1. परिचय
यह शोध पत्र PESrank का परिचय देता है, एक नवीन पासवर्ड सामर्थ्य अनुमानक जो एक शक्तिशाली पासवर्ड क्रैकर के व्यवहार को एक इष्टतम संभाव्यता क्रम में पासवर्ड की रैंक की गणना करके सटीक रूप से मॉडल करने के लिए डिज़ाइन किया गया है। यह ऑनलाइन प्रणालियों में तेज़, सटीक और स्पष्ट पासवर्ड सामर्थ्य प्रतिक्रिया की महत्वपूर्ण आवश्यकता को संबोधित करता है।
1.1. पृष्ठभूमि
अपनी कमजोरियों के बावजूद, टेक्स्ट पासवर्ड प्रमुख प्रमाणीकरण विधि बने हुए हैं। सामान्य अनुमानित सामर्थ्य अनुमानक (जैसे, LUDS नियम) गलत होते हैं। मार्कोव मॉडल, PCFG, या न्यूरल नेटवर्क का उपयोग करने वाले क्रैकर-आधारित अनुमानक बेहतर सटीकता प्रदान करते हैं लेकिन अक्सर लंबे प्रशिक्षण समय या वास्तविक समय प्रदर्शन और स्पष्टीकरण की कमी से ग्रस्त होते हैं।
1.2. योगदान
PESrank के प्रमुख योगदान हैं: पासवर्ड के लिए साइड-चैनल क्रिप्टोएनालिसिस रैंक अनुमान ढांचे का इसकी नवीन अनुप्रयोग, जो गणना के बिना सब-सेकंड रैंक अनुमान सक्षम करता है; काफी कम प्रशिक्षण समय; पुनः प्रशिक्षण के बिना कुशल मॉडल वैयक्तिकरण; और उपयोगकर्ता प्रतिक्रिया के लिए अंतर्निहित स्पष्टीकरण।
2. PESrank पद्धति
PESrank पासवर्ड सामर्थ्य अनुमान को एक बहुआयामी रैंक अनुमान समस्या के रूप में पुनः परिभाषित करता है, जो क्रिप्टोग्राफी में उपयोग की जाने वाली साइड-चैनल हमला विश्लेषण तकनीकों से प्रेरणा लेता है।
2.1. बहुआयामी पासवर्ड प्रतिनिधित्व
एक पासवर्ड को एक d-आयामी खोज स्थान में एक बिंदु में विघटित किया जाता है। आयाम स्वतंत्र विशेषताओं का प्रतिनिधित्व करते हैं जैसे आधार शब्द (जैसे, "password"), कैपिटलाइज़ेशन पैटर्न (जैसे, "Password"), प्रत्यय जोड़ (जैसे, "password123"), या लीट-स्पीक रूपांतरण (जैसे, "p@ssw0rd")। प्रत्येक आयाम के लिए संभाव्यता वितरण पासवर्ड डेटासेट से अलग से सीखा जाता है।
2.2. रैंक अनुमान ढांचा
सभी संभावित पासवर्डों की गणना करने के बजाय, PESrank किसी विशिष्ट पासवर्ड संयोजन की रैंक का अनुमान उन पासवर्ड संयोजनों की संख्या की गणना करके लगाता है जो दिए गए पासवर्ड की तुलना में अधिक संभावित (यानी, उच्च संयुक्त संभावना रखते हैं) हैं। यह एक साइड-चैनल हमले में एन्क्रिप्शन कुंजी की रैंक का अनुमान लगाने के अनुरूप है।
3. तकनीकी कार्यान्वयन एवं गणितीय मॉडल
3.1. मूल एल्गोरिदम और सूत्र
PESrank का मूल आयाम मानों के वेक्टर $\vec{x} = (x_1, x_2, ..., x_d)$ द्वारा प्रतिनिधित्व किए गए पासवर्ड की संयुक्त संभाव्यता की गणना करना शामिल है। यह मानते हुए कि आयाम स्वतंत्र हैं (दक्षता के लिए एक सरलीकरण), संभाव्यता है: $$P(\vec{x}) = \prod_{i=1}^{d} P_i(x_i)$$ जहां $P_i(x_i)$ आयाम $i$ में मान $x_i$ की संभाव्यता है, जो प्रशिक्षण डेटा से सीखी गई है। रैंक $R(\vec{x})$ का अनुमान उन सभी वेक्टर $\vec{y}$ की संभाव्यताओं को जोड़कर लगाया जाता है जहां $P(\vec{y}) > P(\vec{x})$। साइड-चैनल साहित्य से कुशल एल्गोरिदम, जैसे bounding दृष्टिकोण, का उपयोग पूर्ण गणना के बिना इस योग के लिए कसा हुआ ऊपरी और निचली सीमाओं की गणना करने के लिए किया जाता है।
3.2. स्पष्टीकरण और वैयक्तिकरण
बहुआयामी मॉडल स्वाभाविक रूप से स्पष्टीकरण योग्य है। सिस्टम रिपोर्ट कर सकता है कि कौन से आयाम (जैसे, "एक बहुत ही सामान्य आधार शब्द" या "एक पूर्वानुमेय प्रत्यय जैसे '123'") किसी पासवर्ड की कम रैंक (उच्च अनुमानिता) में सबसे महत्वपूर्ण योगदान देते हैं। वैयक्तिकरण (जैसे, किसी उपयोगकर्ता के नाम या जन्म वर्ष को एक वर्जित आधार शब्द के रूप में शामिल करना) संबंधित आयामों के लिए संभाव्यता $P_i(x_i)$ को शून्य के करीब गतिशील रूप से समायोजित करके प्राप्त किया जा सकता है, जो मॉडल पुनः प्रशिक्षण के बिना तुरंत रैंक गणना को प्रभावित करता है।
4. प्रायोगिक परिणाम एवं प्रदर्शन
4.1. सटीकता और गति के मानक
Python कार्यान्वयन का व्यापक मूल्यांकन किया गया। प्रमुख परिणामों में शामिल हैं:
- गति: 90.5 करोड़ पासवर्ड पर प्रशिक्षित मॉडल के साथ भी रैंक अनुमान के लिए सब-सेकंड प्रतिक्रिया समय।
- सटीकता: अनुमानित रैंक सीमाएं वास्तविक रैंक के 2 के कारक (1-बिट मार्जिन) के भीतर लगातार थीं, जो उच्च परिशुद्धता प्रदर्शित करती हैं।
- प्रशिक्षण समय: न्यूरल नेटवर्क या जटिल PCFG मॉडलों की तुलना में काफी कम, जिसके लिए गणना के कई गुना कम आदेशों की आवश्यकता होती है।
4.2. वास्तविक दुनिया में तैनाती
PESrank को एक विश्वविद्यालय पाठ्यक्रम पंजीकरण पृष्ठ में एकीकृत किया गया था। इसने पासवर्ड बनाने वाले उपयोगकर्ताओं को वास्तविक समय, स्पष्टीकरण योग्य प्रतिक्रिया प्रदान की, जो वास्तविक लोड स्थितियों के तहत इसकी उपयोगिता और प्रदर्शन को प्रदर्शित करती है। प्रतिक्रिया ने उपयोगकर्ताओं को कमजोर, पूर्वानुमेय पासवर्ड पैटर्न से दूर रहने में मदद की।
5. विश्लेषण ढांचा एवं उदाहरण केस
विश्लेषक का दृष्टिकोण: मूल अंतर्दृष्टि, तार्किक प्रवाह, शक्तियाँ एवं दोष, क्रियान्वयन योग्य अंतर्दृष्टियाँ
मूल अंतर्दृष्टि: PESrank पासवर्ड मीटरों में केवल एक और वृद्धिशील सुधार नहीं है; यह एक मौलिक प्रतिमान परिवर्तन है। यह साइड-चैनल रैंक अनुमान के कठोर, मात्रात्मक ढांचे—जो उच्च-दांव क्रिप्टोग्राफिक हार्डवेयर मूल्यांकन में एक मुख्य आधार है—को सफलतापूर्वक मानव-चुने गए पासवर्डों की अव्यवस्थित दुनिया में प्रत्यारोपित करता है। अनुमानित अनुमान से संभाव्य क्रिप्टोएनालिसिस की ओर यह कदम एक उत्कृष्ट चाल है। यह पासवर्ड क्रैकिंग को एक भाषाई या पैटर्न-मिलान समस्या के रूप में नहीं, बल्कि एक संरचित संभाव्यता स्थान में एक खोज समस्या के रूप में मानता है, जो आधुनिक क्रैकर जैसे Hashcat और John the Ripper वास्तव में मैंगलिंग नियमों और मार्कोव श्रृंखलाओं के साथ कैसे काम करते हैं, उसके साथ पूरी तरह से संरेखित होता है।
तार्किक प्रवाह: तर्क सुंदर रूप से संक्षेपवादी है। 1) पासवर्डों को लंबकोणीय, क्रैकर-प्रासंगिक विशेषताओं (आधार शब्द, रूपांतरण) में विघटित करें। 2) उल्लंघन डेटा से प्रत्येक विशेषता के लिए एक सरल संभाव्यता मॉडल सीखें। 3) अधिक संभावित संयोजनों की संख्या की गणना करके किसी पासवर्ड की अनुमानितता का पुनर्निर्माण करें। यह न्यूरल नेटवर्क (जैसे [30, 37] में) के एकल, अपारदर्शी मॉडल या PCFG [41] के कभी-कभी भारी नियम सेट की आवश्यकता को दरकिनार कर देता है। आयामों के बीच स्वतंत्रता धारणा इसकी मुख्य सरलीकरण छलांग है, जो कुछ मॉडलिंग निष्ठा का व्यापार गति और स्पष्टीकरण में भारी लाभ के लिए करती है—एक व्यापार जो व्यवहार में अत्यधिक अनुकूल प्रतीत होता है।
शक्तियाँ एवं दोष: इसकी शक्तियाँ प्रभावशाली हैं: तेज गति और मूल स्पष्टीकरण वास्तविक दुनिया में अपनाने के लिए महत्वपूर्ण विशेषताएं हैं, जो शैक्षणिक मॉडलों के दो सबसे बड़े दर्द बिंदुओं को संबोधित करती हैं। वैयक्तिकरण चाल चतुर और व्यावहारिक है। हालाँकि, एक महत्वपूर्ण दोष स्वतंत्रता धारणा में निहित है। जबकि यह कुशल है, यह सहसंबंधों (जैसे, कुछ आधार शब्दों के साथ कुछ कैपिटलाइज़ेशन पैटर्न अधिक संभावित हैं) की उपेक्षा करता है। इससे जटिल, सहसंबद्ध पासवर्डों के लिए रैंक अशुद्धियाँ हो सकती हैं। इसके अलावा, इसकी सटीकता स्वाभाविक रूप से प्रत्येक आयाम के लिए इसके प्रशिक्षण डेटा की गुणवत्ता और विस्तार से जुड़ी हुई है, एक निर्भरता जो यह सभी डेटा-संचालित मॉडलों के साथ साझा करता है। यह पिछले उल्लंघनों में न देखी गई वास्तव में नवीन पासवर्ड निर्माण रणनीतियों के साथ संघर्ष कर सकता है।
क्रियान्वयन योग्य अंतर्दृष्टियाँ: सुरक्षा टीमों के लिए, संदेश स्पष्ट है: LUDS मीटर छोड़ दें। PESrank प्रदर्शित करता है कि क्रैकर-सटीक, वास्तविक समय प्रतिक्रिया अब परिचालन रूप से संभव है। दिखाया गया एकीकरण पथ—इसे एक पंजीकरण पोर्टल में एम्बेड करना—एक खाका है। शोधकर्ताओं के लिए, भविष्य संकर मॉडलों में निहित है। PESrank के कुशल, स्पष्टीकरण योग्य ढांचे को एक हल्के न्यूरल घटक के साथ संयोजित करें ताकि अंतर-आयामी सहसंबंधों को मॉडल किया जा सके, जैसे कि दृष्टि मॉडल जैसे CycleGAN विभिन्न डोमेन रूपांतरणों के लिए अलग-अलग जनरेटर का उपयोग करते हुए एक सामंजस्यपूर्ण संरचना बनाए रखते हैं। अगली सीमा अनुकूली वैयक्तिकरण है जो किसी उपयोगकर्ता के *अस्वीकृत* पासवर्ड सुझावों से सीखकर अपने मॉडल को वास्तविक समय में परिष्कृत करता है, स्थिर ब्लॉक सूचियों से आगे बढ़ता है।
6. भविष्य के अनुप्रयोग एवं शोध दिशाएं
- सक्रिय खतरा शिकार: उपयोगकर्ता-सामने वाले मीटरों से परे, PESrank का मूल एल्गोरिदम मौजूदा पासवर्ड डेटाबेस (उचित हैशिंग के साथ) को स्कैन कर सकता है ताकि अत्यधिक अनुमानित पासवर्ड वाले खातों की सक्रिय रूप से पहचान की जा सके और उन्हें चिह्नित किया जा सके, जिससे जबरन रीसेट सक्षम हो सके।
- उन्नत वैयक्तिकरण इंजन: भविष्य की प्रणालियाँ संगठनात्मक निर्देशिकाओं (जैसे, LDAP) के साथ एकीकृत हो सकती हैं ताकि कर्मचारी नामों, परियोजना कोडनेम और आंतरिक शब्दजाल के साथ मॉडल को स्वचालित रूप से वैयक्तिकृत किया जा सके, एक गतिशील, संगठन-विशिष्ट खतरा मॉडल बनाया जा सके।
- बेंचमार्किंग और मानकीकरण: रैंक अनुमान दृष्टिकोण एक कठोर, मात्रात्मक मेट्रिक प्रदान करता है। यह उद्योग-व्यापी पासवर्ड सामर्थ्य बेंचमार्किंग मानकों के आधार के रूप में कार्य कर सकता है, अस्पष्ट "मजबूत" या "कमजोर" लेबलों से परे जा सकता है।
- क्रॉस-मॉडल सत्यापन: PESrank का उपयोग एक तेज़, स्पष्टीकरण योग्य "प्रथम पास" फ़िल्टर के रूप में किया जा सकता है, जिसमें संदिग्ध पासवर्डों को अधिक कम्प्यूटेशनल रूप से गहन मॉडल (जैसे, RNN) द्वारा गहन विश्लेषण के लिए चिह्नित किया जाता है, जिससे एक स्तरीय रक्षा बनती है।
- आयाम अंतर्निर्भरता पर शोध: प्रमुख शोध मार्ग स्वतंत्रता धारणा को शिथिल करना है। हल्के सहसंबंध मॉडल (जैसे, आयामों पर बायेसियन नेटवर्क) का अन्वेषण जटिल पासवर्डों के लिए सटीकता में सुधार कर सकता है बिना मूल गति लाभ का त्याग किए।
7. संदर्भ
- L. David and A. Wool, "Online Password Guessability via Multi-Dimensional Rank Estimation," arXiv preprint arXiv:1912.02551v2, 2020.
- J. Bonneau, "The Science of Guessing: Analyzing an Anonymized Corpus of 70 Million Passwords," IEEE Symposium on Security and Privacy, 2012.
- M. Weir, S. Aggarwal, B. de Medeiros, and B. Glodek, "Password Cracking Using Probabilistic Context-Free Grammars," IEEE Symposium on Security and Privacy, 2009.
- W. Melicher, B. Ur, S. M. Segreti, S. Komanduri, L. Bauer, N. Christin, and L. F. Cranor, "Fast, Lean, and Accurate: Modeling Password Guessability Using Neural Networks," USENIX Security Symposium, 2016.
- D. Wang, H. Cheng, P. Wang, X. Huang, and G. Jian, "A Security Analysis of Honeywords," NDSS, 2018. (कठोर पासवर्ड-संबंधित विश्लेषण का उदाहरण)
- P. G. Kelley, S. Komanduri, M. L. Mazurek, R. Shay, T. Vidas, L. Bauer, N. Christin, L. F. Cranor, and J. Lopez, "Guess Again (and Again and Again): Measuring Password Strength by Simulating Password-Cracking Algorithms," IEEE Symposium on Security and Privacy, 2012.
- National Institute of Standards and Technology (NIST), "Digital Identity Guidelines," NIST Special Publication 800-63B, 2017. (प्रमाणीकरण मानकों के संदर्भ के लिए)