1. المقدمة
تقدم هذه الورقة البحثية PESrank، وهو مقدر جديد لقوة كلمة المرور مصمم لنمذجة سلوك كاسر قوي لكلمات المرور بدقة من خلال حساب رتبة كلمة المرور في ترتيب احتمالية أمثل. يعالج الحاجة الحرجة لتقديم ملاحظات حول قوة كلمة المرور في الأنظمة عبر الإنترنت تكون سريعة ودقيقة وقابلة للشرح.
1.1. الخلفية
على الرغم من نقاط ضعفها، تظل كلمات المرور النصية هي طريقة المصادقة السائدة. مقدرات القوة التقريبية الشائعة (مثل قواعد LUDS) غير دقيقة. مقدرات القوة القائمة على كاسرات كلمات المرور التي تستخدم نماذج ماركوف، أو PCFGs، أو الشبكات العصبية توفر دقة أفضل ولكنها غالبًا ما تعاني من أوقات تدريب طويلة أو نقص في الأداء الفوري وقابلية الشرح.
1.2. الإسهامات
تتمثل الإسهامات الرئيسية لـ PESrank في تطبيقه الجديد لإطار عمل تقدير الرتبة المستخدم في تحليل القنوات الجانبية في التشفير على كلمات المرور، مما يتيح تقدير الرتبة في أقل من ثانية دون تعداد، وتقليل أوقات التدريب بشكل كبير، وتخصيص النموذج بكفاءة دون إعادة تدريبه، وقابلية الشرح المتأصلة لتقديم ملاحظات للمستخدم.
2. منهجية PESrank
يعيد PESrank صياغة تقدير قوة كلمة المرور كمشكلة تقدير رتبة متعددة الأبعاد، مستلهمًا ذلك من تقنيات تحليل هجمات القنوات الجانبية المستخدمة في علم التشفير.
2.1. التمثيل متعدد الأبعاد لكلمة المرور
يتم تفكيك كلمة المرور إلى نقطة في فضاء بحث ذي أبعاد (d). تمثل الأبعاد سمات مستقلة مثل الكلمة الأساسية (مثل "password")، وأنماط الأحرف الكبيرة (مثل "Password")، والإضافات اللاحقة (مثل "password123")، أو تحويلات ليت سبيك (مثل "p@ssw0rd"). يتم تعلم التوزيع الاحتمالي لكل بُعد بشكل منفصل من مجموعات بيانات كلمات المرور.
2.2. إطار عمل تقدير الرتبة
بدلاً من تعداد جميع كلمات المرور الممكنة، يقدر PESrank رتبة مجموعة محددة من كلمة المرور عن طريق حساب عدد مجموعات كلمات المرور الأكثر احتمالاً (أي ذات الاحتمال المشترك الأعلى) من كلمة المرور المعطاة. هذا مشابه لتقدير رتبة مفتاح التشفير في هجوم القناة الجانبية.
3. التنفيذ التقني والنموذج الرياضي
3.1. الخوارزمية الأساسية والصيغة الرياضية
يتضمن جوهر PESrank حساب الاحتمال المشترك لكلمة مرور ممثلة بمتجه لقيم الأبعاد $\vec{x} = (x_1, x_2, ..., x_d)$. بافتراض استقلالية الأبعاد (وهو تبسيط للكفاءة)، يكون الاحتمال: $$P(\vec{x}) = \prod_{i=1}^{d} P_i(x_i)$$ حيث $P_i(x_i)$ هو احتمال القيمة $x_i$ في البُعد $i$، والمتعلم من بيانات التدريب. يتم تقدير الرتبة $R(\vec{x})$ عن طريق جمع احتمالات جميع المتجهات $\vec{y}$ حيث $P(\vec{y}) > P(\vec{x})$. تُستخدم خوارزميات فعالة من أدبيات القنوات الجانبية، مثل نهج التحديد بالحدود، لحساب حدود عليا وسفلى دقيقة لهذا المجموع دون تعداد كامل.
3.2. قابلية الشرح والتخصيص
النموذج متعدد الأبعاد قابل للشرح بطبيعته. يمكن للنظام الإبلاغ عن الأبعاد (مثل "كلمة أساسية شائعة جدًا" أو "لاحقة متوقعة مثل '123'") التي تساهم بشكل كبير في انخفاض رتبة كلمة المرور (ارتفاع قابلية التخمين). يمكن تحقيق التخصيص (مثل دمج اسم المستخدم أو سنة ميلاده ككلمة أساسية محظورة) عن طريق ضبط الاحتمال $P_i(x_i)$ للأبعاد ذات الصلة ديناميكيًا إلى ما يقرب من الصفر، مما يؤثر على حسابات الرتبة على الفور دون إعادة تدريب النموذج.
4. النتائج التجريبية والأداء
4.1. معايير الدقة والسرعة
تم تقييم التنفيذ بلغة Python على نطاق واسع. تشمل النتائج الرئيسية:
- السرعة: وقت استجابة أقل من ثانية لتقدير الرتبة، حتى مع نموذج تم تدريبه على 905 مليون كلمة مرور.
- الدقة: كانت حدود الرتبة المقدرة دائمًا ضمن عامل 2 (هامش 1 بت) من الرتبة الحقيقية، مما يظهر دقة عالية.
- وقت التدريب: أقصر بكثير من نماذج الشبكات العصبية أو نماذج PCFG المعقدة، ويتطلب قدرًا أقل من الحساب بترتيب من حيث الحجم.
4.2. النشر في العالم الحقيقي
تم دمج PESrank في صفحة تسجيل مقرر جامعي. قدم ملاحظات فورية وقابلة للشرح للمستخدمين الذين ينشئون كلمات مرور، مما يظهر قابليته للاستخدام وأدائه تحت ظروف تحميل فعلية. ساعدت الملاحظات في توجيه المستخدمين بعيدًا عن أنماط كلمات المرور الضعيفة والمتوقعة.
5. إطار التحليل وحالة تطبيقية مثال
منظور المحلل: الفكرة الأساسية، التدفق المنطقي، نقاط القوة والضعف، رؤى قابلة للتنفيذ
الفكرة الأساسية: PESrank ليس مجرد تحسين تدريجي آخر في مقاييس كلمات المرور؛ إنه تحول نموذجي أساسي. إنه ينجح في نقل الإطار الكمي الصارم لتقدير رتبة القناة الجانبية - وهو ركن أساسي في تقييم أجهزة التشفير عالية المخاطر - إلى العالم الفوضوي لكلمات المرور التي يختارها البشر. هذه الخطوة من التخمين التقريبي إلى تحليل التشفير الاحتمالي هي ضربة بارعة. إنه يعامل كسر كلمة المرور ليس كمشكلة لغوية أو مطابقة أنماط، ولكن كمشكلة بحث في فضاء احتمالي منظم، متوافقًا تمامًا مع كيفية عمل الكاسرات الحديثة مثل Hashcat و John the Ripper مع قواعد التشويه وسلاسل ماركوف.
التدفق المنطقي: المنطق اختزالي بأناقة. 1) تفكيك كلمات المرور إلى ميزات مستقلة وذات صلة بالكاسر (كلمات أساسية، تحويلات). 2) تعلم نموذج احتمالي بسيط لكل ميزة من بيانات الاختراق. 3) إعادة بناء قابلية تخمين كلمة المرور عن طريق حساب عدد التركيبات الأكثر احتمالاً الموجودة. يتجاوز هذا الحاجة إلى النماذج الضخمة وغير الشفافة للشبكات العصبية (مثل تلك في [30, 37]) أو مجموعات القواعد أحيانًا غير المألوفة لـ PCFGs [41]. افتراض الاستقلالية بين الأبعاد هو قفزته التبسيطية الرئيسية، حيث يضحى ببعض الدقة في النمذجة مقابل مكاسب هائلة في السرعة وقابلية الشرح - وهي مقايضة تبدو مواتية للغاية في الممارسة العملية.
نقاط القوة والضعف: نقاط قوته هائلة: السرعة الخاطفة وقابلية الشرح المتأصلة هما ميزتان قاتلتان للتبني في العالم الحقيقي، حيث يعالجان أكبر نقطتين مؤلمتين في النماذج الأكاديمية. خدعة التخصيص ذكية وعملية. ومع ذلك، يكمن عيب حرج في افتراض الاستقلالية. على الرغم من كفاءته، فإنه يتجاهل الارتباطات (على سبيل المثال، من المرجح أن تحدث أنماط معينة للأحرف الكبيرة مع كلمات أساسية معينة). قد يؤدي هذا إلى عدم دقة في الرتبة لكلمات المرور المعقدة والمترابطة. علاوة على ذلك، فإن دقته مرتبطة بطبيعتها بجودة واتساع بيانات التدريب لكل بُعد، وهي تبعية يشترك فيها مع جميع النماذج القائمة على البيانات. قد يواجه صعوبة في استراتيجيات إنشاء كلمات المرور الجديدة حقًا والتي لم تُشاهد في الاختراقات السابقة.
رؤى قابلة للتنفيذ: بالنسبة لفرق الأمن، الرسالة واضحة: تخلوا عن مقاييس LUDS. يوضح PESrank أن الملاحظات الدقيقة للكاسر والفورية أصبحت ممكنة تشغيليًا الآن. مسار التكامل الموضح - تضمينه في بوابة تسجيل - هو مخطط. بالنسبة للباحثين، يكمن المستقبل في النماذج الهجينة. اجمع بين إطار عمل PESrank الفعال والقابل للشرح مع مكون عصبي خفيف لنمذجة الارتباطات بين الأبعاد، على غرار كيفية استخدام نماذج الرؤية مثل CycleGAN لمولدات منفصلة لتحويلات المجال المختلفة مع الحفاظ على بنية متماسكة. الحد التالي هو التخصيص التكيفي الذي يتعلم من اقتراحات كلمات المرور *المرفوضة* من قبل المستخدم لتحسين نموذجه في الوقت الفعلي، متجاوزًا قوائم الحظر الثابتة.
6. التطبيقات المستقبلية واتجاهات البحث
- الصيد الاستباقي للتهديدات: إلى جانب المقاييس الموجهة للمستخدم، يمكن لخوارزمية PESrank الأساسية مسح قواعد بيانات كلمات المرور الحالية (مع التجزئة المناسبة) لتحديد ووضع علامة على الحسابات ذات كلمات المرور القابلة للتخمين بدرجة عالية بشكل استباقي، مما يتيح إعادة تعيين إجباري.
- محركات تخصيص محسنة: يمكن للأنظمة المستقبلية التكامل مع أدلة المؤسسات (مثل LDAP) لتخصيص النموذج تلقائيًا بأسماء الموظفين وأسماء المشاريع الرمزية والمصطلحات الداخلية، مما يخلق نموذج تهديد ديناميكيًا ومخصصًا للمؤسسة.
- المعايرة والتقييس: يوفر نهج تقدير الرتبة مقياسًا كميًا صارمًا. يمكن أن يشكل هذا أساسًا لمعايير معايرة قوة كلمة المرور على مستوى الصناعة، متجاوزًا التسميات الغامضة مثل "قوي" أو "ضعيف".
- التحقق من صحة النماذج المتقاطعة: يمكن استخدام PESrank كمرشح "تمريرة أولى" سريع وقابل للشرح، مع وضع علامة على كلمات المرور المشبوهة لتحليل أعمق بواسطة نماذج أكثر كثافة حسابيًا (مثل RNNs)، مما يخلق دفاعًا متعدد المستويات.
- البحث في الاعتماد المتبادل بين الأبعاد: المسار البحثي الرئيسي هو تخفيف افتراض الاستقلالية. يمكن لاستكشاف نماذج الارتباط الخفيفة الوزن (مثل الشبكات البايزية عبر الأبعاد) أن يحسن الدقة لكلمات المرور المعقدة دون التضحية بميزة السرعة الأساسية.
7. المراجع
- L. David and A. Wool, "Online Password Guessability via Multi-Dimensional Rank Estimation," arXiv preprint arXiv:1912.02551v2, 2020.
- J. Bonneau, "The Science of Guessing: Analyzing an Anonymized Corpus of 70 Million Passwords," IEEE Symposium on Security and Privacy, 2012.
- M. Weir, S. Aggarwal, B. de Medeiros, and B. Glodek, "Password Cracking Using Probabilistic Context-Free Grammars," IEEE Symposium on Security and Privacy, 2009.
- W. Melicher, B. Ur, S. M. Segreti, S. Komanduri, L. Bauer, N. Christin, and L. F. Cranor, "Fast, Lean, and Accurate: Modeling Password Guessability Using Neural Networks," USENIX Security Symposium, 2016.
- D. Wang, H. Cheng, P. Wang, X. Huang, and G. Jian, "A Security Analysis of Honeywords," NDSS, 2018. (مثال على تحليل صارم متعلق بكلمات المرور)
- P. G. Kelley, S. Komanduri, M. L. Mazurek, R. Shay, T. Vidas, L. Bauer, N. Christin, L. F. Cranor, and J. Lopez, "Guess Again (and Again and Again): Measuring Password Strength by Simulating Password-Cracking Algorithms," IEEE Symposium on Security and Privacy, 2012.
- National Institute of Standards and Technology (NIST), "Digital Identity Guidelines," NIST Special Publication 800-63B, 2017. (للحصول على سياق معايير المصادقة)