সরলতা ও নমনীয়তার কারণে পাসওয়ার্ড ব্যবহারকারী প্রমাণীকরণের সর্বাধিক প্রচলিত পদ্ধতি হিসেবেই রয়ে গেছে। তবে, তাদের নিরাপত্তা ক্রমাগত পাসওয়ার্ড ক্র্যাকিংয়ের প্রচেষ্টা দ্বারা চ্যালেঞ্জের মুখোমুখি হয়। পাসওয়ার্ড অনুমান, ডিকশনারি আক্রমণের জন্য প্রার্থী পাসওয়ার্ড তৈরির প্রক্রিয়া, আক্রমণাত্মক নিরাপত্তা পরীক্ষা এবং প্রতিরক্ষামূলক পাসওয়ার্ড শক্তি মূল্যায়ন উভয়েরই ভিত্তি। রুল-ভিত্তিক হিউরিস্টিক থেকে মার্কভ চেইন এবং পিসিএফজির মতো পরিসংখ্যানগত মডেল পর্যন্ত ঐতিহ্যগত পদ্ধতিগুলির বৈচিত্র্য ও দক্ষতার মধ্যে অন্তর্নিহিত সীমাবদ্ধতা রয়েছে। গভীর শিক্ষণ, বিশেষ করে অটোরিগ্রেসিভ নিউরাল নেটওয়ার্কের আবির্ভাব একটি প্যারাডাইম শিফটের প্রতিশ্রুতি দিয়েছিল। তবুও, একটি গুরুত্বপূর্ণ ত্রুটি ছিল জেনারেশন পদ্ধতিটিই। এই মডেলগুলি থেকে স্ট্যান্ডার্ড র্যান্ডম স্যাম্পলিং ডুপ্লিকেট এবং অক্রমিক আউটপুট তৈরি করে, যা পাসওয়ার্ড আক্রমণের ব্যবহারিক দক্ষতা মারাত্মকভাবে হ্রাস করে। এই গবেষণাপত্রটি এসওপিজি (সার্চ-ভিত্তিক ক্রমানুসারে পাসওয়ার্ড জেনারেশন) উপস্থাপন করে, একটি অভিনব পদ্ধতি যা একটি অটোরিগ্রেসিভ মডেলকে সম্ভাবনার প্রায় নিখুঁত অবরোহী ক্রমে পাসওয়ার্ড তৈরি করতে বাধ্য করে, এই মৌলিক ত্রুটির সমাধান করে।
এই ক্ষেত্রটি স্বতন্ত্র পর্যায়ের মাধ্যমে বিবর্তিত হয়েছে: রুল-ভিত্তিক গণনা (যেমন, জন দ্য রিপার রুলস), যা ম্যানুয়াল দক্ষতার উপর নির্ভর করে; পরিসংখ্যানগত মডেল যেমন মার্কভ মডেল (ওমেন) এবং প্রোবাবিলিস্টিক কনটেক্সট-ফ্রি গ্রামার (পিসিএফজি), যা লিক হওয়া ডেটাসেট থেকে প্যাটার্ন শেখে কিন্তু প্রায়শই ওভারফিট করে; এবং বর্তমান যুগের গভীর শিক্ষণ মডেল।
পাসজিএএন (জেনারেটিভ অ্যাডভারসারিয়াল নেটওয়ার্ক ভিত্তিক), ভিএইপাস (ভ্যারিয়েশনাল অটোএনকোডার), এবং পাসজিপিটি (জিপিটি আর্কিটেকচার ভিত্তিক) এর মতো মডেলগুলি জটিল পাসওয়ার্ড বন্টন শিখতে গভীর নিউরাল নেটওয়ার্কের সুবিধা নেয়। যদিও তারা পরিসংখ্যানগত মডেলের চেয়ে সূক্ষ্মতা ভালোভাবে ধরে রাখে, তাদের ডিফল্ট জেনারেশন র্যান্ডম স্যাম্পলিং এর মাধ্যমে হয় যা আক্রমণের দৃশ্যের জন্য অদক্ষ, যেখানে সম্ভাব্যতার ক্রমে পাসওয়ার্ড চেষ্টা করা সর্বাধিক গুরুত্বপূর্ণ।
এসওপিজি একটি নতুন নিউরাল নেটওয়ার্ক আর্কিটেকচার নয়, বরং একটি বিদ্যমান অটোরিগ্রেসিভ মডেলের (যেমন, জিপিটি) উপরে প্রয়োগ করা একটি জেনারেশন অ্যালগরিদম। এর লক্ষ্য হল মডেলের আউটপুট স্পেসটি বুদ্ধিমত্তার সাথে অতিক্রম করা, পুনরাবৃত্তি ছাড়াই সর্বাধিক সম্ভাব্য পাসওয়ার্ডগুলি প্রথমে তৈরি করা।
প্রতিটি ধাপে টোকেন এলোমেলোভাবে স্যাম্পল করার পরিবর্তে, এসওপিজি একটি সার্চ কৌশল প্রয়োগ করে (ধারণাগতভাবে বিম সার্চের অনুরূপ কিন্তু সম্পূর্ণ পাসওয়ার্ড জেনারেশনের জন্য অপ্টিমাইজড)। এটি প্রার্থী পাসওয়ার্ড প্রিফিক্সের একটি অগ্রাধিকার সারি বজায় রাখে, সর্বদা সর্বোচ্চ ক্রমবর্ধমান সম্ভাব্যতা সহ প্রিফিক্সটি প্রসারিত করে। এটি নিশ্চিত করে যে সম্পূর্ণ পাসওয়ার্ডগুলি আনুমানিক অবরোহী ক্রমে তৈরি হয়।
একটি অটোরিগ্রেসিভ মডেল দেওয়া হয়েছে যা পাসওয়ার্ডের উপর একটি সম্ভাব্যতা বন্টন সংজ্ঞায়িত করে $P(\mathbf{x})$, যেখানে $\mathbf{x} = (x_1, x_2, ..., x_T)$ হল টোকেন (অক্ষর) এর একটি ক্রম, মডেলটি সম্ভাব্যতাকে নিম্নরূপে উৎপাদকে বিভক্ত করে:
$$P(\mathbf{x}) = \prod_{t=1}^{T} P(x_t | x_1, ..., x_{t-1})$$
র্যান্ডম স্যাম্পলিং প্রতিটি ধাপে $t$ এ $P(x_t | x_1, ..., x_{t-1})$ থেকে $x_t$ তৈরি করে। এসওপিজি, পরিবর্তে, একটি প্রদত্ত প্রিফিক্স $\mathbf{x}_{
লেখকরা এসওপিজেসজিপিটি নামে একটি কংক্রিট পাসওয়ার্ড অনুমান মডেল বাস্তবায়ন করেছেন। এটি মূল অটোরিগ্রেসিভ মডেল হিসেবে একটি জিপিটি-স্টাইল ট্রান্সফরমার আর্কিটেকচার ব্যবহার করে, বাস্তব লিক হওয়া পাসওয়ার্ডের বৃহৎ কর্পোরা উপর প্রশিক্ষিত। মূল পার্থক্য হল যে পাসওয়ার্ড জেনারেশন স্ট্যান্ডার্ড স্যাম্পলিংয়ের পরিবর্তে এসওপিজি অ্যালগরিদম ব্যবহার করে সম্পাদিত হয়, যা এটিকে ক্রমানুসারে জেনারেশনকে স্থানীয়ভাবে সংহতকারী প্রথম মডেল করে তোলে।
35.06%
টেস্ট সেটে এসওপিজেসজিপিটি
81%
উচ্চতর কভারেজ
254%
উচ্চতর কভারেজ
গবেষণাপত্রটি প্রথমে একই অন্তর্নিহিত মডেলে র্যান্ডম স্যাম্পলিংয়ের উপর এসওপিজির শ্রেষ্ঠত্ব প্রদর্শন করে। মূল ফলাফল:
এসওপিজেসজিপিটিকে একটি "ওয়ান-সাইট টেস্ট"-এ (একই ব্রিচের ডেটা থেকে প্রশিক্ষণ ও পরীক্ষা) প্রধান মডেলগুলির বিরুদ্ধে তুলনা করা হয়েছিল: ওমেন, এফএলএ, পাসজিএএন, ভিএইপাস, এবং সমসাময়িক পাসজিপিটি।
ফলাফলগুলি চমকপ্রদ। কভার রেট (একটি নির্দিষ্ট অনুমান সীমার মধ্যে ক্র্যাক করা টেস্ট-সেট পাসওয়ার্ডের শতাংশ) এর পরিপ্রেক্ষিতে, এসওপিজেসজিপিটি পৌঁছেছে 35.06%। এটি পূর্বসূরিদের উপর একটি বিশাল উন্নতির প্রতিনিধিত্ব করে:
কাঠামো: একটি পাসওয়ার্ড অনুমান মডেল মূল্যায়ন করার জন্য একটি বহুমুখী বিশ্লেষণের প্রয়োজন: ১) আর্কিটেকচারাল সাউন্ডনেস (মডেল পছন্দ), ২) জেনারেশন দক্ষতা (প্রতি সেকেন্ডে অনুমান, ডুপ্লিকেট), ৩) আক্রমণ দক্ষতা (কভার রেট বনাম অনুমান সংখ্যা কার্ভ), এবং ৪) সাধারণীকরণ (অদেখা ডেটা প্যাটার্নে কর্মক্ষমতা)। বেশিরভাগ গবেষণা (১) এবং (৩) এর উপর ফোকাস করে। এসওপিজি (২) এর উপর সিদ্ধান্তমূলকভাবে উদ্ভাবন করে, যা সরাসরি (৩) কে অপ্টিমাইজ করে।
উদাহরণ কেস - পাসওয়ার্ড শক্তি মূল্যায়ন: একটি নিরাপত্তা ফার্ম একটি নতুন পাসওয়ার্ড নীতি নিরীক্ষা করতে চায়। র্যান্ডম স্যাম্পলিং সহ একটি স্ট্যান্ডার্ড পাসজিপিটি মডেল ব্যবহার করে, ১ কোটি অনুমান তৈরি করতে X ঘন্টা সময় লাগতে পারে এবং একটি টেস্ট ডিকশনারির Y% ক্র্যাক করতে পারে। এসওপিজেসজিপিটি (একই আর্কিটেকচার, এসওপিজি জেনারেশন) ব্যবহার করে, একই Y% ক্র্যাক করতে, এটির মাত্র ২০ লক্ষ অনুমান তৈরি করার প্রয়োজন হতে পারে, সময়ের একটি ভগ্নাংশে নিরীক্ষণ সম্পন্ন করে। তদুপরি, ক্রমানুসারে তালিকাটি একটি স্পষ্ট হিটম্যাপ প্রদান করে: প্রথম ১,০০,০০০ এসওপিজি পাসওয়ার্ড মডেল অনুসারে "সবচেয়ে সম্ভাব্য" সেটের প্রতিনিধিত্ব করে, যা উচ্চ-সম্ভাব্যতার আক্রমণের বিরুদ্ধে নীতির দুর্বলতা সম্পর্কে সুনির্দিষ্ট অন্তর্দৃষ্টি প্রদান করে।
প্রয়োগ:
গবেষণাপত্রের উজ্জ্বলতা একটি গুরুত্বপূর্ণ কিন্তু উপেক্ষিত বাধার উপর তার অস্ত্রোপচারমূলক আঘাতে নিহিত। বছরের পর বছর ধরে, পাসওয়ার্ড অনুমান সম্প্রদায়, জিএএন থেকে ট্রান্সফরমার পর্যন্ত আর্কিটেকচারাল লিপে মুগ্ধ হয়ে, জেনারেশন ধাপটিকে একটি সমাধান করা সমস্যা হিসেবে বিবেচনা করেছে—শুধু বন্টন থেকে স্যাম্পল নাও। জিন এট আল. সঠিকভাবে এটি আক্রমণের ব্যবহারের ক্ষেত্রে একটি বিপর্যয়কর অদক্ষতা হিসেবে চিহ্নিত করেছেন। এসওপিজি সমস্যাটিকে পুনর্বিন্যাস করে: এটি বন্টনকে আরও ভালোভাবে শেখার বিষয়ে নয়, বরং এটিকে সর্বোত্তমভাবে অতিক্রম করার বিষয়ে। এটি সম্পদ অবস্থানের একটি নিখুঁত মানচিত্র (নিউরাল নেটওয়ার্ক) থাকার মতো কিন্তু পূর্বে সেগুলি খুঁজে পেতে একটি এলোমেলো হাঁটা ব্যবহার করা, বনাম এসওপিজি যা একটি অগ্রাধিকারকৃত ইতিনারি প্রদান করে। একই জিপিটি আর্কিটেকচার ব্যবহারকারী পাসজিপিটির উপর 81% এর চমকপ্রদ উন্নতি বিষয়টি প্রমাণ করে: শেষ-কাজের কর্মক্ষমতার জন্য জেনারেশন অ্যালগরিদম মডেল নিজের চেয়ে বেশি গুরুত্বপূর্ণ হতে পারে।
যুক্তিটি আকর্ষণীয় এবং রৈখিক: ১) দক্ষতার জন্য পাসওয়ার্ড আক্রমণের জন্য সম্ভাব্যতার ক্রমে অনুমান চেষ্টা করার প্রয়োজন। ২) অটোরিগ্রেসিভ মডেলগুলি এই সম্ভাব্যতা বন্টন শেখে। ৩) এই মডেলগুলি থেকে র্যান্ডম স্যাম্পলিং একটি ক্রমানুসারে তালিকা তৈরি করতে ব্যর্থ হয় এবং অপচয়ে ভরা। ৪) অতএব, আমাদের একটি সার্চ অ্যালগরিদমের প্রয়োজন যা মডেলের কাঠামোকে কাজে লাগিয়ে একটি ক্রমানুসারে তালিকা তৈরি করে। ৫) এসওপিজি সেই অ্যালগরিদম, টোকেন গাছের উপর একটি সেরা-প্রথম সার্চের মাধ্যমে বাস্তবায়িত। ৬) ফলাফলগুলি অপ্রতিরোধ্য পরিমাণগত প্রমাণের সাথে অনুমানকে বৈধতা দেয়। প্রবাহটি ক্লাসিক সমস্যা-সমাধান-বৈধতা কাঠামোকে প্রতিফলিত করে, নির্ভুলতার সাথে কার্যকর করা।
শক্তি: ধারণাটি মার্জিতভাবে সরল এবং শক্তিশালীভাবে কার্যকর। পরীক্ষামূলক নকশাটি শক্তিশালী, সমস্ত প্রাসঙ্গিক বেসলাইনের বিরুদ্ধে তুলনা করে। দক্ষতা লাভ প্রান্তিক নয়; তারা ব্যবহারিক ক্র্যাকিং দৃশ্যের জন্য গেম-চেঞ্জিং। কাজটি একটি নতুন উপ-ক্ষেত্র খোলে: নিরাপত্তা মডেলের জন্য জেনারেশন অপ্টিমাইজেশন।
ত্রুটি ও প্রশ্ন: গবেষণাপত্রটি ইঙ্গিত দেয় কিন্তু সরল স্যাম্পলিং বনাম এসওপিজি সার্চের নিজস্ব গণনামূলক ওভারহেড গভীরভাবে অন্বেষণ করে না। যদিও এটি একটি নির্দিষ্ট কভারেজের জন্য প্রয়োজনীয় মোট ইনফারেন্স হ্রাস করে, সার্চের প্রতিটি ইনফারেন্স ধাপ আরও জটিল (একটি হিপ বজায় রাখা)। একটি জটিলতা বিশ্লেষণের প্রয়োজন। তদুপরি, "ওয়ান-সাইট টেস্ট" একটি স্ট্যান্ডার্ড কিন্তু সীমিত মূল্যায়ন। এসওপিজি একটি "ক্রস-সাইট" সেটিংয়ে কীভাবে সাধারণীকরণ করে (লিঙ্কডইন লিক থেকে প্রশিক্ষণ, রকইউতে পরীক্ষা), যেখানে বন্টন পরিবর্তিত হয়? ক্রমানুসারে জেনারেশন কম কার্যকর হতে পারে যদি মডেলের সম্ভাব্যতা র্যাঙ্কিং আউট-অফ-ডিস্ট্রিবিউশন ডেটায় দুর্বল হয়। অবশেষে, লেখকরা ভবিষ্যতের কাজে উল্লেখ করেছেন, এই দক্ষতাটি নিজেই একটি প্রতিরক্ষামূলক প্রতিক্রিয়া দাবি করে—এসওপিজি নিজেই পরবর্তী প্রজন্মের পাসওয়ার্ড হ্যাশিং এবং শক্তিশালীকরণ কৌশলগুলিতে গবেষণাকে অনুঘটক করবে।
নিরাপত্তা অনুশীলনকারীদের জন্য: অবিলম্বে আপনার পাসওয়ার্ড নীতি পরীক্ষার টুলগুলি পুনর্মূল্যায়ন করুন। ক্রমানুসারে জেনারেশন ছাড়া নিউরাল নেটওয়ার্ক ব্যবহার করে এমন কোনও টুল সম্ভবত তার সম্ভাব্য দক্ষতার নিচে কাজ করছে। বাণিজ্যিক এবং ওপেন-সোর্স পাসওয়ার্ড অডিটরগুলিতে এসওপিজি-সদৃশ বৈশিষ্ট্য চাওয়া।
গবেষকদের জন্য: এটি একটি স্পষ্ট আহ্বান জেনারেশনকে একটি আফটারথট হিসেবে বিবেচনা করা বন্ধ করতে। এসওপিজি প্যারাডাইম অন্যান্য অটোরিগ্রেসিভ নিরাপত্তা মডেলে প্রয়োগ এবং পরীক্ষা করা উচিত (যেমন, ম্যালওয়্যার জেনারেশন, ফিশিং টেক্সট জেনারেশনের জন্য)। সার্চ গভীরতা (বিম প্রস্থ) এবং কর্মক্ষমতার মধ্যে ট্রেড-অফগুলি তদন্ত করুন।
প্রতিরক্ষাকারী ও নীতি নির্ধারকদের জন্য: আক্রমণের ল্যান্ডস্কেপ শুধু পরিবর্তিত হয়েছে। অনেক পাসওয়ার্ড হ্যাশের জন্য ক্র্যাক করার সময়, বিশেষত দুর্বলগুলির জন্য, কার্যকরভাবে হ্রাস পেয়েছে। এটি ফিশিং-প্রতিরোধী এমএফএ-র ব্যাপক গ্রহণ (এনআইএসটি এবং সিসা দ্বারা সমর্থিত) এবং একমাত্র প্রমাণীকরণ ফ্যাক্টর হিসেবে পাসওয়ার্ডের অবমূল্যায়নের জরুরিতা ত্বরান্বিত করে। এসওপিজি শুধু একটি ভালো ক্র্যাকার নয়; এটি পোস্ট-পাসওয়ার্ড যুগের জন্য একটি শক্তিশালী যুক্তি।