ज्ञात सुरक्षा कमजोरियों के बावजूद, पासवर्ड प्रमुख प्रमाणीकरण तंत्र बने हुए हैं। उपयोगकर्ता पूर्वानुमेय पैटर्न का पालन करने वाले पासवर्ड बनाने की प्रवृत्ति रखते हैं, जिससे वे अनुमान-आधारित हमलों के प्रति संवेदनशील हो जाते हैं। ऐसी प्रणालियों की सुरक्षा को पारंपरिक क्रिप्टोग्राफ़िक मापदंडों द्वारा मात्रात्मक नहीं किया जा सकता है, बल्कि इसके लिए हमलावर के व्यवहार के सटीक मॉडलिंग की आवश्यकता होती है। यह पेपर एक महत्वपूर्ण खाई को संबोधित करता है: जब शोधकर्ता ऑफ-द-शेल्फ़, स्थिर रूप से कॉन्फ़िगर किए गए डिक्शनरी अटैक का उपयोग करते हैं, तो वे महत्वपूर्ण माप पूर्वाग्रह पेश करते हैं, क्योंकि ये हमले वास्तविक दुनिया के हमलावरों की गतिशील, विशेषज्ञता-आधारित रणनीतियों को पकड़ने में असमर्थ होते हैं।
वास्तविक दुनिया के पासवर्ड क्रैकर व्यावहारिक, उच्च-थ्रूपुट डिक्शनरी अटैक का उपयोग करते हैं, जो ट्रांसफॉर्मेशन नियमों के साथ संयुक्त होते हैं (उदाहरण के लिए, Hashcat या John the Ripper जैसे टूल्स का उपयोग करके)। इन हमलों की प्रभावशीलता विशेषज्ञों द्वारा सावधानीपूर्वक ट्यून किए गए कॉन्फ़िगरेशन पर निर्भर करती है - अर्थात्, वर्षों के अनुभव के माध्यम से डिज़ाइन किए गए विशिष्ट वर्डलिस्ट और रूलसेट के संयोजन पर। डिफ़ॉल्ट कॉन्फ़िगरेशन पर निर्भर सुरक्षा विश्लेषण पासवर्ड की ताकत को गंभीर रूप से अधिक आंकता है, मापन पूर्वाग्रह पैदा करता है, और इस प्रकार सुरक्षा निष्कर्षों की वैधता को कमजोर करता है।
मूल समस्या यह है कि शैक्षणिक क्षेत्र के पासवर्ड मॉडल और वास्तविक दुनिया की क्रैकिंग प्रथाओं के बीच एक अंतराल है।Ur et al. (2017)के शोध से पता चलता है कि पासवर्ड सुरक्षा मापदंड उपयोग किए गए हमलावर मॉडल के प्रति अत्यधिक संवेदनशील हैं। कमजोर या सामान्य मॉडल का उपयोग करने सेसुरक्षा का अधिमूल्यांकन होता है, एक झूठी सुरक्षा की भावना पैदा करता है।
पारंपरिक डिक्शनरी अटैक स्थिर होते हैं। वे पूर्वनिर्धारित क्रम में, निश्चित विकृति नियमों (उदाहरण के लिएleetभाषा, संख्यात्मक प्रत्यय जोड़ना) एक निश्चित शब्दावली पर लागू होते हैं। उनमें मानव विशेषज्ञों की अनुकूलनशीलता का अभाव होता है, जो यह करने में सक्षम होते हैं:
लेखकों ने विशेषज्ञ-समान अनुमान रणनीतियों को स्वचालित करने के लिए एक दोहरी दृष्टिकोण प्रस्तावित किया है, जिससे मैन्युअल कॉन्फ़िगरेशन और डोमेन ज्ञान पर निर्भरता कम होती है।
एक गहरे तंत्रिका नेटवर्क को पासवर्ड की संभाव्यता वितरण का अनुकरण करने के लिए प्रशिक्षित करना। मुख्य नवाचार यह है कि यह मॉडल न केवल मूल पासवर्ड डेटासेट पर, बल्किविशेषज्ञ क्रैकर्स द्वारा आधार शब्दों पर लागू किए गए रूपांतरण नियमों के अनुक्रम परप्रशिक्षित किया जाता है। इससे DNN हमलावर की "क्षमता" - यानी संभावित रूपांतरण और उनके प्रभावी क्रम - को सीखने में सक्षम होता है।
यह हमला स्थिर नियम सेट का उपयोग नहीं करता, बल्कि अपनाता हैडायनेमिक गेसिंग स्ट्रैटेजीDNN शब्द की वर्तमान स्थिति और हमले के संदर्भ के आधार पर, संभाव्य तरीके से क्रमिक रूपांतरण लागू करके, उम्मीदवार पासवर्ड के निर्माण का मार्गदर्शन करता है। यह विशेषज्ञ की वास्तविक समय में हमले के पथ को समायोजित करने की क्षमता का अनुकरण करता है।
इस प्रणाली को एक संभाव्य जनरेटर के रूप में वैचारिक रूप दिया जा सकता है। एक शब्दकोश से एक आधार शब्द $w_0$ दिए जाने पर, मॉडल $T$ परिवर्तनों (रूपांतरण नियम $r_t$) की एक श्रृंखला के माध्यम से एक पासवर्ड $p$ उत्पन्न करता है। पासवर्ड की संभाव्यता को इस प्रकार मॉडल किया गया है:
प्रयोग कई बड़े वास्तविक-विश्व पासवर्ड डेटासेट (जैसे RockYou, LinkedIn) पर किए गए। प्रस्तावित मॉडल की तुलना अत्याधुनिक संभाव्य पासवर्ड मॉडल (जैसे मार्कोव मॉडल, PCFG) और लोकप्रिय नियम सेट (जैसेbest64.rule、d3ad0ne.rule) के मानक शब्दकोश हमले से तुलना की गई।
प्रमुख मापदंड हैअनुमानों की संख्या——किसी दिए गए प्रतिशत पासवर्ड को क्रैक करने के लिए आवश्यक अनुमानों की संख्या। परिणाम बताते हैं कि DNN-संचालित गतिशील डिक्शनरी अटैक:
चार्ट विवरण: लाइन चार्ट Y-अक्ष (क्रैक किए गए पासवर्डों का संचयी प्रतिशत) की तुलना X-अक्ष (अनुमानों की संख्या का लघुगणक) से करता है। प्रस्तावित विधि का वक्र PCFG, मार्कोव और स्थिर डिक्शनरी अटैक के वक्रों की तुलना में काफी तेजी से और ऊपर की ओर बढ़ेगा, विशेष रूप से शुरुआती अनुमान रैंकिंग में (जैसे पहले 10^9 अनुमान)।
इस पेपर ने मापन पूर्वाग्रह में कमी की मात्रा निर्धित की है। पासवर्ड नीति शक्ति का मूल्यांकन करते समय, एक स्थैतिक हमले का उपयोग यह निष्कर्ष निकाल सकता है कि 50% पासवर्ड 10^12 अनुमानों का प्रतिरोध कर सकते हैं। जबकि प्रस्तावित गतिशील हमला एक अधिक सक्षम हमलावर का अनुकरण करता है, यह दिखा सकता है कि 50% पासवर्ड 10^10 अनुमानों के भीतर भंग हो जाते हैं - स्थैतिक मॉडल100 गुना अधिक आंका गयायह नीति निर्णयों के लिए सटीक हमलावर मॉडलिंग की महत्वपूर्ण आवश्यकता को रेखांकित करता है।
परिदृश्य: एक सुरक्षा टीम यह मूल्यांकन करना चाहती है कि उपयोगकर्ता पासवर्ड जटिल, लक्षित हमलों का सामना करने में कितने सक्षम हैं।
पारंपरिक (पूर्वाग्रहयुक्त) विधि: वे उपयोग करते हैंrockyou.txtशब्दावली औरbest64.ruleनियम सेट ने Hashcat चलाया। रिपोर्ट में कहा गया: "10 अरब अनुमानों के बाद 80% पासवर्ड बच गए।"
(पूर्वाग्रह कम करने) ढांचा प्रस्तावित किया गया:
मुख्य अंतर्दृष्टि: यह लेख साइबर सुरक्षा अनुसंधान में एक व्यापक लेकिन अक्सर अनदेखी की जाने वाली खामी पर सटीक प्रहार करता है: "विशेषज्ञता अंतर" पूर्वाग्रह। वर्षों से, शैक्षणिक क्षेत्र में पासवर्ड शक्ति मूल्यांकन अस्थिर नींव पर खड़ा रहा है - सरल, स्थिर हमलावर मॉडल का उपयोग करके, जो वास्तविक दुनिया के अनुकूलनीय, टूल-सहायता प्राप्त मानव विशेषज्ञों से लगभग कोई समानता नहीं रखते। Pasquini et al. ने न केवल एक बेहतर एल्गोरिदम प्रदान किया; उन्होंने इस क्षेत्र को अपने स्वयं के पद्धतिगत अंध स्थानों का सामना करने के लिए मजबूर किया। वास्तविक सफलता समस्या को "बेहतर पासवर्ड क्रैकिंग" के बजाय "बेहतर हमलावर अनुकरण" के रूप में परिभाषित करने में निहित है, यह एक सूक्ष्म लेकिन महत्वपूर्ण परिप्रेक्ष्य परिवर्तन है, जो कृत्रिम बुद्धिमत्ता क्षेत्र में सरल वर्गीकरणकर्ताओं से जनरेटिव एडवरसैरियल नेटवर्क्स में बदलाव के समान है, जहां जनरेटर की गुणवत्ता को विवेचक को धोखा देने की उसकी क्षमता से परिभाषित किया जाता है।
तार्किक संरचना: तर्क प्रक्रिया में एक सम्मोहक रैखिक तर्क है। 1) वास्तविक खतरा = विशेषज्ञों द्वारा कॉन्फ़िगर किए गए गतिशील हमले। 2) सामान्य शोध अभ्यास = स्थिर, ऑफ-द-शेल्फ़ हमले। 3) इसलिए, माप में एक बड़ा पूर्वाग्रह मौजूद है। 4) समाधान: विशेषज्ञ कॉन्फ़िगरेशन और अनुकूलन को स्वचालित करने के लिए AI का उपयोग करें। नियम अनुक्रमों को मॉडल करने के लिए DNN का उपयोग करना बहुत चतुराई भरा है। यह पहचानता है कि विशेषज्ञ ज्ञान केवल नियमों का एक थैला नहीं है, बल्कि एकप्रायिकता प्रक्रिया——एक हैक की गई वाक्यविन्यास। यह NLP में Transformer जैसे अनुक्रम मॉडल की सफलता से मेल खाता है, यह दर्शाता है कि लेखक ने पड़ोसी AI क्षेत्रों के अनुभव को प्रभावी ढंग से लागू किया है।
शक्तियाँ और कमियाँ: मुख्य लाभ यह है किवास्तविक प्रभावयह कार्य पैनेट्रेशन टेस्टर और सुरक्षा ऑडिटर के लिए तत्काल उपयोगी मूल्य रखता है। जटिल पैटर्न सीखने में इसकी DNN-आधारित पद्धति पुरानी PCFG पद्धति से अधिक कुशल है। हालाँकि, एक महत्वपूर्ण कमी इसके भीतर छिपी हुई हैप्रशिक्षण डेटा निर्भरतामॉडल की "क्षमता" देखे गए विशेषज्ञ व्यवहार (नियम अनुक्रम) से सीखी जाती है। यदि प्रशिक्षण डेटा किसी विशिष्ट क्रैकर समूह (उदाहरण के लिए, Hashcat का एक विशिष्ट तरीके से उपयोग करने वाले लोग) से आता है, तो मॉडल उनके पूर्वाग्रहों को विरासत में ले सकता है और नई रणनीतियों को छोड़ सकता है। यह एक नकल है, वास्तविक रणनीतिक बुद्धिमत्ता नहीं। इसके अलावा, जैसा कि फ़ेडरेटेड लर्निंग साहित्य (जैसे Google AI का काम) द्वारा इंगित किया गया है, प्रशिक्षण के लिए इतने संवेदनशील "हमला निशान" डेटा को एकत्र करने से जुड़े गोपनीयता मुद्दों की उपेक्षा नहीं की जा सकती है और इनका अभी तक पर्याप्त अन्वेषण नहीं किया गया है।
क्रियान्वयन योग्य अंतर्दृष्टि: उद्योग के पेशेवरों के लिए:जोखिम मूल्यांकन के लिए डिफ़ॉल्ट नियम सेट का उपयोग बंद करें। इस प्रकार के गतिशील, संदर्भ-जागरूक मॉडल को अपनी सुरक्षा परीक्षण प्रक्रियाओं में एकीकृत करें। शोधकर्ताओं के लिए: यह पेपर एक नया बेंचमार्क स्थापित करता है। भविष्य के क्रिप्टोग्राफ़िक मॉडल को इसके लिए डिज़ाइन किया जाना चाहिएअनुकूलीहमलावर सत्यापन करते हैं, न कि स्थैतिक हमलावर। अगला मोर्चा एक बंद लूप बनाना है - ऐसे AI रक्षकों का निर्माण करना जो इन AI-संचालित गतिशील हमलों का सामना करने के लिए पासवर्ड या रणनीतियाँ डिजाइन कर सकें, GAN जैसी प्रतिकूल सह-विकासात्मक रूपरेखा की ओर बढ़ते हुए, जहाँ हमलावर और रक्षक मॉडल एक साथ सुधार करते हैं। स्थैतिक निर्वात में पासवर्डों का मूल्यांकन करने का युग (या होना चाहिए) समाप्त हो गया है।