertation werden vier Schlüsselaspekte der passwortbasierten Benutzerauthentifizierung behandelt: Passwortwiederherstellung, Passwortstärkemeter, Benach- richtigungen zur Wiederverwendung von Passwörtern und crackingre- sistente Passwortmanager. Zuerst betrachten wir das Themengebiet der Passwortwiederher- stellung. Wenn Nutzer dazu gezwungen sind, komplizierte Richtlinien zum Aufbau oder Wechsel von Passwörtern zu erfüllen, darf man sie nicht dafür verantwortlich machen, dass sie ihre Passwörter verges- sen. Derzeit bereitgestellte wissensbasierte Wiederherstellungsverfah- ren sind stark von den Vorlieben und der Auswahl der Nutzer be- einflusst und daher angreifbar. Wir schlagen deshalb ein Verfahren vor, das frei von Beeinflussungen durch dessen Nutzer ist, und zudem Nutzer davon entlastet, sich ein Geheimnis zu merken und eine gute Leistung über längere Zeiträume aufweist. Als Nächstes befassen wir uns mit Passwortstärkemetern. Bei der Kontoerstellung können Nutzer von zusätzlichen Hilfestellungen und Rückmeldung durch sogenannte Passwortstärkemeter profitieren. In einer groß angelegten Untersuchung fanden wir jedoch viele Stärke- meter, die ungenau arbeiten, obwohl sie auf beliebten Webseiten oder iv in Passwortmanagern zum Einsatz kommen. Um Entwickler und Sy- stemdesigner zu unterstützen, bieten wir deshalb Metriken, Hilfestel- lungen und Werkzeuge zur Verbesserung der Stärkemeter an. Anschließend untersuchen wir die Wiederverwendung von Passwör- tern. Momentan ist die Wiederverwendung von Passwörtern eines der dringlichsten Sicherheitsprobleme bei der passwortbasierten Authen- tifizierung. Prophylaktische Überprüfungen durch die Dienstbetreiber anhand ihrer Benutzerdatenbank auf Übereinstimmungen mit gestoh- lenen und im Internet veröffentlichten Anmeldeinformationen sind ei- ne Technik, mit der die Erfolgsquote von Passwortwiederverwendungs- angriffen begrenzt wird. Die anschließende Kommunikation des Sicher- heitsproblems mit dem Nutzer ist eine herausfordernde Aufgabe, da der gesamte Sachverhalt eine Komplexität darstellt, die für Nutzer nur schwer verständlich ist, jedoch sofortige Maßnahmen erfordern, um drohenden Schaden abzuwenden. Wir zeigen, dass die mentalen Modelle der Nutzer in Bezug auf die Bedrohung durch die Wieder- verwendung von Passwörtern unvollständig und oftmals falsch sind. Im Anschluss entwickeln wir Hilfestellungen für Systementwickler zur Verbesserung ihrer Kommunikation mit dem Nutzer. Zum Abschluss analysieren wir die Sicherheit von Passwortmana- gern. Passwortmanager können dabei helfen, mit der steigenden An- zahl an Passwörtern und Konten umzugehen. Durch die Synchronisie- rung der passwortgeschützten Tresordatei mit Clouddiensten haben Angreifer jedoch eine höhere Chance den Tresor zu stehlen und er- folgreich zu entschlüsseln. Crackingresistente Passwortmanager helfen dieses Problem zu mindern, indem sie verschleiern, ob ein Ratever- such gegen das Masterpasswort richtig ist oder nicht. Wir zeigen, dass der aktuelle Vorschlag zur Konstruktion solcher Manager anfällig für verteilungsbasierte Angriffe ist, und schlagen eine sicherere Konstruk- tion vor. Acknowledgements First, I would like to express my deepest gratitude to my advisor Prof. Dr. Markus Dürmuth, for his expertise, thoughts, patience, and guidance. I am extremely thankful for receiving the opportunity to join the Mobile Security group at the Ruhr University Bochum in September 2014. Moreover, I want to thank Prof. Dr. Blase Ur for hosting my visit to the SUPERgroup at the University of Chicago in the summer of 2017. Through this mentorship, I grew as a researcher and built a global network of collaborators. Likewise, I thank Prof. Dr. Thorsten Holz and Prof. Dr. Sascha Fahl for sharing their thoughts in uncertain times and pushing me to finish this dissertation. I was fortunate to have wonderful colleagues that supported me ev- ery day, including Katharina, Kai, David, Theodor, Florian, Philipp, Jan, Nicolai, Merlin, Martin, Christine, Teemu, Dennis, Moritz, An- dre, Nadine, Johannes, Thomas, Felix, and all the others. The support of these people was absolutely indispensable. Thanks for sharing all the great moments that really made this an unforgettable experience. I am also grateful for having the opportunity to work with awesome collaborators that all became good friends over the past few years, in- cluding Miranda, Adam, Per, Elissa, Claude, Fatma, and Elizabeth. Moreover, I want to thank Nils, Konstantinos, and Philip, especially for their expertise, technical support, and discussions. Most of all, thanks to my loving and supportive family. I would like to thank my parents Barbara and Jürgen, for always being there and for supporting every step I have taken. I would also like to thank my dear sister Stefanie for always being my creative and emotional guide. The entire journey would not have been possible without my grandparents Ottilia and Hans-Georg. I would not be where I am without their endless support throughout the years. They have always been there for me, and I am eternally