SOPG: Penjanaan Kata Laluan Berasaskan Carian untuk Rangkaian Neural Autoregresif

Kandungan

1. Pengenalan

Kata laluan kekal sebagai kaedah pengesahan pengguna yang paling meluas. Oleh itu, tekaan kata laluan merupakan komponen kritikal dalam penyelidikan keselamatan siber, menyokong kedua-dua ujian keselamatan ofensif (penggodaman) dan penilaian kekuatan pertahanan. Kaedah tradisional, daripada enumerasi berasaskan peraturan kepada model statistik seperti rantai Markov dan PCFG, mempunyai batasan semula jadi dari segi kecekapan dan kepelbagaian. Kemunculan pembelajaran mendalam, terutamanya rangkaian neural autoregresif, menjanjikan anjakan paradigma. Walau bagaimanapun, satu halangan kritikal berterusan: kaedah penjanaan persampelan rawak piawai. Ini membawa kepada kata laluan pendua dan, yang lebih merosakkan, susunan penjanaan rawak, memaksa penyerang menyaring senarai yang besar dan tidak cekap. Kertas kerja ini memperkenalkan SOPG (Penjanaan Kata Laluan Berasaskan Carian), kaedah baharu yang direka untuk menjadikan model tekaan kata laluan autoregresif menjana kata laluan dalam susunan kebarangkalian menurun secara anggaran, seterusnya meningkatkan kecekapan serangan dengan dramatik.

2. Latar Belakang & Kerja Berkaitan

2.1 Evolusi Tekaan Kata Laluan

Tekaan kata laluan telah berkembang melalui fasa yang berbeza. Kaedah awal bergantung pada serangan kamus dan peraturan ubah bentuk yang direka secara manual (contohnya, John the Ripper), yang bersifat heuristik dan bergantung pada pengalaman. Percambahan kebocoran kata laluan berskala besar (contohnya, RockYou pada 2009) membolehkan pendekatan statistik berasaskan data. Model Markov (Weir et al., 2009) dan Tatabahasa Bebas Konteks Kebarangkalian (PCFG) (Ma et al., 2014) menyediakan rangka kerja penjanaan yang lebih sistematik dan berasaskan kebarangkalian, walaupun ia berisiko untuk terlalu muat (overfitting) dan kekurangan keupayaan untuk memodelkan kebergantungan kompleks jarak jauh dalam struktur kata laluan.

2.2 Pendekatan Rangkaian Neural

Model pembelajaran mendalam, terutamanya Rangkaian Penentang Penjana (GANs) seperti PassGAN (Hitaj et al., 2017) dan model autoregresif seperti yang berdasarkan seni bina LSTM atau GPT, mempelajari taburan kebarangkalian kata laluan secara langsung daripada data. Mereka boleh menjana kata laluan yang sangat pelbagai dan realistik. Walau bagaimanapun, mereka biasanya menggunakan persampelan rawak (contohnya, persampelan multinomial) daripada taburan yang dipelajari pada setiap langkah penjanaan. Proses asas ini tidak mengambil kira kedudukan global kebarangkalian kata laluan lengkap, membawa kepada ketidakcekapan yang SOPG bertujuan untuk selesaikan.

3. Kaedah SOPG

3.1 Konsep Teras

SOPG membingkai semula penjanaan kata laluan daripada masalah persampelan stokastik kepada masalah carian berpandu. Daripada memilih aksara seterusnya secara rawak, ia menggunakan algoritma carian (kemungkinan varian carian pancaran atau carian terbaik-pertama) untuk meneroka ruang sambungan kata laluan yang mungkin, mengutamakan laluan yang membawa kepada kata laluan lengkap dengan anggaran kebarangkalian yang lebih tinggi. Matlamatnya adalah untuk mengeluarkan senarai kata laluan dalam susunan yang menghampiri susunan menurun sebenar mengikut $P(kata laluan|model)$.

3.2 Algoritma Carian

Walaupun abstrak PDF tidak memperincikan algoritma khusus, tingkah laku yang digambarkan mencadangkan kaedah yang mengekalkan barisan keutamaan awalan kata laluan calon. Pada setiap langkah, ia mengembangkan awalan yang paling berpotensi (kebarangkalian terkumpul tertinggi) dengan meminta rangkaian neural untuk taburan aksara seterusnya, menjana calon baharu. Dengan meneroka kawasan kebarangkalian tinggi ruang kata laluan secara sistematik dahulu, ia memastikan penjanaan awal kata laluan yang paling berkemungkinan dan secara semula jadi mengelakkan pendua.

3.3 Model SOPGesGPT

Para pengarang melaksanakan kaedah mereka pada seni bina berasaskan GPT, mencipta SOPGesGPT. Model GPT (contohnya, transformer hanya penyahkod) dilatih pada set data kata laluan bocor untuk meramal aksara seterusnya dalam jujukan. SOPG kemudiannya digunakan sebagai kaedah penjanaan/inferens di atas model terlatih ini, menggantikan persampelan piawai.

4. Butiran Teknikal & Formulasi Matematik

Model autoregresif mentakrifkan kebarangkalian kata laluan $\mathbf{x} = (x_1, x_2, ..., x_T)$ sebagai hasil darab kebarangkalian bersyarat: $$P(\mathbf{x}) = \prod_{t=1}^{T} P(x_t | x_1, ..., x_{t-1})$$ di mana $x_t$ ialah aksara pada kedudukan $t$, dan $T$ ialah panjang kata laluan. Persampelan piawai memilih $x_t \sim P(\cdot | x_1, ..., x_{t-1})$.

SOPG, secara konsep, bertujuan untuk mencari dan mengeluarkan jujukan $\mathbf{x}$ mengikut turutan menurun $P(\mathbf{x})$. Ini boleh dilihat sebagai masalah carian laluan terpendek dalam pokok di mana nod ialah awalan, kos tepi berkaitan dengan $-\log P(x_t | awalan)$, dan matlamatnya adalah untuk menghitung laluan (kata laluan) mengikut turutan kos total meningkat (iaitu, kebarangkalian menurun). Algoritma seperti Carian Kos Seragam (UCS) atau varian terbatasnya, Carian Pancaran dengan lebar pancaran besar dan pemangkasan dinamik, boleh mencapai susunan anggaran ini. Kuncinya ialah sempadan carian diutamakan oleh skor kebarangkalian laluan semasa.

5. Keputusan Eksperimen & Analisis

5.1 Perbandingan dengan Persampelan Rawak

Kertas kerja ini membentangkan keputusan yang menarik membandingkan SOPG dengan persampelan rawak piawai pada model asas yang sama. Penemuan utama:

• Sifar Pendua: SOPG menjana senarai unik, manakala persampelan rawak menghasilkan banyak ulangan, membazirkan usaha pengiraan.
• Kecekapan Serangan Unggul: Untuk mencapai kadar liputan yang sama (peratusan kata laluan dalam set ujian yang digodam), SOPG memerlukan jauh lebih sedikit inferens model dan menjana senarai total yang jauh lebih kecil. Ini diterjemahkan secara langsung kepada penggodaman kata laluan yang lebih pantas dalam senario dunia sebenar.

5.2 Penanda Aras Berbanding Teknologi Terkini

SOPGesGPT telah ditanda aras terhadap model tekaan kata laluan utama: OMEN (Markov), FLA, PassGAN (GAN), VAEPass (VAE), dan PassGPT kontemporari. Dalam ujian satu tapak:

• Kadar Liputan: SOPGesGPT mencapai 35.06%, mengatasi OMEN sebanyak 254%, FLA sebanyak 298%, PassGAN sebanyak 421%, VAEPass sebanyak 380%, dan PassGPT sebanyak 81%.
• Kadar Berkesan: Kertas kerja ini juga mendakwa kepimpinan dalam "kadar berkesan," kemungkinan metrik berkaitan kualiti atau kadar pukulan kata laluan yang dijana awal, yang merupakan kekuatan utama SOPG.

Ini menunjukkan bahawa kaedah penjanaan (SOPG) adalah sama kritikal dengan seni bina model untuk prestasi.

6. Kerangka Analisis & Contoh Kes

Kerangka untuk Menilai Model Tekaan Kata Laluan:

1. Seni Bina Model & Latihan: Apakah rangkaian neural asas (GAN, VAE, Transformer Autoregresif)? Bagaimana ia dilatih?
2. Kaedah Penjanaan: Bagaimana kata laluan dihasilkan daripada model terlatih? (contohnya, Persampelan Rawak, Carian Pancaran, SOPG). Ini adalah fokus utama kertas kerja.
3. Penyusunan & Kecekapan: Adakah kaedah menghasilkan kata laluan dalam susunan yang berguna (kebarangkalian menurun)? Apakah kecekapan pengiraan/tekaan?
4. Kepelbagaian & Penduaan: Adakah ia menjana kata laluan baharu atau banyak pendua?
5. Prestasi Penanda Aras: Kadar Liputan, Kadar Berkesan, dan kelajuan pada set data piawai (contohnya, RockYou).

Contoh Kes Bukan Kod: Pertimbangkan dua penyerang, Alice dan Bob, menggunakan model kata laluan GPT terlatih yang sama. Alice menggunakan persampelan rawak piawai. Bob menggunakan SOPG. Untuk menggodam set ujian 1000 kata laluan, perisian Alice mungkin perlu menjana 10 juta tekaan, dengan 30% pendua, untuk menggodam 350. Perisian Bob yang didorong SOPG mungkin hanya menjana 1 juta tekaan unik dalam susunan optimum untuk menggodam 350 yang sama. Serangan Bob adalah 10x lebih cekap sumber dan selesai lebih pantas.

7. Prospek Aplikasi & Hala Tuju Masa Depan

Aplikasi Segera:

• Ujian Kekuatan Kata Laluan Proaktif: Pasukan keselamatan boleh menggunakan model dipertingkatkan SOPG untuk mengaudit dasar kata laluan yang dicadangkan dengan lebih cekap dengan menjana vektor serangan paling berkemungkinan dahulu.
• Pemulihan Kata Laluan Forensik: Alat pemulihan kata laluan yang sah boleh mengintegrasikan SOPG untuk meningkatkan kadar kejayaan dalam had masa/bajet pengiraan yang terhad.

Hala Tuju Penyelidikan Masa Depan:

• Model Hibrid: Menggabungkan penjanaan teratur SOPG dengan kekuatan seni bina lain (contohnya, mengintegrasikan pengetahuan semantik daripada model bahasa besar).
• SOPG Adaptif/Atas Talian: Mengubah suai strategi carian secara masa nyata berdasarkan maklum balas daripada keputusan serangan separa.
• Langkah Balas Pertahanan: Penyelidikan ke dalam teknik penghashan atau penyimpanan kata laluan baharu yang khusus tahan lasak terhadap serangan teratur berasaskan kebarangkalian seperti SOPG.
• Melangkaui Kata Laluan: Menggunakan paradigma penjanaan teratur kepada domain keselamatan lain seperti menjana URL penipuan fising atau varian perisian hasad yang berkemungkinan.

8. Rujukan

1. Weir, M., Aggarwal, S., Medeiros, B., & Glodek, B. (2009). Password Cracking Using Probabilistic Context-Free Grammars. Dalam IEEE Symposium on Security and Privacy.
2. Ma, J., Yang, W., Luo, M., & Li, N. (2014). A Study of Probabilistic Password Models. Dalam IEEE Symposium on Security and Privacy.
3. Hitaj, B., Gasti, P., Ateniese, G., & Perez-Cruz, F. (2017). PassGAN: A Deep Learning Approach for Password Guessing. Dalam International Conference on Applied Cryptography and Network Security.
4. Goodfellow, I., et al. (2014). Generative Adversarial Nets. Advances in Neural Information Processing Systems.
5. Radford, A., Wu, J., Child, R., Luan, D., Amodei, D., & Sutskever, I. (2019). Language Models are Unsupervised Multitask Learners. OpenAI Blog.
6. Melicher, W., et al. (2016). Fast, Lean, and Accurate: Modeling Password Guessability Using Neural Networks. Dalam USENIX Security Symposium.

9. Analisis Asal & Ulasan Pakar