SOPG: تولید رمز عبور مبتنی بر جستجو و مرتب‌شده برای شبکه‌های عصبی خودرگرسیو

1. مقدمه

رمزهای عبور به دلیل سادگی و انعطاف‌پذیری، همچنان روش غالب برای احراز هویت کاربران هستند. در نتیجه، حدس زدن رمز عبور جزء حیاتی تحقیقات امنیت سایبری است که هم برای تست امنیت تهاجمی (مانند تست نفوذ، بازیابی رمز عبور) و هم برای ارزیابی قدرت دفاعی ضروری است. روش‌های سنتی، از شمارش مبتنی بر قاعده تا مدل‌های آماری مانند زنجیره‌های مارکوف و PCFG، محدودیت‌های ذاتی در تنوع و کارایی دارند. ظهور یادگیری عمیق، به ویژه شبکه‌های عصبی خودرگرسیو مانند GPT، راه‌حلی امیدوارکننده برای تولید حدس‌های رمز عبور واقعی‌تر و مؤثرتر ارائه می‌دهد. با این حال، یک گلوگاه اساسی همچنان پابرجاست: روش استاندارد تولید نمونه‌برداری تصادفی منجر به خروجی‌های تکراری و مهم‌تر از آن، تولید رمزهای عبور به ترتیبی غیربهینه می‌شود که به شدت کارایی حمله را مختل می‌کند. این مقاله SOPG (تولید رمز عبور مرتب‌شده مبتنی بر جستجو) را معرفی می‌کند، روشی نوین که برای غلبه بر این گلوگاه طراحی شده است.

2. پیشینه و کارهای مرتبط

3. روش SOPG

4. جزئیات فنی و فرمول‌بندی ریاضی

برای یک مدل خودرگرسیو، احتمال یک رمز عبور $\mathbf{x} = (x_1, x_2, ..., x_T)$ به صورت زیر تجزیه می‌شود: $$P(\mathbf{x}) = \prod_{t=1}^{T} P(x_t | x_{

5. نتایج آزمایشی و تحلیل

6. چارچوب تحلیل و مثال موردی

چارچوب برای ارزیابی مدل‌های حدس زدن رمز عبور:

1. قدرت مدل‌سازی: آیا معماری می‌تواند توزیع‌های پیچیده رمز عبور را به دقت یاد بگیرد؟ (مثلاً GPT در مقابل GAN).
2. استراتژی تولید: کاندیداها چگونه از مدل نمونه‌برداری می‌شوند؟ (تصادفی در مقابل مرتب/مبتنی بر جستجو).
3. معیارهای کارایی حمله:
   • نرخ پوشش: درصد رمزهای عبور تست شکسته شده در N حدس.
   • شماره حدس: تعداد حدس‌های مورد نیاز برای شکستن X% از رمزهای عبور.
   • نرخ مؤثر: درصد حدس‌های تولیدشده که رمزهای عبور معتبر و منحصربه‌فرد هستند.
   • هزینه محاسبات/زمان: استنتاج‌ها یا زمان به ازای هر حدس.

مثال موردی (غیرکد): دو مهاجم، آلیس و باب را در نظر بگیرید که از یک مدل PassGPT آموزش‌دیده یکسان استفاده می‌کنند. آلیس از نمونه‌برداری تصادفی استاندارد استفاده می‌کند. باب از روش SOPG یکپارچه‌شده با PassGPT (که آن را به SOPGesGPT تبدیل می‌کند) استفاده می‌کند. برای شکستن 20% از یک لیست رمز عبور هدف، نمونه‌بردار آلیس ممکن است نیاز به تولید 5 میلیون حدس داشته باشد، با تعداد زیادی تکرار، که 10 ساعت طول می‌کشد. سیستم مبتنی بر SOPG باب، رمزهای عبور را به ترتیب احتمال تولید می‌کند و همان 20% را تنها با 500,000 حدس منحصربه‌فرد و با احتمال بالا می‌شکند و کار را در 1 ساعت به پایان می‌رساند. حمله باب از نظر تعداد حدس و زمان 10 برابر کارآمدتر است، که یک مزیت قاطع است.

7. چشم‌انداز کاربرد و جهت‌های آینده

کاربردهای فوری:

• تست پیشگیرانه قدرت رمز عبور: تیم‌های امنیتی می‌توانند از مدل‌های تقویت‌شده با SOPG برای حسابرسی کارآمدتر سیاست‌های رمز عبور استفاده کنند و رمزهای عبور ضعیف را قبل از مهاجمان شناسایی کنند.
• آزمون‌های قانونی دیجیتال و اجرای قانون: تسریع بازیابی رمز عبور از دستگاه‌های توقیف‌شده در تحقیقات جنایی.
• لیست‌های سیاه رمز عبور پیشرفته: تولید لیست‌های جامع‌تر و به ترتیب احتمالی از رمزهای عبور ضعیف برای رد شدن توسط سیستم در هنگام ایجاد.

جهت‌های تحقیقاتی آینده:

• جستجوی ترکیبی و تطبیقی: ترکیب SOPG با سایر اکتشافات جستجو یا تطبیقی کردن آن بر اساس ویژگی‌های هدف (مانند وب‌سایت، جمعیت‌شناسی کاربران).
• دفاع در برابر حدس‌زنی مرتب: تحقیق در مورد طرح‌های جدید هش کردن رمز عبور یا پروتکل‌های احراز هویت که به طور خاص در برابر حملات احتمالی مرتب مقاوم هستند، فراتر از دفاع‌های مبتنی بر آنتروپی.
• فراتر از رمزهای عبور: اعمال اصول تولید مرتب بر حوزه‌های امنیتی دیگر، مانند تولید کلیدهای رمزنگاری محتمل یا الگوهای نفوذ شبکه برای تست.
• بهینه‌سازی کارایی: کاهش سربار حافظه و محاسباتی الگوریتم جستجو برای مقیاس‌پذیر کردن آن برای مدل‌ها و مجموعه کاراکترهای حتی بزرگ‌تر.

8. مراجع

1. M. J. Weir et al., "Password Cracking Using Probabilistic Context-Free Grammars," in IEEE Symposium on Security and Privacy, 2009.
2. B. Hitaj et al., "PassGAN: A Deep Learning Approach for Password Guessing," in International Conference on Applied Cryptography and Network Security, 2019.
3. J. Goodfellow et al., "Generative Adversarial Nets," in Advances in Neural Information Processing Systems, 2014. (مقاله پایه‌ای GAN)
4. A. Vaswani et al., "Attention Is All You Need," in Advances in Neural Information Processing Systems, 2017. (مقاله پایه‌ای ترنسفورمر)
5. D. P. Kingma and M. Welling, "Auto-Encoding Variational Bayes," arXiv:1312.6114, 2013. (مقاله پایه‌ای VAE)
6. M. Dell'Amico and P. Filippone, "Monte Carlo Strength Evaluation: Fast and Reliable Password Checking," in ACM Conference on Computer and Communications Security, 2015.
7. OpenAI, "GPT-4 Technical Report," 2023. (قابلیت‌های مدل‌های خودرگرسیو بزرگ را نشان می‌دهد).

9. تحلیل اصلی و تفسیر کارشناسی