SOPG: Etkin Sinir Ağı Saldırıları için Arama Tabanlı Sıralı Parola Üretimi

1. Giriş

Basitlik ve esneklikleri nedeniyle parolalar, kullanıcı kimlik doğrulamasında baskın yöntem olmaya devam etmektedir. Dolayısıyla, parola tahmini hem saldırgan güvenlik testleri (örn., sızma testi, parola kurtarma) hem de savunma gücü değerlendirmesi için gerekli olan siber güvenlik araştırmalarının kritik bir bileşenidir. Kural tabanlı saldırılardan Markov zincirleri ve PCFG gibi istatistiksel modellere kadar geleneksel yöntemler, ölçeklenebilirlik ve uyarlanabilirlikte doğal sınırlamalara sahiptir. Derin öğrenmenin, özellikle de GPT gibi otoregresif sinir ağlarının ortaya çıkışı, karmaşık parola dağılımlarını doğrudan veriden öğrenerek bir paradigma değişimi sunmaktadır. Ancak önemli bir darboğaz devam etmektedir: üretim yöntemi. Bu modellerden standart rastgele örnekleme, parolaları düzensiz ve genellikle tekrarlayan bir şekilde üretir, bu da sonraki sözlük saldırılarının verimliliğini büyük ölçüde düşürür. Bu makale, SOPG (Arama Tabanlı Sıralı Parola Üretimi) adlı, bir otoregresif modelden parolaları yaklaşık olarak olasılık azalan sırasına göre üreterek saldırı verimliliğini en üst düzeye çıkarmak için tasarlanmış yeni bir yöntemi tanıtmaktadır.

2. Arka Plan & İlgili Çalışmalar

2.1 Parola Tahmininin Evrimi

Parola tahmini farklı aşamalardan geçerek evrimleşmiştir:

• Kural Tabanlı & Sözlük Saldırıları: İlk yöntemler, kelime listelerine ve manuel olarak oluşturulmuş dönüşüm kurallarına (örn., `password123`, `P@ssw0rd`) dayanıyordu. Bunlar sezgiseldir, deneyime bağımlıdır ve sağlam bir teorik temelden yoksundur.
• İstatistiksel Modeller: Büyük düz metin parola veri setlerinin (örn., 2009'da RockYou) sızması, veri odaklı yaklaşımları mümkün kıldı. Markov Modelleri ve Olasılıksal Bağlamdan Bağımsız Dilbilgisi (PCFG) öne çıktı. Parola yapısını ve olasılığını modellerler ancak genellikle aşırı uyum (overfitting) ve üretilen adaylarda sınırlı çeşitlilik sorunları yaşarlar.

2.2 Sinir Ağı Yaklaşımları

Derin öğrenme modelleri, özellikle PassGAN gibi Üretici Çekişmeli Ağlar (GAN'lar) ve PassGPT gibi otoregresif modeller, bir eğitim setindeki parolaların temel olasılık dağılımını öğrenir. Orijinal veride bulunmayan yeni, makul parolalar üretebilirler. Ancak, pratik etkinlikleri, üretim sırasında rastgele örneklemenin naif kullanımıyla engellenir; bu da saldırı verimliliği için optimal sırayı göz ardı eder.

3. SOPG Yöntemi

3.1 Temel Kavram

SOPG, sinirsel parola tahmininin temel verimsizliğini ele alır. Otoregresif üretim sürecinin her adımında rastgele token örneklemek yerine, SOPG, olası parola devamlarının uzayını keşfetmek için (ışın araması gibi tekniklerden esinlenen ancak bu görev için optimize edilmiş) bir arama algoritması kullanır. Tamamlanmış parolaları, model altındaki olasılıklarının azalan sırasına yakın bir sırada önceliklendirir ve çıktılar.

3.2 Arama Algoritması & Sıralı Üretim

Yöntem, parola üretimini bir ağaç üzerinde bir arama problemi olarak ele alır; burada her düğüm kısmi bir parolayı (token dizisini) temsil eder. Modelin olasılık dağılımı aramayı yönlendirir. SOPG, en umut verici kısmi dizileri sistematik olarak genişleterek ve bir aday listesi yöneterek, tekrarsız parolaları ve saldırı için neredeyse optimal bir sırada üretebilir. Bu, modeli bir "parola önericisi"nden "verimli bir parola numaralandırıcısına" dönüştürür.

4. Teknik Uygulama: SOPGesGPT

Yazarlar, SOPGesGPT adında somut bir parola tahmin modeli uygulamıştır. Bu model, en son teknoloji bir otoregresif model olan GPT (Generative Pre-trained Transformer) mimarisine dayanmaktadır. Temel yenilik, modelin mimarisinde değil, kod çözme stratejisindedir. SOPGesGPT, SOPG algoritmasını, tipik GPT uygulamalarında kullanılan standart rastgele örnekleme veya ışın aramasının yerine, üretim/çıkarım yöntemi olarak entegre eder.

5. Deneysel Sonuçlar & Analiz

5.1 Rastgele Örnekleme ile Karşılaştırma

Makale öncelikle SOPG'nin temel avantajını göstermektedir. Aynı temel GPT modeli üzerinde rastgele örneklemeyle karşılaştırıldığında:

• Sıfır Tekrar: SOPG ile üretilen listeler, kapasiteyi tekrarlar üzerinde boşa harcayan rastgele örneklemenin aksine, tekrarlanan parola içermez.
• Üstün Saldırı Verimliliği: Aynı parola kapsamına (örn., bir test setinin %10'u) ulaşmak için SOPG, çok daha az model çıkarımı gerektirir ve çok daha az toplam parola üretir. Bu doğrudan daha hızlı kırma sürelerine ve daha düşük hesaplama kaynağı tüketimine dönüşür.

5.2 En İyi Teknolojilere Karşı Kıyaslama

Önde gelen parola tahmin modellerine—OMEN, FLA, PassGAN, VAEPass ve PassGPT—karşı yapılan bir testte, SOPGesGPT ezici bir üstünlük göstermiştir.

• Kapsama Oranı: SOPGesGPT %35.06 kapsama oranına ulaşmıştır. Bu, sırasıyla OMEN, FLA, PassGAN, VAEPass ve PassGPT'ye göre %254, %298, %421, %380 ve %81'lik bir iyileştirmeyi temsil etmektedir.
• Etkin Oran: Makale ayrıca, üretilen parolaların test setiyle eşleşme kalitesiyle ilgili bir metrik olan "etkin oran" konusunda da lider performans bildirmektedir.

Grafik Çıkarımı: Varsayımsal bir performans grafiği, SOPGesGPT'nin kapsama eğrisinin dik bir şekilde yükseldiğini ve diğer tüm modellerden çok daha yüksek bir seviyede plato yaptığını, "üretilen parolalar vs. elde edilen kapsam" eğrisinin ise rastgele örnekleme taban çizgisinden çok daha verimli olduğunu gösterirdi.

6. Temel Çıkarımlar & Analist Perspektifi

7. Teknik Detaylar & Matematiksel Formülasyon

GPT gibi bir otoregresif model, $x = (x_1, x_2, ..., x_T)$ parolasının olasılığını şu şekilde çarpanlarına ayırır: $$P(x) = \prod_{t=1}^{T} P(x_t | x_{

Rastgele örnekleme, $x_t \sim P(x_t | x_{

8. Analiz Çerçevesi: Kod İçermeyen Bir Vaka Çalışması

"cat123", "dog456", "cat456" gibi parolalar üzerinde eğitilmiş basitleştirilmiş bir model düşünün.

• Rastgele Örnekleme: Şunları üretebilir: "dog456", "cat123", "cat123" (tekrar), "xyz789" (düşük olasılık), "cat456". 3 gerçek parolayı tahmin etmek için 10+ deneme gerekebilir.
• SOPG-benzeri Sıralı Üretim: Sistematik olarak şunları üretir: "cat123" (en yüksek olasılık), "cat456", "dog456". Tüm 3 gerçek parolayı ilk 3 denemede tahmin eder, tekrarlar veya çok düşük olasılıklı dizgiler üzerinde boşa çaba harcamaz.

Bu kavramsal vaka, özellikle saldırı denemeleri sınırlı olduğunda (örn., çevrimiçi hız sınırlaması), sıralamanın etkinliği nasıl dönüştürdüğünü göstermektedir.

9. Gelecekteki Uygulamalar & Araştırma Yönleri

• Parolaların Ötesinde: SOPG paradigması, sıralı çıktının kritik olduğu güvenlik bağlamlarında kullanılan herhangi bir otoregresif modele uygulanabilir; örneğin, saldırı tespit sistemi atlatma testi için kötü amaçlı ağ paketleri üretmek veya kimlik avı e-posta şablonları oluşturmak.
• Diğer Modellerle Entegrasyon: Otoregresif olmayan üretici modeller (örn., GAN'lar, Difüzyon Modelleri) için SOPG'den esinlenen kod çözmeyi keşfetmek ilginç bir zorluk teşkil eder.
• Çekişmeli Eğitim & Savunma: Gelecekteki parola modelleri, verimli bir şekilde numaralandırılması daha zor dağılımlar öğrenmek için SOPG tarzı saldırılara karşı çekişmeli olarak eğitilebilir; bu da üretim ve numaralandırma algoritmaları arasında bir silahlanma yarışı yaratır.
• Gerçek Dünya Kısıtları: SOPG'yi, parola politika kuralları (büyük harf, sembol içermeli) veya kişisel bilgileri (örn., sosyal medyadan) kullanan hedefli saldırılar gibi pratik kısıtlara sahip senaryolara uyarlamak, aramayı harici bilgiyle yönlendirmek için araştırmaya ihtiyaç vardır.
• Açıklanabilirlik & Güvenlik Değerlendirmesi: SOPG'den gelen sıralı liste, parola gücü için doğrudan bir metrik olarak hizmet edebilir—eğer bir kullanıcının parolası, ilgili veriler üzerinde eğitilmiş bir model için listede erken görünüyorsa, bu açıkça zayıf olduğunu gösterir.

10. Referanslar

1. J. Bonneau, "The Science of Guessing: Analyzing an Anonymized Corpus of 70 Million Passwords," IEEE Symposium on Security and Privacy, 2012.
2. M. Weir, S. Aggarwal, B. de Medeiros, and B. Glodek, "Password Cracking Using Probabilistic Context-Free Grammars," IEEE Symposium on Security and Privacy, 2009.
3. I. Goodfellow et al., "Generative Adversarial Networks," Advances in Neural Information Processing Systems (NeurIPS), 2014.
4. A. Radford, K. Narasimhan, T. Salimans, and I. Sutskever, "Improving Language Understanding by Generative Pre-Training," OpenAI, 2018.
5. B. Hitaj, P. Gasti, G. Ateniese, and F. Perez-Cruz, "PassGAN: A Deep Learning Approach for Password Guessing," International Conference on Applied Cryptography and Network Security (ACNS), 2019.
6. National Institute of Standards and Technology (NIST), "Digital Identity Guidelines," NIST Special Publication 800-63B, 2017.
7. M. Jin, J. Ye, R. Shen, H. Lu, "Search-based Ordered Password Generation of Autoregressive Neural Networks," Manuscript Submitted for Publication.