فهرست مطالب
1. مقدمه
رمزهای عبور به دلیل سادگی و انعطافپذیری، همچنان روش غالب برای احراز هویت کاربران هستند. در نتیجه، حدس زدن رمز عبور جزء حیاتی پژوهشهای امنیت سایبری است که هم برای آزمایش امنیت تهاجمی (مانند تست نفوذ، بازیابی رمز عبور) و هم برای ارزیابی قدرت دفاعی ضروری است. روشهای سنتی، از حملات مبتنی بر قاعده تا مدلهای آماری مانند زنجیرههای مارکوف و PCFG، محدودیتهای ذاتی در مقیاسپذیری و سازگاری دارند.
ظهور یادگیری عمیق، به ویژه شبکههای عصبی خودرگرسیون مانند GPT، با یادگیری مستقیم توزیعهای پیچیده رمز عبور از دادهها، نوید یک تغییر پارادایم را داد. با این حال، یک نادیدهگیری حیاتی، استراتژی تولید بوده است. روشهای نمونهگیری استاندارد (مانند نمونهگیری تصادفی، top-k) رمزهای عبور را به ترتیبی تصادفی تولید میکنند که منجر به ناکارآمدیهای گسترده میشود: نرخ تکرار بالا و عدم اولویتدهی به رمزهای عبور با احتمال بالا (و در نتیجه محتملتر) در مراحل اولیه حمله. این مقاله SOPG (تولید رمز عبور منظم مبتنی بر جستجو) را معرفی میکند، روشی نوین که یک مدل خودرگرسیون را وادار میکند رمزهای عبور را به ترتیب تقریبی نزولی احتمال تولید کند و در نتیجه کارایی حملات حدس زدن رمز عبور را بهطور چشمگیری افزایش میدهد.
2. پیشینه و کارهای مرتبط
2.1 تکامل حدس زدن رمز عبور
حدس زدن رمز عبور از مراحل متمایزی تکامل یافته است:
- حملات مبتنی بر قاعده و فرهنگ لغت: متکی بر قواعد دستی و لیستهای کلمات بود. وابستگی زیادی به دانش تخصصی داشت و مستعد از دست دادن الگوهای نوین بود.
- مدلهای آماری (مانند مارکوف، PCFG): یک چارچوب احتمالاتی را معرفی کردند. مدلهایی مانند OMEN و FLA عملکرد بهبودیافتهای نشان دادند اما با تعمیمپذیری و توزیعهای دنبالهبلند دست و پنجه نرم میکردند.
- عصر یادگیری عمیق: مدلهایی مانند PassGAN (بر پایه GANها)، VAEPass (بر پایه VAEها) و PassGPT (بر پایه GPT) از شبکههای عصبی برای مدلسازی توزیعهای پیچیده و چندبعدی رمز عبور بدون مهندسی ویژگی دستی استفاده میکنند.
2.2 رویکردهای شبکه عصبی
مدلهای خودرگرسیون، مانند GPT، به ویژه برای تولید رمز عبور مناسب هستند زیرا احتمال یک دنباله را توکن به توکن مدل میکنند: $P(password) = \prod_{t=1}^{T} P(c_t | c_1, ..., c_{t-1})$. این امر امکان تولید رمزهای عبور با طول متغیر و وابستگیهای متنی را به طور مؤثر فراهم میکند.
2.3 مسئله ترتیب تولید
ناکارآمدی اصلی که نویسندگان شناسایی کردهاند، ظرفیت مدل نیست، بلکه ترتیب تولید است. نمونهگیری تصادفی از یک مدل آموزشدیده، رمزهای عبور را بدون توجه به احتمال آنها تولید میکند. برای یک حمله فرهنگ لغت موفق، تولید رمزهای عبور با احتمال بالا در اولویت است. SOPG با جایگزینی نمونهگیری تصادفی با یک الگوریتم جستجوی هدایتشده، این مسئله را حل میکند.
3. روش SOPG
3.1 اصل بنیادین
SOPG تولید رمز عبور را از یک فرآیند تصادفی به یک مسئله جستجوی بهترین-اول تبدیل میکند. هدف، پیمایش فضای دنبالههای رمز عبور ممکن (یک درخت) به ترتیبی است که دنبالهها را از بالاترین به پایینترین احتمال تخمینزدهشده خروجی دهد.
3.2 الگوریتم جستجو
این روش از یک صف اولویت (مانند یک گونه جستجوی پرتو یا یک الگوریتم گسترش احتمالاتی) استفاده میکند. در هر مرحله، دنباله جزئی با بالاترین احتمال تجمعی، توسط یک توکن گسترش مییابد. احتمال یک دنباله جزئی $s = (c_1, ..., c_k)$ توسط مدل تخمین زده میشود: $P(s) = \prod_{t=1}^{k} P(c_t | c_1, ..., c_{t-1})$. جستجو تا زمانی که یک شرط پایان (مانند توکن پایان دنباله) برآورده شود ادامه مییابد و یک رمز عبور کامل را خروجی میدهد. رمز عبور بعدی با از سرگیری جستجو از بهترین دنباله جزئی بعدی در صف تولید میشود.
فرمول کلیدی برای گسترش دنباله: هنگام گسترش یک گره (دنباله جزئی)، اولویت برای یک دنباله نامزد جدید $s'$ (تشکیلشده با افزودن توکن $c$ به $s$) احتمال مشترک آن است: $Priority(s') = P(s) \cdot P(c | s)$. جستجو همیشه گره با بالاترین اولویت فعلی را گسترش میدهد.
3.3 یکپارچهسازی با مدلهای خودرگرسیون
SOPG نسبت به مدل بیتفاوت است. از مدل خودرگرسیون از پیش آموزشدیده (مانند یک گونه GPT) صرفاً به عنوان یک تخمینزننده احتمال $P(c_t | context)$ استفاده میکند. الگوریتم جستجو، فراخوانیهای این تخمینزننده را برای کاوش سیستماتیک فضای دنباله هماهنگ میکند.
4. پیادهسازی فنی: SOPGesGPT
4.1 معماری مدل
نویسندگان SOPGesGPT را پیادهسازی کردهاند، یک مدل حدس زدن رمز عبور که بر روی یک معماری GPT (مانند بلوکهای رمزگشای ترنسفورمر) ساخته شده و بر روی پیکرههای رمز عبور لو رفته آموزش دیده است. این مدل توزیع سطح کاراکتر/بایت رمزهای عبور واقعی را یاد میگیرد.
4.2 تخمین احتمال و جستجو
در طول تولید، SOPGesGPT به سادگی نمونهگیری نمیکند. در عوض، برای یک دنباله جزئی دادهشده، توزیع احتمال روی کل واژگان برای توکن بعدی را محاسبه میکند. الگوریتم SOPG از این احتمالات برای رتبهبندی و مدیریت مرز جستجو در صف اولویت خود استفاده میکند.
معیارهای کلیدی عملکرد (مفهومی)
درصد رمزهای عبور هدف شکستهشده از یک مجموعه آزمایشی.
نرخ تولید رمزهای عبور منحصربهفرد و معتبر.
تعداد فراخوانیهای مدل/حدسهای مورد نیاز برای رسیدن به یک پوشش مشخص.
5. نتایج آزمایشی و تحلیل
5.1 تنظیمات آزمایش
آزمایشها بر روی مجموعه دادههای رمز عبور لو رفته دنیای واقعی (مانند RockYou) انجام شد. مدل بر روی بخشی از دادهها آموزش دید و عملکرد حدس زدن آن در برابر یک مجموعه آزمایشی نگهداشتهشده ارزیابی شد.
5.2 مقایسه با نمونهگیری تصادفی
نتیجه: SOPG در مقابل نمونهگیری تصادفی استاندارد از همان مدل پایه GPT.
- حذف تکراریها: SOPG ذاتی رمزهای عبور منحصربهفرد تولید میکند؛ نمونهگیری تصادفی بسیاری تکراری تولید میکند.
- کارایی ترتیب: برای دستیابی به همان نرخ پوشش (مثلاً ۱۰٪)، SOPG به تعداد بسیار کمتری استنتاج و در کل رمزهای عبور بسیار کمتری تولید شده نسبت به نمونهگیری تصادفی نیاز داشت. این به این دلیل است که تولید منظم SOPG رمزهای عبور محتمل را بسیار زودتر "میزند".
مفهوم نمودار: یک نمودار پوشش-بر-تعداد-حدسها، منحنی SOPG را نشان میدهد که در ابتدا به شدت صعود میکند، در حالی که منحنی نمونهگیری تصادفی به آرامی و خطی صعود میکند که برتری کارایی حمله را نشان میدهد.
5.3 مقایسه با آخرین فناوریهای روز
نتیجه: SOPGesGPT در یک آزمون تکسایتی با OMEN، FLA، PassGAN، VAEPass و PassGPT مقایسه شد.
- نرخ پوشش: SOPGesGPT به نرخ پوشش ۳۵.۰۶٪ دست یافت.
- بهبود نسبی: این نشاندهنده افزایشی به میزان ۲۵۴٪ نسبت به OMEN، ۲۹۸٪ نسبت به FLA، ۴۲۱٪ نسبت به PassGAN، ۳۸۰٪ نسبت به VAEPass و ۸۱٪ نسبت به PassGPT است.
- نرخ مؤثر: SOPGesGPT همچنین در نرخ مؤثر تولید رمز عبور پیشتاز بود.
مفهوم نمودار: یک نمودار میلهای که نرخهای پوشش همه مدلها را مقایسه میکند، میله SOPGesGPT را به طور چشمگیری بلندتر از همه دیگران نشان میدهد که به صورت بصری عملکرد برتر آن را تأیید میکند.
5.4 معیارهای کلیدی عملکرد
آزمایشها به طور قطعی نشان میدهند که SOPG ناکارآمدی اصلی حدس زدن رمز عبور عصبی را حل میکند. به دست آوردن عملکرد، عمدتاً ناشی از یک مدل پایه بهتر نیست (اگرچه GPT قوی است)، بلکه از استراتژی تولید منظم ناشی میشود که اطمینان میدهد هر حدس تا حد ممکن مؤثر است.
6. چارچوب تحلیل و مثال موردی
سناریو: یک شرکت امنیتی مأموریت دارد تا قدرت رمز عبور یک سیستم شرکتی را حسابرسی کند. آنها یک مدل رمز عبور خودرگرسیون آموزشدیده دارند.
رویکرد سنتی (نمونهگیری تصادفی): حسابرس ۱۰ میلیون رمز عبور تولید میکند. به دلیل تصادفی بودن و تکراریها، رمز عبور با احتمال بالا "CompanyName2023!" ممکن است تنها پس از ۵ میلیون حدس ظاهر شود که زمان و منابع محاسباتی را هدر میدهد.
رویکرد تقویتشده با SOPG: با استفاده از همان مدل همراه با SOPG، حسابرس رمزهای عبور را به ترتیب نزولی احتمال تولید میکند. "CompanyName2023!" و سایر الگوهای رایج در ۱۰۰٬۰۰۰ حدس اول ظاهر میشوند. حسابرسی به یک ارزیابی قطعی از آسیبپذیری (مانند "۳۰٪ از رمزهای عبور کاربران با ۱ میلیون حدس قابل شکستن هستند") با سرعتی به مراتب بیشتر و با محاسبات کمتر میرسد.
نکته کلیدی چارچوب: SOPG یک چارچوب سیستماتیک و کارآمد برای تبدیل یک مدل احتمالاتی به یک ابزار حمله با بازده بالا فراهم میکند و بازده سرمایهگذاری برای هر استنتاج مدل را به حداکثر میرساند.
7. کاربردهای آینده و جهتهای پژوهشی
- بررسیکنندههای پیشفعال قدرت رمز عبور: ادغام در سیستمهای ایجاد رمز عبور بلادرنگ برای شبیهسازی حملات مبتنی بر SOPG و رد فوری رمزهای عبور ضعیف.
- آموزش امنیتی تقویتشده: استفاده از لیستهای تولیدشده توسط SOPG برای ایجاد لیستهای سیاه "رمز عبور رایج" واقعبینانهتر برای مدیران سیستم.
- یادگیری ماشین تقابلی: مطالعه کارایی SOPG میتواند به دفاعهای بهتر منجر شود، مانند طراحی سیاستهای رمز عبور یا الگوریتمهای هش که در برابر حدسزنی هوشمندانه و منظم مقاومتر هستند.
- فراتر از رمزهای عبور: اصل SOPG میتواند برای سایر وظایف تولید خودرگرسیون که خروجی منظم بر اساس احتمال سودمند است، اعمال شود، مانند تولید موارد آزمایشی برای فازینگ نرمافزار یا کاوش فضای ترکیبات شیمیایی در کشف دارو.
- پژوهش در مورد کارایی جستجو: بهینهسازی بیشتر خود الگوریتم جستجو (مانند استفاده از اکتشافات پیچیدهتر، موازیسازی) برای مدیریت حتی فضاهای رمز عبور بزرگتر.
8. مراجع
- M. Jin, J. Ye, R. Shen, H. Lu, "Search-based Ordered Password Generation of Autoregressive Neural Networks," Manuscript Under Review.
- J. T. G. H. M. Weir, "Using Probabilistic Context-Free Grammars for Password Guessing," in Proceedings of the 5th USENIX conference on Offensive technologies, 2009.
- A. Radford, et al., "Language Models are Unsupervised Multitask Learners," OpenAI Blog, 2019. (مقاله پایهای GPT)
- B. Hitaj, et al., "PassGAN: A Deep Learning Approach for Password Guessing," in Proceedings of the 16th International Conference on Applied Cryptography and Network Security, 2019.
- M. Pasquini, et al., "PassGPT: Password Modeling and (Guessed)Strength Evaluation with Large Language Models," arXiv preprint arXiv:2306.01745, 2023.
- P. G. Kelley, et al., "Guess Again (and Again and Again): Measuring Password Strength by Simulating Password-Cracking Algorithms," in IEEE Symposium on Security and Privacy, 2012.
9. تحلیل اصیل و بینش تخصصی
بینش اصلی: درخشش مقاله نه در اختراع یک معماری عصبی جدید، بلکه در شناسایی و اصلاح دقیق یک نقص سیستماتیک حیاتی اما نادیده گرفتهشده در کاربرد مدلهای قدرتمند هوش مصنوعی است. این مقاله تشخیص میدهد که برای حدس زدن رمز عبور، ترتیب تولید یک جزئیات صرف پیادهسازی نیست—بلکه عامل تعیینکننده بین یک مدل قدرتمند از نظر تئوری و یک سلاح عملاً کارآمد است. این امر تمرکز پژوهش را از ظرفیت محض مدل (یک مسابقه تسلیحاتی با بازدهی کاهشی، همانطور که در پیشرفت از PassGAN به PassGPT دیده میشود) به بهینهسازی استراتژی تولید، یک بهبود الگوریتمی و بنیادیتر، تغییر میدهد.
جریان منطقی: استدلال به طور قانعکنندهای ساده است: ۱) مدلهای خودرگرسیون در یادگیری توزیعهای رمز عبور عالی هستند. ۲) نمونهگیری تصادفی از این توزیع برای حمله بسیار ناکارآمد است. ۳) بنابراین، باید هوشمندانه نمونهگیری کنیم. راهحل SOPG—در نظر گرفتن تولید به عنوان یک جستجوی بهترین-اول روی درخت احتمال—یک ترجمه ظریف و مستقیم از این منطق به یک الگوریتم است. این روش از شایستگی اصلی مدل (تخمین احتمال) برای هدایت کاوش خود استفاده میکند و یک چرخه فضیلتآمیز از کارایی ایجاد میکند.
نقاط قوت و ضعف: نقطه قوت انکارناپذیر است: بهبود ۸۱-۴۲۱٪ی نسبت به معاصران، یک پیروزی قاطع در یک حوزه بالغ است که اهمیت بنیادی مفهوم را ثابت میکند. این روش همچنین به زیبایی نسبت به مدل بیتفاوت است و آن را به یک ارتقاء پلاگین برای هر مدل رمز عبور خودرگرسیون موجود تبدیل میکند. با این حال، یک ضعف بالقوه که به طور غیرمستقیم تأیید شده، سربار محاسباتی به ازای هر رمز عبور است. نگهداری و پرسوجوی یک صف اولویت، هزینهبرتر از یک مرحله نمونهگیری واحد است. مقاله به درستی با نشان دادن کاهش چشمگیر در تعداد کل رمزهای عبور مورد نیاز برای پوشش، به این مسئله پاسخ میدهد و مبادله را به شدت مثبت میکند. یک ضعف عمیقتر برای مهاجمان دنیای واقعی، فرض دسترسی مستقیم به احتمال توزیع خروجی مدل است که ممکن است در برابر سیستمهای سختشده با استفاده از هش پیشرفته (مانند Argon2) یا فلفل (pepper) برقرار نباشد. همانطور که در مطالعه ۲۰۱۲ Kelley و همکاران در مورد شبیهسازی الگوریتمهای شکستن ذکر شده، مدل تهدید دنیای واقعی پیچیده است.
بینشهای قابل اجرا: برای متخصصان امنیت سایبری، این مقاله یک دستور است: فوراً هر ارزیابی قدرت رمز عبور که از نمونهگیری ساده از مدلهای هوش مصنوعی استفاده میکند، منسوخ کنید. ابزارها باید تولید منظم شبیه SOPG را ادغام کنند تا ارزیابیهای ریسک واقعبینانه ارائه دهند. برای پژوهشگران، مسیر روشن است: مرز بعدی، رویکردهای ترکیبی است. جستجوی منظم SOPG را با مزایای اجتناب از فروپاشی حالت GANها یا کاوش فضای نهفته VAEها ترکیب کنید. علاوه بر این، با چندوجهی شدن مدلهای زبانی بزرگ (LLM)، "حدس زدن رمز عبور" آینده ممکن است شامل تولید عبارات عبور محتمل بر اساس دادههای شخصیت کاربری استخراجشده از رسانههای اجتماعی باشد، با هدایت تولید توسط SOPG. جامعه دفاعی باید به همین ترتیب پاسخ دهد و فراتر از قواعد ترکیب حرکت کند تا استفاده از مدیران رمز عبور و پذیرش گسترده استانداردهای FIDO2/WebAuthn را ترویج دهد، همانطور که دستورالعملهای NIST توصیه میکنند، تا حتی کارآمدترین حملات حدسزنی را منسوخ کند.