SOPG: Arama Tabanlı Sıralı Parola Üretim Yöntemi – Otoregresif Sinir Ağlarına Yönelik

İçindekiler

1. Giriş

Şifreler, bugün hala en yaygın kullanılan kullanıcı kimlik doğrulama yöntemidir. Bu nedenle, şifre tahmini hem saldırgan güvenlik testlerinin (kırma) temeli hem de savunma gücü değerlendirmesinin dayanağı olarak, siber güvenlik araştırmalarının kilit bir bileşenidir. Geleneksel yöntemler, kural tabanlı numaralandırmadan Markov zincirleri ve PCFG gibi istatistiksel modellere kadar, verimlilik ve çeşitlilik açısından doğal sınırlamalara sahiptir. Derin öğrenmenin yükselişi, özellikle de otoregresif sinir ağları, bir paradigma değişimine işaret etmektedir. Ancak, her zaman kritik bir darboğaz mevcuttur: standart rastgele örnekleme üretim yöntemi. Bu, şifre tekrarlarına yol açar ve daha da olumsuz olarak, üretim sırası rastgele olduğu için saldırganları büyük ve verimsiz listeleri taramaya zorlar. Bu makale, otoregresif şifre tahmin modellerinin şifreleri yaklaşık olasılık azalan sırayla üretmesini sağlayarak saldırı verimliliğini önemli ölçüde artırmayı amaçlayan yeni bir yaklaşım olan SOPG'yi (Arama Tabanlı Sıralı Şifre Üretimi) tanıtmaktadır.

2. Arka Plan ve İlgili Çalışmalar

2.1 Şifre Tahmin Tekniklerinin Evrimi

Şifre tahmin teknolojileri farklı gelişim aşamalarından geçmiştir. Erken dönem yöntemleri,dictionary attackve manuel olarak oluşturulmuşDeformasyon kuralları(örneğin John the Ripper), bu yöntemler sezgisel özelliklere sahiptir ve deneyime dayanır. Büyük ölçekli parola sızıntı olaylarının (2009'daki RockYou gibi) patlaması, veri odaklıİstatistiksel Yöntemler。Markov Modeli(Weir ve diğerleri, 2009) veOlasılıksal Bağlamdan Bağımsız Dilbilgisi (PCFG)(Ma et al., 2014) daha sistematik, olasılık temelli bir üretim çerçevesi sunar, ancak bunlar aşırı uyum riski taşır ve şifre yapılarındaki karmaşık, uzun menzilli bağımlılıkları modelleme yeteneğinden yoksundur.

2.2 Sinir Ağı Yöntemleri

Derin öğrenme modelleri, özellikle PassGAN (Hitaj ve diğerleri, 2017) gibiGenerative Adversarial Networks (GAN)ve LSTM veya GPT mimarilerine dayananotoregresif modeller, doğrudan verilerden şifrelerin olasılık dağılımını öğrenebilirler. Oldukça çeşitli ve gerçekçi şifreler üretebilirler. Ancak, genellikle her üretim adımında öğrenilen dağılımdanrastgele örnekleme(örneğin, polinom örnekleme) yaparlar. Bu temel süreç, tam şifre olasılığının küresel sıralamasıyla ilgili değildir ve SOPG'nin çözmeyi hedeflediği verimsizlik sorununa yol açar.

3. SOPG Yöntemi

3.1 Temel Kavramlar

SOPG, şifre oluşturma problemini rastgele örnekleme problemindenyönlendirilmiş arama problemineBir sonraki karakteri rastgele seçmek yerine, olası şifre devam alanını keşfetmek için bir arama algoritması (muhtemelen ışın araması veya en iyi öncelikli arama varyantı) kullanır ve daha yüksek tahmini olasılığa sahip tam şifrelere yol açabilecek yolları keşfetmeye öncelik verir. Amacı, gerçek $P(şifre|model)$ olasılığına göre azalan sıralamaya çok yakın bir düzende şifre listesi çıktılamaktır.

3.2 Arama Algoritmaları

PDF özeti spesifik algoritmayı ayrıntılandırmasa da, tarif edilen davranış, aday şifre öneklerinin bir öncelik kuyruğunu sürdüren bir yöntemi ima eder. Her adımda, en umut verici öneki (en yüksek kümülatif olasılığa sahip), sinir ağına sorgu atarak bir sonraki karakterin dağılımını alarak genişletir ve böylece yeni aday şifreler üretir. Şifre uzayının yüksek olasılıklı bölgelerini öncelikle sistematik olarak keşfederek, en olası şifrelerin erken üretilmesini sağlar ve özünde tekrarları önler.

3.3 SOPGesGPT Modeli

Yazarlar, yöntemlerini GPT tabanlı bir mimari üzerinde gerçekleştirerek,SOPGesGPTGPT modeli (örneğin, yalnızca kod çözücü Transformer) sızdırılan şifre veri seti üzerinde, dizideki bir sonraki karakteri tahmin etmek için eğitilir. Daha sonra, SOPG standart örneklemenin yerine, bu eğitilmiş modelin üzerine bir üretim/çıkarım yöntemi olarak uygulanır.

4. Teknik Detaylar ve Matematiksel İfade

Otoregresif model, bir şifrenin $\mathbf{x} = (x_1, x_2, ..., x_T)$ olasılığını koşullu olasılıkların çarpımı olarak tanımlar:

Kavramsal olarak, SOPG, $\mathbf{x}$ dizilerini $P(\mathbf{x})$ azalan sırasına göre bulmayı ve çıktılamayı amaçlar. Bu, düğümlerin önekler, kenar maliyetlerinin $-\log P(x_t | \text{önek})$ ile ilişkili olduğu ve amacın toplam maliyeti artan (yani olasılığı azalan) sırayla yolları (şifreleri) numaralandırmak olduğu bir ağaçtaki en kısa yol arama problemi olarak görülebilir. GibiTekdüzen Maliyet Arama (UCS)veya sınırlı bir varyantı olan – geniş bir ışın genişliği ve dinamik budama ileIşın Arama——Bu tür bir algoritma, bu yaklaşık sıralamayı gerçekleştirebilir. Anahtar nokta, arama cephesinin mevcut yolun olasılık puanına göre öncelikli olarak sıralanmasıdır.

5. Deney Sonuçları ve Analizi

5.1 Rastgele Örnekleme ile Karşılaştırma

Makale, aynı temel model üzerinde SOPG ile standart rastgele örneklemenin karşılaştırılmasına ilişkin güçlü sonuçlar sunmaktadır. Ana bulgular:

• Sıfır Tekrar:SOPG benzersiz listeler üretirken, rastgele örnekleme hesaplama kaynaklarını boşa harcayan birçok tekrar üretir.
• Üstün Saldırı Verimliliği:Aynı seviyeye ulaşmak içinKapsama Oranı(Test kümesinde kırılan şifrelerin yüzdesi), SOPG gerektirirÇok daha azRastgele örneklenmiş model çıkarım sayısı ve üretirÇok daha küçük toplam listeBu, gerçek dünya senaryolarında doğrudan daha hızlı şifre kırma hızlarına dönüşür.

5.2 Öncü Teknolojilerle Kıyaslama

SOPGesGPT, önde gelen şifre tahmin modelleriyle kıyaslanmıştır: OMEN (Markov), FLA, PassGAN (GAN), VAEPass (VAE) ve çağdaşı PassGPT. Tek siteli testlerde:

• Kapsama Oranı:SOPGesGPT,35.06%OMEN'den %254, FLA'dan %298, PassGAN'dan %421, VAEPass'tan %380 ve PassGPT'den %81 daha yüksek.
• Etkinlik oranı:Makale ayrıca, erken aşamada oluşturulan şifrelerin kalitesi veya isabet oranıyla ilgili bir metrik olabilecek "etkinlik oranı"nda da önde olduğunu iddia etmektedir; bu tam da SOPG'nin ana avantajıdır.

6. Analiz Çerçevesi ve Vaka Örnekleri

Parola Tahmin Modellerini Değerlendirme Çerçevesi:

1. Model Mimarisi ve Eğitimi:Temel sinir ağları nelerdir (GAN, VAE, Otoregresif Transformer)? Nasıl eğitilirler?
2. Üretim Yöntemleri:Eğitilmiş bir modelden nasıl şifre üretilir? (Örneğin, rastgele örnekleme, ışın araması, SOPG). Bu, makalenin odak noktasıdır.
3. Sıralama ve Verimlilik:Bu yöntem, şifreleri kullanışlı bir sırayla (olasılık azalan) üretiyor mu? Hesaplama/tahmin verimliliği nasıl?
4. Çeşitlilik ve Tekrarlanabilirlik:Yeni şifreler mi üretiyor yoksa çok sayıda tekrarlanan şifre mi?
5. Temel Performans:Standart veri setlerinde (örneğin RockYou) kapsama oranı, etkinlik oranı ve hız.

Kod Olmayan Örnek Vaka:İki saldırgan olan Alice ve Bob'un aynı eğitilmiş GPT şifre modelini kullandığını varsayalım. Alice standart rastgele örnekleme kullanır. Bob ise SOPG kullanır. 1000 şifreden oluşan bir test setini kırmak için, Alice'in yazılımının 350'sini kırmak için %30'u tekrar eden 10 milyon tahmin üretmesi gerekebilir. Bob ise SOPG destekli yazılımı kullanarak, aynı 350 şifreyi kırmak için yalnızca en uygun sırayla dizilmiş 1 milyon benzersiz tahmin üretebilir. Bob'un saldırı kaynak verimliliği 10 kat artmıştır ve işlemi daha hızlı tamamlar.

7. Uygulama Öngörüleri ve Gelecek Yönelimler

Doğrudan Uygulama:

• Aktif Parola Gücü Testi:Güvenlik ekipleri, SOPG ile geliştirilmiş modeli kullanarak, öncelikle en olası saldırı vektörlerini oluşturarak önerilen parola politikalarını daha verimli bir şekilde denetleyebilir.
• Adli Parola Kurtarma:Yasal şifre kurtarma araçları, sınırlı zaman/hesaplama bütçesi içinde başarı oranını artırmak için SOPG'yi entegre edebilir.

• Hibrit model:SOPG'nin sıralı üretimini diğer mimarilerin avantajlarıyla birleştirmek (örneğin, büyük dil modellerinden gelen anlamsal bilgiyi entegre etmek).
• Uyarlanabilir/Çevrimiçi SOPG:Kısmi saldırı sonuçlarının geri bildirimine dayanarak arama stratejisini gerçek zamanlı olarak değiştirmek.
• Savunma karşı önlemleri:SOPG gibi sıralı, olasılık odaklı saldırılara karşı dirençli olacak şekilde yeni şifre karma veya depolama teknolojileri araştırmak.
• Parolanın Ötesinde:Sıralı üretim paradigmasını, olası kimlik avı URL'leri veya kötü amaçlı yazılım varyantları gibi diğer güvenlik alanlarına uygulamak.

8. Kaynakça

1. Weir, M., Aggarwal, S., Medeiros, B., & Glodek, B. (2009). Password Cracking Using Probabilistic Context-Free Grammars. In IEEE Symposium on Security and Privacy.
2. Ma, J., Yang, W., Luo, M., & Li, N. (2014). A Study of Probabilistic Password Models. In IEEE Symposium on Security and Privacy.
3. Hitaj, B., Gasti, P., Ateniese, G., & Perez-Cruz, F. (2017). PassGAN: A Deep Learning Approach for Password Guessing. In Uygulamalı Kriptografi ve Ağ Güvenliği Uluslararası Konferansı.
4. Goodfellow, I., et al. (2014). Generative Adversarial Nets. Sinirsel Bilgi İşleme Sistemlerindeki Gelişmeler.
5. Radford, A., Wu, J., Child, R., Luan, D., Amodei, D., & Sutskever, I. (2019). Language Models are Unsupervised Multitask Learners. OpenAI Blog.
6. Melicher, W., et al. (2016). Fast, Lean, and Accurate: Modeling Password Guessability Using Neural Networks. In USENIX Security Symposium.

9. Özgün Analiz ve Uzman Yorumları