As palavras-passe continuam a ser o método mais ubíquo de autenticação de utilizadores devido à sua simplicidade e flexibilidade. No entanto, a sua segurança é permanentemente desafiada por tentativas de quebra. A adivinhação de palavras-passe, o processo de gerar candidatos a senhas para ataques de dicionário, é um pilar tanto dos testes de segurança ofensivos quanto da avaliação defensiva da robustez de senhas. Os métodos tradicionais, desde heurísticas baseadas em regras até modelos estatísticos como cadeias de Markov e PCFG, têm limitações inerentes em diversidade e eficiência. O advento da aprendizagem profunda, particularmente das redes neurais autoregressivas, prometia uma mudança de paradigma. No entanto, uma falha crítica tem sido o próprio método de geração. A amostragem aleatória padrão a partir destes modelos produz duplicatas e saídas desordenadas, reduzindo drasticamente a eficiência prática dos ataques a senhas. Este artigo apresenta o SOPG (Geração de Palavras-passe Ordenada Baseada em Busca), um novo método que obriga um modelo autoregressivo a gerar senhas em ordem quase perfeita e decrescente de probabilidade, abordando esta falha fundamental.
O campo evoluiu através de fases distintas: Enumeração baseada em regras (por exemplo, regras do John the Ripper), que depende de conhecimento manual; Modelos estatísticos como modelos de Markov (OMEN) e Gramática Livre de Contexto Probabilística (PCFG), que aprendem padrões a partir de conjuntos de dados vazados, mas muitas vezes sofrem de sobreajuste; e a era atual dos modelos de Aprendizagem Profunda.
Modelos como PassGAN (baseado em Redes Adversariais Generativas), VAEPass (Autoencoders Variacionais) e PassGPT (baseado na arquitetura GPT) aproveitam redes neurais profundas para aprender distribuições complexas de senhas. Embora capturem nuances melhor do que os modelos estatísticos, a sua geração padrão via amostragem aleatória é ineficiente para cenários de ataque onde tentar senhas por ordem de probabilidade é fundamental.
O SOPG não é uma nova arquitetura de rede neural, mas sim um algoritmo de geração aplicado sobre um modelo autoregressivo existente (por exemplo, GPT). O seu objetivo é percorrer o espaço de saída do modelo de forma inteligente, gerando primeiro as senhas mais prováveis, sem repetição.
Em vez de amostrar tokens aleatoriamente a cada passo, o SOPG emprega uma estratégia de busca (conceitualmente semelhante à busca por feixe, mas otimizada para a geração completa de senhas). Ele mantém uma fila de prioridade de prefixos de senha candidatos, expandindo sempre o prefixo com a maior probabilidade cumulativa. Isto garante que as senhas completas sejam geradas em ordem aproximadamente decrescente.
Dado um modelo autoregressivo que define uma distribuição de probabilidade sobre senhas $P(\mathbf{x})$, onde $\mathbf{x} = (x_1, x_2, ..., x_T)$ é uma sequência de tokens (caracteres), o modelo fatoriza a probabilidade como:
$$P(\mathbf{x}) = \prod_{t=1}^{T} P(x_t | x_1, ..., x_{t-1})$$
A amostragem aleatória gera $x_t$ a partir de $P(x_t | x_1, ..., x_{t-1})$ em cada passo $t$. O SOPG, em vez disso, para um dado prefixo $\mathbf{x}_{
Os autores implementam um modelo concreto de adivinhação de senhas denominado SOPGesGPT. Ele usa uma arquitetura de transformador no estilo GPT como o modelo autoregressivo central, treinado em grandes corpora de senhas reais vazadas. O diferencial chave é que a geração de senhas é realizada usando o algoritmo SOPG em vez da amostragem padrão, tornando-o o primeiro modelo a integrar a geração ordenada de forma nativa.
35.06%
SOPGesGPT no conjunto de teste
81%
Maior cobertura
254%
Maior cobertura
O artigo demonstra primeiro a superioridade do SOPG sobre a amostragem aleatória no mesmo modelo subjacente. Principais conclusões:
O SOPGesGPT foi comparado num "teste de um único site" (treino e teste com dados da mesma violação) com os principais modelos: OMEN, FLA, PassGAN, VAEPass e o contemporâneo PassGPT.
Os resultados são impressionantes. Em termos de taxa de cobertura (a percentagem de senhas do conjunto de teste quebradas dentro de um limite de tentativas dado), o SOPGesGPT atingiu 35.06%. Isto representa uma melhoria massiva sobre os antecessores:
Estrutura: Avaliar um modelo de adivinhação de senhas requer uma análise multifacetada: 1) Solidez Arquitetural (escolha do modelo), 2) Eficiência de Geração (tentativas por segundo, duplicatas), 3) Eficiência de Ataque (curva da taxa de cobertura vs. número de tentativas) e 4) Generalização (desempenho em padrões de dados não vistos). A maioria das pesquisas foca-se em (1) e (3). O SOPG inova decisivamente em (2), o que otimiza diretamente (3).
Caso de Exemplo - Avaliação da Robustez de Senhas: Uma empresa de segurança quer auditar uma nova política de senhas. Usando um modelo PassGPT padrão com amostragem aleatória, gerar 10 milhões de tentativas pode levar X horas e quebrar Y% de um dicionário de teste. Usando o SOPGesGPT (mesma arquitetura, geração SOPG), para quebrar o mesmo Y%, pode apenas precisar de gerar 2 milhões de tentativas, completando a auditoria numa fração do tempo. Além disso, a lista ordenada fornece um mapa de calor claro: as primeiras 100.000 senhas SOPG representam o conjunto "mais provável" de acordo com o modelo, oferecendo uma visão precisa da vulnerabilidade da política a ataques de alta probabilidade.
Aplicações:
A genialidade do artigo reside no seu ataque cirúrgico a um estrangulamento crítico mas negligenciado. Durante anos, a comunidade de adivinhação de senhas, encantada com os saltos arquiteturais das GANs para os Transformers, tratou a etapa de geração como um problema resolvido—basta amostrar da distribuição. Jin et al. identificam corretamente isto como uma ineficiência catastrófica para o caso de uso de ataque. O SOPG reformula o problema: não se trata de aprender melhor a distribuição, mas de a percorrer de forma ótima. Isto é semelhante a ter um mapa perfeito das localizações do tesouro (a rede neural) mas anteriormente usar um passeio aleatório para as encontrar, versus o SOPG que fornece um itinerário priorizado. A impressionante melhoria de 81% sobre o PassGPT, que usa a mesma arquitetura GPT, prova o ponto: o algoritmo de geração pode importar mais do que o próprio modelo para o desempenho da tarefa final.
O argumento é convincente e linear: 1) Os ataques a senhas requerem tentar adivinhações por ordem de probabilidade para eficiência. 2) Os modelos autoregressivos aprendem esta distribuição de probabilidade. 3) A amostragem aleatória a partir destes modelos falha em produzir uma lista ordenada e está repleta de desperdício. 4) Portanto, precisamos de um algoritmo de busca que explore a estrutura do modelo para produzir uma lista ordenada. 5) O SOPG é esse algoritmo, implementado através de uma busca de melhor-primeiro sobre a árvore de tokens. 6) Os resultados validam a hipótese com evidência quantitativa esmagadora. O fluxo espelha a estrutura clássica problema-solução-validação, executada com precisão.
Pontos Fortes: O conceito é elegantemente simples e poderosamente eficaz. O desenho experimental é robusto, comparando com todas as linhas de base relevantes. Os ganhos de eficiência não são marginais; são transformadores para cenários práticos de quebra. O trabalho abre um novo subcampo: otimização de geração para modelos de segurança.
Fraquezas & Questões: O artigo sugere, mas não explora profundamente, a sobrecarga computacional da própria busca SOPG versus a amostragem simples. Embora reduza o total de inferências necessárias para uma dada cobertura, cada passo de inferência na busca é mais complexo (manter uma heap). É necessária uma análise de complexidade. Além disso, o "teste de um único site" é uma avaliação padrão mas limitada. Como é que o SOPG generaliza num cenário "cross-site" (treinar com fugas do LinkedIn, testar no RockYou), onde a distribuição muda? A geração ordenada pode ser menos eficaz se a classificação de probabilidade do modelo for pobre em dados fora da distribuição. Finalmente, como os autores notam no trabalho futuro, esta mesma eficiência exige uma resposta defensiva—o próprio SOPG catalisará a pesquisa em técnicas de hashing e endurecimento de senhas de próxima geração.
Para Profissionais de Segurança: Reavalie imediatamente as suas ferramentas de teste de políticas de senhas. Qualquer ferramenta que use redes neurais sem geração ordenada está provavelmente a operar muito abaixo do seu potencial de eficiência. Exija funcionalidades semelhantes ao SOPG em auditores de senhas comerciais e de código aberto.
Para Investigadores: Este é um apelo claro para parar de tratar a geração como uma reflexão tardia. O paradigma SOPG deve ser aplicado e testado noutros modelos de segurança autoregressivos (por exemplo, para geração de malware, geração de texto de phishing). Investigue os compromissos entre a profundidade da busca (largura do feixe) e o desempenho.
Para Defensores & Criadores de Políticas: O cenário de ataque acabou de mudar. O tempo para quebrar muitos hashes de senhas, especialmente os mais fracos, efetivamente diminuiu. Isto acelera a urgência para a adoção generalizada de MFA resistente a phishing (como defendido pela NIST e CISA) e a depreciação das senhas como único fator de autenticação. O SOPG não é apenas um melhor quebrador; é um argumento poderoso para a era pós-palavra-passe.