パスワードの監視
パスワードの監視は、ユーザのパスワード自動入力キーチェーンに保存されているパスワードを、さまざまなオンライン組織からの漏えいで公開されたことが分かっているパスワードの、継続的にアップデートされキュレートされたリストと照合する機能です。この機能がオンになっている場合、監視用プロトコルは、ユーザのパスワード自動入力キーチェーンのパスワードをキュレートされたリストに対して継続的に照合します。
監視の仕組み
ユーザのデバイスは、ユーザのパスワードに対してラウンドロビンチェックを継続的に実行し、ユーザのパスワードやパスワードマネージャの使用パターンに依存しない間隔でクエリを実行します。これにより、漏えいしたパスワードの最新のキュレートされたリストで検証の状態が最新の状態に保たれます。ユーザが持っている一意のパスワードの数に関連する情報の漏えいを防ぐために、要求はバッチ処理され、並行して実行されます。各チェックで一定数のパスワードが並行して検証され、ユーザが持っている数がこの数より少ない場合は、ランダムなパスワードが生成され、差を補うためにクエリに追加されます。
パスワードの照合の仕組み
パスワードは2つのパートから成るプロセスで照合されます。最も漏えいすることの多いパスワードは、ユーザのデバイスのロ��カルリスト内に含まれています。ユーザのパスワードがこのリストに含まれると、外部の操作なしでユーザにすぐに通知されます。これは、ユーザが持っているパスワードのうち、パスワードの侵害によって最も危険にさらされているものの情報が漏えいすることを防止するためです。
パスワードが最も頻度の高いリストに含まれていない場合、そのパスワードは、漏えいした頻度の低いパスワードと照合されます。
ユーザのパスワードをキュレートされたリストと比較する
ローカルリストに存在しないパスワードが一致するかどうかを検証するには、Appleサーバとのやりとりが必要です。正当なユーザのパスワードがAppleに送信されないようにするために、ユーザのパスワードを漏えいした大量のパスワードと比較する、暗号の秘匿共通集合計算が展開されます。これは、侵害される危険性が低いパスワードについて、Appleと共有される情報をほぼなくすためです。ユーザのパスワードについては、この情報は暗号学的ハッシュの15ビットプレフィックスに限定されます。最も漏えいされることの多いパスワードのローカルリストを使用して、この対話型プロセスから最も頻繁に漏えいされるパスワードを削除すると、Webサービスのバケット内のパスワードの相対頻度の差が減少するため、これらの探索からユーザパスワードを推測することは実現困難になります。
基礎となるプロトコルは、本書の執筆時点で約15億のパスワードが含まれていたキュレートされたパスワードのリストを、215の異なるバケットに分割します。パスワードが属するバケットは、パスワードのSHA256ハッシュ値の最初の15ビットに基づいています。さらに、漏えいした各パスワード、pwは、NIST P256曲線上の楕円曲線の点に関連付けられています: Ppw = α·HSWU(pw)。ここで、αはAppleだけが知っているランダムな秘密鍵であり、HSWUは、パスワードをShallue-van de Woestijne-Ulas方式に基づいて曲線の点にマッピングするランダムなoracle関数です。この変換はパスワードの値を計算によって隠すように設計されており、パスワードの監視を使用して、新たに漏えいしたパスワードが公開されるのを防ぎます。
秘匿共通集合計算を行うために、ユーザのデバイスは、SHA256(upw)の15ビットプレフィックスであるλ（upwはユーザのパスワードの1つ）を使用して、ユーザのパスワードが属するバケットを決定します。デバイスは独自のランダム定数βを生成し、Pc = β·HSWU(upw)を、λに対応するバケットの要求と共にサーバに送信します。ここで、βはユーザのパスワードに関する情報を隠し、パスワードからAppleに公開される情報をλに制限します。最後に、サーバはユーザのデバイスから送信された点を取得し、αPc = αβ·HSWU(upw)を計算して、それを点の適切なバケット、Bλ = { Ppw | SHA256(pw)はプレフィックスλで始まる}と共にデバイスに返します。
返された情報により、デバイスは、B’λ = {β·Ppw | Ppw ∈B λ}を計算でき、αPc ∈ B'λの場合はユーザのパスワードが漏えいしたことがあることを確かめます。