1. مقدمه

رمزهای عبور به دلیل سادگی و انعطاف‌پذیری، همچنان فراگیرترین روش احراز هویت کاربران هستند. با این حال، امنیت آن‌ها همواره با تلاش‌های شکستن رمز عبور به چالش کشیده می‌شود. حدس رمز عبور، فرآیند تولید رمزهای عبور کاندید برای حملات دیکشنری، سنگ بنای هر دو حوزه آزمایش امنیتی تهاجمی و ارزیابی دفاعی استحکام رمز عبور است. روش‌های سنتی، از ابتکارات مبتنی بر قاعده تا مدل‌های آماری مانند زنجیره‌های مارکوف و PCFG، محدودیت‌های ذاتی در تنوع و کارایی دارند. ظهور یادگیری عمیق، به ویژه شبکه‌های عصبی خودرگرسیو، نوید یک تغییر پارادایم را داد. با این حال، یک نادیده‌گیری حیاتی، خود روش تولید بوده است. نمونه‌گیری تصادفی استاندارد از این مدل‌ها، خروجی‌های تکراری و نامرتب تولید می‌کند که به شدت کارایی عملی حملات رمز عبور را کاهش می‌دهد. این مقاله SOPG (تولید رمز عبور مرتب مبتنی بر جستجو) را معرفی می‌کند، روشی نوآورانه که یک مدل خودرگرسیو را وادار می‌کند رمزهای عبور را تقریباً به ترتیب نزولی کامل احتمال تولید کند و این نقص بنیادی را برطرف نماید.

2. پیشینه و کارهای مرتبط

2.1 تکامل حدس رمز عبور

این حوزه از طریق مراحل متمایزی تکامل یافته است: شمارش مبتنی بر قاعده (مانند قواعد John the Ripper) که به تخصص دستی متکی است؛ مدل‌های آماری مانند مدل‌های مارکوف (OMEN) و دستور زبان احتمالی مستقل از متن (PCFG) که الگوها را از مجموعه داده‌های نشت‌یافته می‌آموزند اما اغلب بیش‌برازش می‌کنند؛ و عصر کنونی مدل‌های یادگیری عمیق.

2.2 رویکردهای مبتنی بر شبکه عصبی

مدل‌هایی مانند PassGAN (بر پایه شبکه‌های مولد تخاصمی)، VAEPass (رمزگذارهای خودکار واریاسیونی) و PassGPT (بر پایه معماری GPT) از شبکه‌های عصبی عمیق برای یادگیری توزیع‌های پیچیده رمز عبور استفاده می‌کنند. در حالی که آن‌ها ظرافت‌ها را بهتر از مدل‌های آماری درک می‌کنند، تولید پیش‌فرض آن‌ها از طریق نمونه‌گیری تصادفی برای سناریوهای حمله‌ای که امتحان کردن رمزهای عبور به ترتیب احتمال در آن حیاتی است، ناکارآمد است.

3. روش SOPG

3.1 مفهوم اصلی

SOPG یک معماری شبکه عصبی جدید نیست، بلکه یک الگوریتم تولید است که بر روی یک مدل خودرگرسیو موجود (مانند GPT) اعمال می‌شود. هدف آن پیمایش هوشمندانه فضای خروجی مدل، تولید محتمل‌ترین رمزهای عبور در ابتدا و بدون تکرار است.

3.2 الگوریتم جستجو و تولید مرتب

به جای نمونه‌گیری تصادفی از نشانه‌ها در هر مرحله، SOPG از یک استراتژی جستجو استفاده می‌کند (که از نظر مفهومی شبیه جستجوی پرتو است اما برای تولید کامل رمز عبور بهینه‌سازی شده است). این الگوریتم یک صف اولویت از پیشوندهای کاندید رمز عبور را حفظ می‌کند و همیشه پیشوندی را گسترش می‌دهد که بیشترین احتمال تجمعی را دارد. این امر تضمین می‌کند که رمزهای عبور کامل تقریباً به ترتیب نزولی تولید شوند.

3.3 جزئیات فنی و فرمول‌بندی ریاضی

با توجه به یک مدل خودرگرسیو که یک توزیع احتمال بر روی رمزهای عبور $P(\mathbf{x})$ را تعریف می‌کند، که در آن $\mathbf{x} = (x_1, x_2, ..., x_T)$ یک دنباله از نشانه‌ها (کاراکترها) است، مدل احتمال را به صورت زیر تجزیه می‌کند: $$P(\mathbf{x}) = \prod_{t=1}^{T} P(x_t | x_1, ..., x_{t-1})$$ نمونه‌گیری تصادفی در هر مرحله $t$، $x_t$ را از $P(x_t | x_1, ..., x_{t-1})$ تولید می‌کند. در مقابل، SOPG برای یک پیشوند داده شده $\mathbf{x}_{جستجوی بهترین-اول بر روی درخت دنباله‌های ممکن نشانه‌ها است.

4. مدل SOPGesGPT

نویسندگان یک مدل عینی حدس رمز عبور به نام SOPGesGPT را پیاده‌سازی کرده‌اند. این مدل از یک معماری ترنسفورمر سبک GPT به عنوان هسته مدل خودرگرسیو استفاده می‌کند که بر روی پیکره‌های بزرگی از رمزهای عبور واقعی نشت‌یافته آموزش دیده است. وجه تمایز کلیدی این است که تولید رمز عبور با استفاده از الگوریتم SOPG به جای نمونه‌گیری استاندارد انجام می‌شود و آن را به اولین مدلی تبدیل می‌کند که تولید مرتب را به طور ذاتی یکپارچه کرده است.

5. نتایج آزمایشی و تحلیل

نرخ پوشش

35.06%

SOPGesGPT روی مجموعه آزمایشی

بهبود نسبت به PassGPT

81%

پوشش بالاتر

بهبود نسبت به OMEN

254%

پوشش بالاتر

5.1 مقایسه با نمونه‌گیری تصادفی

مقاله ابتدا برتری SOPG را نسبت به نمونه‌گیری تصادفی روی همان مدل پایه نشان می‌دهد. یافته‌های کلیدی:

  • بدون تکرار: SOPG یک لیست منحصربه‌فرد و مرتب تولید می‌کند.
  • کارایی بالاتر: برای دستیابی به همان نرخ پوشش (مثلاً 10%)، SOPG به استنتاج‌های مدلی و رمزهای عبور تولیدی بسیار کمتری نیاز دارد. نمونه‌گیری تصادفی محاسبات را روی تکرارها و رمزهای عبور با احتمال پایین هدر می‌دهد.
این امر مستقیماً به معنای شکستن سریع‌تر رمز عبور در سناریوهای دنیای واقعی است.

5.2 مقایسه با آخرین فناوری‌های روز

SOPGesGPT در یک "آزمون تک-سایتی" (آموزش و آزمایش روی داده‌های یک نشت امنیتی واحد) در برابر مدل‌های اصلی مقایسه شد: OMEN, FLA, PassGAN, VAEPass و PassGPT معاصر.

5.3 تفسیر نتایج و نمودارها

نتایج چشمگیر است. از نظر نرخ پوشش (درصد رمزهای عبور مجموعه آزمایشی که در محدوده حدس مشخصی شکسته شده‌اند)، SOPGesGPT به 35.06% رسید. این نشان‌دهنده بهبودی عظیم نسبت به پیشینیان است:

  • 254% بالاتر از OMEN (مارکوف آماری).
  • 298% بالاتر از FLA.
  • 421% بالاتر از PassGAN (مبتنی بر GAN).
  • 380% بالاتر از VAEPass (مبتنی بر VAE).
  • 81% بالاتر از PassGPT (GPT با نمونه‌گیری تصادفی).
توضیح نمودار: یک نمودار میله‌ای "نرخ پوشش (%)" را روی محور Y و نام مدل‌ها را روی محور X نشان می‌دهد. میله SOPGesGPT بر فراز همه دیگران قرار می‌گیرد. یک نمودار خطی دوم، "رمزهای عبور شکسته شده تجمعی در مقابل تعداد حدس‌ها"، خط SOPGesGPT را نشان می‌دهد که در ابتدا به شدت صعود می‌کند و کارایی آن را در شکستن رمزهای عبور زیاد با تلاش‌های کم نشان می‌دهد، در حالی که خطوط مدل‌های دیگر به تدریج افزایش می‌یابند.

6. چارچوب تحلیل و نمونه موردی

چارچوب: ارزیابی یک مدل حدس رمز عبور نیازمند تحلیلی چندوجهی است: 1) استحکام معماری (انتخاب مدل)، 2) کارایی تولید (حدس در ثانیه، تکرارها)، 3) کارایی حمله (منحنی نرخ پوشش در مقابل تعداد حدس) و 4) تعمیم‌پذیری (عملکرد روی الگوهای داده دیده‌نشده). بیشتر پژوهش‌ها بر روی (1) و (3) تمرکز دارند. SOPG به طور قاطعانه در (2) نوآوری می‌کند که مستقیماً (3) را بهینه می‌کند.

نمونه موردی - ارزیابی استحکام رمز عبور: یک شرکت امنیتی می‌خواهد یک سیاست رمز عبور جدید را حسابرسی کند. با استفاده از یک مدل استاندارد PassGPT با نمونه‌گیری تصادفی، تولید 10 میلیون حدس ممکن است X ساعت طول بکشد و Y% از یک دیکشنری آزمایشی را بشکند. با استفاده از SOPGesGPT (همان معماری، تولید SOPG)، برای شکستن همان Y%، ممکن است تنها نیاز به تولید 2 میلیون حدس داشته باشد و حسابرسی را در کسری از زمان به پایان برساند. علاوه بر این، لیست مرتب یک نقشه حرارتی واضح ارائه می‌دهد: اولین 100,000 رمز عبور SOPG نشان‌دهنده مجموعه "محتمل‌ترین" طبق مدل است که بینش دقیقی از آسیب‌پذیری سیاست در برابر حملات با احتمال بالا ارائه می‌دهد.

7. کاربردهای آینده و جهت‌های پژوهشی

کاربردها:

  • حسابرسی پیش‌گیرانه رمز عبور: ادغام در ابزارهای سازمانی برای آزمایش سریع‌تر و کارآمدتر سیاست‌ها.
  • خدمات بازیابی رمز عبور: بهبود چشمگیر نرخ موفقیت و سرعت برای وظایف بازیابی اخلاقی.
  • مدل‌سازی تهدید پیشرفته: ارائه شبیه‌سازهای حمله کارآمدتر به تیم‌های قرمز.
  • سنجه‌های استحکام رمز عبور: موتورهای پشتیبان می‌توانند از تولید مرتب مشابه SOPG برای تخمین دقیق‌تر قابلیت حدس زدن واقعی یک رمز عبور نسبت به بررسی‌های قاعده‌ای ساده استفاده کنند.
جهت‌های پژوهشی:
  • مدل‌های ترکیبی: ترکیب تولید مرتب SOPG با پیشرفت‌های معماری دیگر (مانند مدل‌های انتشار).
  • SOPG تطبیقی/برخط: تنظیم پویای جستجو بر اساس بازخورد نتایج حمله جزئی.
  • دفاع در برابر SOPG: پژوهش در مورد طرح‌های ایجاد رمز عبور که به طور خاص عملکرد حملات تولید مرتب را تضعیف می‌کنند.
  • فراتر از رمزهای عبور: اعمال پارادایم تولید مرتب به سایر وظایف تولید دنباله که در آن مرتب‌سازی بر اساس احتمال ارزشمند است (مانند برخی وظایف تولید کد یا کشف دارو).

8. مراجع

  1. M. Jin, J. Ye, R. Shen, H. Lu, "Search-based Ordered Password Generation of Autoregressive Neural Networks," Manuscript.
  2. A. Narayanan and V. Shmatikov, "Fast Dictionary Attacks on Passwords Using Time-Space Tradeoff," in Proceedings of CCS 2005.
  3. J. Ma, W. Yang, M. Luo, and N. Li, "A Study of Probabilistic Password Models," in Proceedings of IEEE S&P 2014.
  4. B. Hitaj, P. Gasti, G. Ateniese, and F. Perez-Cruz, "PassGAN: A Deep Learning Approach for Password Guessing," in Proceedings of ACNS 2019.
  5. D. Pasquini, G. Ateniese, and M. Bernaschi, "Unleashing the Tiger: Inference Attacks on Split Learning," in Proceedings of CCS 2021 (introduces PassGPT).
  6. J. Goodfellow et al., "Generative Adversarial Networks," arXiv:1406.2661, 2014. (Seminal GAN paper, foundation for PassGAN).
  7. OpenAI, "GPT-4 Technical Report," arXiv:2303.08774, 2023. (Context for autoregressive transformer architecture).
  8. OWASP Foundation, "Authentication Cheat Sheet," https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html.

9. تحلیل تخصصی و بینش اصلی

بینش اصلی

درخشش مقاله در حمله جراحی‌گونه آن به یک گلوگاه حیاتی اما نادیده گرفته شده نهفته است. برای سال‌ها، جامعه حدس رمز عبور، مجذوب جهش‌های معماری از GANها تا ترنسفورمرها، مرحله تولید را به عنوان یک مسئله حل‌شده در نظر می‌گرفت—فقط از توزیع نمونه بگیر. جین و همکاران به درستی این را به عنوان یک ناکارایی فاجعه‌بار برای مورد استفاده حمله شناسایی می‌کنند. SOPG مسئله را بازتعریف می‌کند: این مسئله درباره یادگیری بهتر توزیع نیست، بلکه درباره پیمایش بهینه آن است. این مشابه داشتن یک نقشه کامل از مکان‌های گنج (شبکه عصبی) است اما قبلاً از یک راه‌پیمایی تصادفی برای یافتن آن‌ها استفاده می‌شد، در مقابل SOPG که یک برنامه سفر اولویت‌بندی شده ارائه می‌دهد. بهبود خیره‌کننده 81% نسبت به PassGPT که از همان معماری GPT استفاده می‌کند، این نکته را ثابت می‌کند: الگوریتم تولید می‌تواند برای عملکرد وظیفه نهایی مهم‌تر از خود مدل باشد.

جریان منطقی

استدلال قانع‌کننده و خطی است: 1) حملات رمز عبور برای کارایی نیاز به امتحان کردن حدس‌ها به ترتیب احتمال دارند. 2) مدل‌های خودرگرسیو این توزیع احتمال را می‌آموزند. 3) نمونه‌گیری تصادفی از این مدل‌ها در تولید یک لیست مرتب شکست می‌خورد و پر از اتلاف است. 4) بنابراین، ما به یک الگوریتم جستجو نیاز داریم که از ساختار مدل برای تولید یک لیست مرتب بهره‌برداری کند. 5) SOPG آن الگوریتم است که از طریق یک جستجوی بهترین-اول روی درخت نشانه‌ها پیاده‌سازی شده است. 6) نتایج، فرضیه را با شواهد کمی قاطع تأیید می‌کنند. این جریان ساختار کلاسیک مسئله-راه‌حل-اعتبارسنجی را با دقت منعکس می‌کند.

نقاط قوت و ضعف

نقاط قوت: مفهوم به زیبایی ساده و به شدت مؤثر است. طراحی آزمایشی قوی است و با تمام خطوط پایه مرتبط مقایسه می‌شود. دستاوردهای کارایی حاشیه‌ای نیستند؛ آن‌ها برای سناریوهای عملی شکستن رمز عبور، تغییردهنده بازی هستند. این کار یک زیرشاخه جدید را باز می‌کند: بهینه‌سازی تولید برای مدل‌های امنیتی.
نقاط ضعف و پرسش‌ها: مقاله به آن اشاره می‌کند اما سربار محاسباتی خود جستجوی SOPG در مقابل نمونه‌گیری ساده را به طور عمیق بررسی نمی‌کند. در حالی که کل استنتاج‌های مورد نیاز برای یک پوشش مشخص را کاهش می‌دهد، هر مرحله استنتاج در جستجو پیچیده‌تر است (حفظ یک هیپ). یک تحلیل پیچیدگی مورد نیاز است. علاوه بر این، "آزمون تک-سایتی" یک ارزیابی استاندارد اما محدود است. SOPG در یک تنظیم "بین-سایتی" (آموزش روی نشت‌های LinkedIn، آزمایش روی RockYou) که توزیع تغییر می‌کند، چگونه تعمیم می‌یابد؟ تولید مرتب ممکن است اگر رتبه‌بندی احتمال مدل روی داده‌های خارج از توزیع ضعیف باشد، کمتر مؤثر باشد. در نهایت، همانطور که نویسندگان در کار آینده اشاره می‌کنند، این کارایی بسیار، مستلزم یک پاسخ دفاعی است—خود SOPG پژوهش در مورد تکنیک‌های نسل بعدی هش کردن و سخت‌سازی رمز عبور را کاتالیز خواهد کرد.

بینش‌های عملی

برای متخصصان امنیت: بلافاصله ابزارهای آزمایش سیاست رمز عبور خود را بازبینی کنید. هر ابزاری که از شبکه‌های عصبی بدون تولید مرتب استفاده می‌کند، احتمالاً بسیار پایین‌تر از پتانسیل کارایی خود عمل می‌کند. در حسابرسان‌های رمز عبور تجاری و متن‌باز، ویژگی‌های مشابه SOPG را مطالبه کنید.
برای پژوهشگران: این یک فراخوان روشن برای توقف برخورد با تولید به عنوان یک فکر بعدی است. پارادایم SOPG باید روی سایر مدل‌های امنیتی خودرگرسیو اعمال و آزمایش شود (مانند تولید بدافزار، تولید متن فیشینگ). مبادلات بین عمق جستجو (عرض پرتو) و عملکرد را بررسی کنید.
برای مدافعان و سیاست‌گذاران: چشم‌انداز حمله به تازگی تغییر کرده است. زمان شکستن بسیاری از هش‌های رمز عبور، به ویژه موارد ضعیف‌تر، به طور مؤثری کاهش یافته است. این امر فوریت پذیرش گسترده MFA مقاوم در برابر فیشینگ (همانطور که توسط NIST و CISA توصیه شده است) و منسوخ کردن رمزهای عبور به عنوان تنها عامل احراز هویت را تسریع می‌کند. SOPG فقط یک شکست‌دهنده بهتر نیست؛ این یک استدلال قدرتمند برای عصر پسا-رمز عبور است.