Пароли остаются наиболее распространённым методом аутентификации пользователей благодаря своей простоте и гибкости. Однако их безопасность постоянно подвергается испытаниям попытками взлома. Подбор паролей — процесс генерации кандидатов для словарных атак — является краеугольным камнем как для тестирования на проникновение, так и для оценки стойкости паролей в защитных целях. Традиционные методы, от эвристик на основе правил до статистических моделей, таких как цепи Маркова и PCFG, имеют врождённые ограничения в разнообразии и эффективности. Появление глубокого обучения, в частности авторегрессионных нейронных сетей, обещало смену парадигмы. Однако критическим упущением оказался сам метод генерации. Стандартная случайная выборка из этих моделей производит дубликаты и неупорядоченные выходные данные, что резко снижает практическую эффективность атак на пароли. В данной статье представлен SOPG (Search-Based Ordered Password Generation — поисковое упорядоченное генерирование паролей), новый метод, который заставляет авторегрессионную модель генерировать пароли в почти идеальном порядке убывания вероятности, устраняя этот фундаментальный недостаток.
Область прошла через различные этапы: Перебор на основе правил (например, правила John the Ripper), который полагается на экспертные знания; Статистические модели, такие как модели Маркова (OMEN) и Вероятностная контекстно-свободная грамматика (PCFG), которые изучают паттерны из утёкших наборов данных, но часто страдают от переобучения; и текущая эра Моделей глубокого обучения.
Модели, такие как PassGAN (на основе генеративно-состязательных сетей), VAEPass (вариационные автоэнкодеры) и PassGPT (на основе архитектуры GPT), используют глубокие нейронные сети для изучения сложных распределений паролей. Хотя они улавливают нюансы лучше статистических моделей, их генерация по умолчанию через случайную выборку неэффективна для сценариев атаки, где критически важно перебирать пароли в порядке их вероятности.
SOPG — это не новая архитектура нейронной сети, а алгоритм генерации, применяемый поверх существующей авторегрессионной модели (например, GPT). Его цель — интеллектуально обходить пространство выходных данных модели, генерируя сначала наиболее вероятные пароли без повторений.
Вместо случайной выборки токенов на каждом шаге SOPG использует стратегию поиска (концептуально схожую с лучевым поиском, но оптимизированную для генерации полных паролей). Он поддерживает очередь с приоритетом для кандидатов-префиксов паролей, всегда расширяя префикс с наибольшей кумулятивной вероятностью. Это гарантирует, что полные пароли генерируются приблизительно в порядке убывания вероятности.
Для авторегрессионной модели, определяющей распределение вероятностей паролей $P(\mathbf{x})$, где $\mathbf{x} = (x_1, x_2, ..., x_T)$ — последовательность токенов (символов), модель факторизует вероятность как:
$$P(\mathbf{x}) = \prod_{t=1}^{T} P(x_t | x_1, ..., x_{t-1})$$
Случайная выборка генерирует $x_t$ из $P(x_t | x_1, ..., x_{t-1})$ на каждом шаге $t$. SOPG же для заданного префикса $\mathbf{x}_{
Авторы реализуют конкретную модель для подбора паролей под названием SOPGesGPT. В её основе лежит авторегрессионная модель на базе архитектуры трансформера в стиле GPT, обученная на больших корпусах реальных утёкших паролей. Ключевое отличие заключается в том, что генерация паролей выполняется с использованием алгоритма SOPG вместо стандартной выборки, что делает её первой моделью, изначально интегрирующей упорядоченную генерацию.
35.06%
SOPGesGPT на тестовом наборе
81%
Более высокое покрытие
254%
Более высокое покрытие
В статье сначала демонстрируется превосходство SOPG над случайной выборкой на одной и той же базовой модели. Ключевые выводы:
SOPGesGPT сравнивался в «односайтовом тесте» (обучение и тестирование на данных одного утечка) с основными моделями: OMEN, FLA, PassGAN, VAEPass и современным PassGPT.
Результаты поразительны. По показателю процента покрытия (доля паролей из тестового набора, взломанных в пределах заданного лимита попыток) SOPGesGPT достиг 35.06%. Это представляет собой огромный прогресс по сравнению с предшественниками:
Структура: Оценка модели подбора паролей требует многогранного анализа: 1) Архитектурная обоснованность (выбор модели), 2) Эффективность генерации (попыток в секунду, дубликаты), 3) Эффективность атаки (кривая процента покрытия в зависимости от числа попыток) и 4) Обобщающая способность (работа на новых паттернах данных). Большинство исследований сосредоточено на (1) и (3). SOPG решительно инновационен в (2), что напрямую оптимизирует (3).
Пример — Оценка стойкости паролей: Компания по безопасности хочет провести аудит новой политики паролей. Используя стандартную модель PassGPT со случайной выборкой, генерация 10 миллионов попыток может занять X часов и взломать Y% тестового словаря. Используя SOPGesGPT (та же архитектура, генерация SOPG), для взлома тех же Y% может потребоваться сгенерировать всего 2 миллиона попыток, завершив аудит за долю времени. Более того, упорядоченный список предоставляет чёткую тепловую карту: первые 100 000 паролей SOPG представляют «наиболее вероятный» набор согласно модели, давая точное представление об уязвимости политики к высоковероятным атакам.
Применения:
Блеск статьи заключается в её точечном ударе по критическому, но упускаемому из виду узкому месту. В течение многих лет сообщество, занимающееся подбором паролей, очарованное архитектурными скачками от GAN к трансформерам, рассматривало этап генерации как решённую проблему — просто делай выборку из распределения. Jin и др. правильно идентифицируют это как катастрофическую неэффективность для сценария атаки. SOPG переосмысливает проблему: дело не в том, чтобы лучше изучить распределение, а в том, чтобы оптимально его обойти. Это похоже на наличие идеальной карты сокровищ (нейронная сеть), но ранее использовался случайный блуждающий поиск, в то время как SOPG предоставляет приоритизированный маршрут. Ошеломляющее улучшение на 81% по сравнению с PassGPT, который использует ту же архитектуру GPT, доказывает это: алгоритм генерации может иметь большее значение для итоговой производительности задачи, чем сама модель.
Аргументация убедительна и линейна: 1) Атаки на пароли требуют перебора попыток в порядке их вероятности для эффективности. 2) Авторегрессионные модели изучают это распределение вероятностей. 3) Случайная выборка из этих моделей не даёт упорядоченного списка и полна потерь. 4) Следовательно, нужен алгоритм поиска, который использует структуру модели для создания упорядоченного списка. 5) SOPG — это тот самый алгоритм, реализованный через поиск по наилучшему совпадению по дереву токенов. 6) Результаты подтверждают гипотезу подавляющими количественными доказательствами. Последовательность отражает классическую структуру «проблема-решение-валидация», выполненную с точностью.
Сильные стороны: Концепция элегантно проста и мощно эффективна. Экспементальный дизайн надёжен, включает сравнение со всеми релевантными базовыми методами. Улучшения в эффективности не маргинальны; они меняют правила игры для практических сценариев взлома. Работа открывает новую подотрасль: оптимизация генерации для моделей безопасности.
Недостатки и вопросы: В статье намекается, но не глубоко исследуется вычислительная нагрузка самого поиска SOPG по сравнению с простой выборкой. Хотя он сокращает общее количество обращений к модели для заданного покрытия, каждый шаг поиска сложнее (поддержание кучи). Необходим анализ сложности. Кроме того, «односайтовый тест» — стандартная, но ограниченная оценка. Как SOPG обобщается в «кросс-сайтовой» настройке (обучение на утечках LinkedIn, тестирование на RockYou), где распределение меняется? Упорядоченная генерация может быть менее эффективной, если ранжирование вероятностей модели плохо работает на данных вне распределения. Наконец, как отмечают авторы в будущей работе, сама эта эффективность требует защитного ответа — SOPG сам станет катализатором исследований в области хеширования паролей следующего поколения и методов усиления защиты.
Для Специалистов по безопасности: Немедленно пересмотрите инструменты тестирования политик паролей. Любой инструмент, использующий нейронные сети без упорядоченной генерации, скорее всего, работает далеко не на полную потенциальную эффективность. Требуйте функций, подобных SOPG, в коммерческих и открытых аудиторах паролей.
Для Исследователей: Это призыв перестать рассматривать генерацию как второстепенную задачу. Парадигму SOPG следует применять и тестировать на других авторегрессионных моделях безопасности (например, для генерации вредоносного ПО, фишинговых текстов). Исследуйте компромиссы между глубиной поиска (шириной луча) и производительностью.
Для Защитников и политиков: Ландшафт угроз только что изменился. Время взлома многих хешей паролей, особенно слабых, фактически сократилось. Это ускоряет необходимость широкого внедрения устойчивой к фишингу многофакторной аутентификации (как это пропагандируют NIST и CISA) и отказа от паролей как единственного фактора аутентификации. SOPG — не просто лучший взломщик; это веский аргумент в пользу эпохи после паролей.