Parolalar, basitlikleri ve esneklikleri nedeniyle kullanıcı kimlik doğrulamasında en yaygın yöntem olmaya devam etmektedir. Ancak, güvenlikleri sürekli olarak parola kırma girişimleriyle sınanmaktadır. Sözlük saldırıları için aday parolalar üretme süreci olan parola tahmini, hem saldırgan güvenlik testlerinin hem de savunma amaçlı parola gücü değerlendirmesinin temel taşıdır. Kural tabanlı sezgisel yöntemlerden Markov zincirleri ve PCFG gibi istatistiksel modellere kadar geleneksel yöntemler, çeşitlilik ve verimlilik açısından doğal sınırlamalara sahiptir. Derin öğrenmenin, özellikle de otoregresif sinir ağlarının ortaya çıkışı, bir paradigma değişimi vaat etmiştir. Ancak, kritik bir gözden kaçırma, üretim yönteminin kendisi olmuştur. Bu modellerden standart rastgele örnekleme, tekrarlar ve sırasız çıktılar üretir ve bu da parola saldırılarının pratik verimliliğini büyük ölçüde düşürür. Bu makale, otoregresif bir modeli parolaları neredeyse mükemmel bir şekilde azalan olasılık sırasına göre üretmeye zorlayan ve bu temel kusuru gideren yeni bir yöntem olan SOPG (Arama Tabanlı Sıralı Parola Üretimi)'yi tanıtmaktadır.
Bu alan farklı aşamalardan geçerek evrimleşmiştir: Manuel uzmanlığa dayanan Kural tabanlı numaralandırma (örn., John the Ripper kuralları); sızdırılmış veri kümelerinden kalıpları öğrenen ancak sık sık aşırı uyum gösteren Markov modelleri (OMEN) ve Olasılıksal Bağlamdan Bağımsız Dilbilgisi (PCFG) gibi İstatistiksel modeller; ve mevcut Derin Öğrenme modelleri dönemi.
PassGAN (Üretici Çekişmeli Ağlar tabanlı), VAEPass (Varyasyonel Otokodlayıcılar) ve PassGPT (GPT mimarisi tabanlı) gibi modeller, karmaşık parola dağılımlarını öğrenmek için derin sinir ağlarını kullanır. İstatistiksel modellerden daha iyi nüansları yakalarken, varsayılan rastgele örnekleme yoluyla üretimleri, parolaları olasılık sırasına göre denemenin çok önemli olduğu saldırı senaryoları için verimsizdir.
SOPG yeni bir sinir ağı mimarisi değil, mevcut bir otoregresif modelin (örn., GPT) üzerine uygulanan bir üretim algoritmasıdır. Amacı, modelin çıktı alanını akıllıca tarayarak, tekrarlanmadan, en olası parolaları önce üretmektir.
SOPG, her adımda belirteçleri rastgele örneklemek yerine, bir arama stratejisi kullanır (kavramsal olarak ışın aramasına benzer ancak tam parola üretimi için optimize edilmiştir). Aday parola öneklerinin bir öncelik kuyruğunu tutar ve her zaman en yüksek birikimli olasılığa sahip öneki genişletir. Bu, tam parolaların yaklaşık olarak azalan sırada üretilmesini sağlar.
Parolalar üzerinde bir olasılık dağılımı tanımlayan bir otoregresif model verildiğinde, $P(\mathbf{x})$, burada $\mathbf{x} = (x_1, x_2, ..., x_T)$ bir belirteç (karakter) dizisidir, model olasılığı şu şekilde çarpanlarına ayırır:
$$P(\mathbf{x}) = \prod_{t=1}^{T} P(x_t | x_1, ..., x_{t-1})$$
Rastgele örnekleme, her $t$ adımında $P(x_t | x_1, ..., x_{t-1})$'den $x_t$ üretir. SOPG ise, verilen bir $\mathbf{x}_{
Yazarlar, SOPGesGPT adında somut bir parola tahmin modeli uygulamıştır. Çekirdek otoregresif model olarak GPT tarzı bir dönüştürücü mimarisi kullanır ve gerçek sızdırılmış büyük parola külliyatları üzerinde eğitilmiştir. Temel fark, parola üretiminin standart örnekleme yerine SOPG algoritması kullanılarak yapılmasıdır, bu da onu sıralı üretimi doğal olarak entegre eden ilk model yapar.
%35.06
Test kümesinde SOPGesGPT
%81
Daha yüksek kapsama
%254
Daha yüksek kapsama
Makale, öncelikle SOPG'nin aynı temel model üzerinde rastgele örneklemeye üstünlüğünü göstermektedir. Temel Bulgular:
SOPGesGPT, "tek site testinde" (aynı ihlalden alınan verilerle eğitim ve test) başlıca modellere karşı karşılaştırıldı: OMEN, FLA, PassGAN, VAEPass ve çağdaş PassGPT.
Sonuçlar çarpıcıdır. Kapsama oranı (belirli bir tahmin limiti içinde kırılan test kümesi parolalarının yüzdesi) açısından, SOPGesGPT %35.06'ya ulaşmıştır. Bu, öncüllerine göre büyük bir iyileşme anlamına gelir:
Çerçeve: Bir parola tahmin modelini değerlendirmek çok yönlü bir analiz gerektirir: 1) Mimari Sağlamlık (model seçimi), 2) Üretim Verimliliği (saniyedeki tahmin sayısı, tekrarlar), 3) Saldırı Verimliliği (kapsama oranı vs. tahmin sayısı eğrisi) ve 4) Genelleme (görülmemiş veri kalıpları üzerindeki performans). Çoğu araştırma (1) ve (3)'e odaklanır. SOPG, (2) üzerinde kesin bir şekilde yenilik yapar ve bu da (3)'ü doğrudan optimize eder.
Örnek Vaka - Parola Gücü Değerlendirmesi: Bir güvenlik firması yeni bir parola politikasını denetlemek istiyor. Rastgele örneklemeli standart bir PassGPT modeli kullanarak, 10 milyon tahmin üretmek X saat sürebilir ve bir test sözlüğünün Y%'sini kırabilir. SOPGesGPT'yi (aynı mimari, SOPG üretimi) kullanarak, aynı Y%'yi kırmak için yalnızca 2 milyon tahmin üretmesi gerekebilir ve denetimi çok daha kısa sürede tamamlayabilir. Ayrıca, sıralı liste net bir ısı haritası sağlar: ilk 100.000 SOPG parolası, modele göre "en olası" kümeyi temsil eder ve politikanın yüksek olasılıklı saldırılara karşı savunmasızlığı konusunda kesin bir içgörü sunar.
Uygulamalar:
Makalenin parlaklığı, kritik ancak gözden kaçırılmış bir darboğaza yaptığı cerrahi vuruşta yatmaktadır. Yıllardır, GAN'lardan Dönüştürücülere kadar mimari sıçramalara hayran kalan parola tahmini topluluğu, üretim adımını çözülmüş bir problem olarak gördü—sadece dağılımdan örnekle. Jin ve arkadaşları bunu, saldırı kullanım durumu için felaket bir verimsizlik olarak doğru bir şekilde tanımlamaktadır. SOPG sorunu yeniden çerçeveler: sorun dağılımı daha iyi öğrenmek değil, onu en uygun şekilde taramaktır. Bu, hazine yerlerinin mükemmel bir haritasına (sinir ağı) sahip olmak ama onları bulmak için daha önce rastgele bir yürüyüş kullanmak gibidir, SOPG ise öncelikli bir yol haritası sağlar. Aynı GPT mimarisini kullanan PassGPT'ye göre çarpıcı %81'lik iyileşme, noktayı kanıtlamaktadır: son görev performansı için üretim algoritması, modelin kendisinden daha önemli olabilir.
Argüman ikna edici ve doğrusaldır: 1) Parola saldırıları, verimlilik için tahminleri olasılık sırasına göre denemeyi gerektirir. 2) Otoregresif modeller bu olasılık dağılımını öğrenir. 3) Bu modellerden rastgele örnekleme, sıralı bir liste üretemez ve israfla doludur. 4) Bu nedenle, modelin yapısından yararlanarak sıralı bir liste üreten bir arama algoritmasına ihtiyacımız var. 5) SOPG, belirteç ağacı üzerinde en iyi önce arama yoluyla uygulanan bu algoritmadır. 6) Sonuçlar, hipotezi ezici nicel kanıtlarla doğrular. Akış, klasik problem-çözüm-doğrulama yapısını yansıtır ve hassasiyetle yürütülür.
Güçlü Yönler: Kavram zarif bir şekilde basit ve güçlü bir şekilde etkilidir. Deneysel tasarım sağlamdır, tüm ilgili temel çizgilere karşı karşılaştırma yapar. Verimlilik kazanımları marjinal değildir; pratik kırma senaryoları için oyun değiştiricidir. Çalışma, güvenlik modelleri için üretim optimizasyonu adında yeni bir alt alan açar.
Kusurlar & Sorular: Makale, SOPG aramasının kendisinin basit örneklemeye kıyasla hesaplama yüküne işaret eder ancak derinlemesine incelemez. Belirli bir kapsama için gereken toplam çıkarım sayısını azaltırken, aramadaki her çıkarım adımı daha karmaşıktır (bir yığın tutma). Bir karmaşıklık analizine ihtiyaç vardır. Ayrıca, "tek site testi" standart ancak sınırlı bir değerlendirmedir. SOPG, "çapraz site" ortamında (LinkedIn sızıntıları üzerinde eğitim, RockYou üzerinde test) dağılım kaydığında nasıl genelleşir? Modelin olasılık sıralaması dağılım dışı verilerde zayıfsa, sıralı üretim daha az etkili olabilir. Son olarak, yazarların gelecekteki çalışmalarda belirttiği gibi, bu verimliliğin kendisi bir savunma tepkisi gerektirir—SOPG'nin kendisi, yeni nesil parola karma ve güçlendirme teknikleri araştırmasını hızlandıracaktır.
Güvenlik Uygulayıcıları İçin: Parola politika test araçlarınızı derhal yeniden değerlendirin. Sıralı üretim olmadan sinir ağları kullanan herhangi bir araç, potansiyel verimliliğinin çok altında çalışıyor olabilir. Ticari ve açık kaynaklı parola denetçilerinde SOPG benzeri özellikler talep edin.
Araştırmacılar İçin: Bu, üretimi sonradan düşünülen bir şey olarak görmeyi bırakma çağrısıdır. SOPG paradigması, diğer otoregresif güvenlik modellerine (örn., kötü amaçlı yazılım üretimi, kimlik avı metni üretimi için) uygulanmalı ve test edilmelidir. Arama derinliği (ışın genişliği) ve performans arasındaki dengeler araştırılmalıdır.
Savunmacılar & Politika Yapıcılar İçin: Saldırı manzarası az önce değişti. Birçok parola karmasının, özellikle daha zayıf olanların kırılma süresi etkin bir şekilde azaldı. Bu, NIST ve CISA tarafından savunulan kimlik avına dayanıklı ÇFA'nın (Çok Faktörlü Kimlik Doğrulama) yaygın benimsenmesi ve parolaların tek kimlik doğrulama faktörü olarak kullanımdan kaldırılması aciliyetini hızlandırır. SOPG sadece daha iyi bir kırıcı değil; aynı zamanda parola sonrası dönem için güçlü bir argümandır.