SOPG: توليد كلمات المرور المُرتّبة القائم على البحث للشبكات العصبية ذاتية الانحدار

1. المقدمة

لا تزال كلمات المرور الطريقة الأكثر شيوعًا لمصادقة المستخدمين، حيث توازن بين البساطة والفعالية. ومع ذلك، فإن أمانها يتعرض لتحدٍ دائم من خلال هجمات تخمين كلمات المرور، والتي تُعد عنصرًا حاسمًا في كل من اختبارات الأمان الهجومية وتقييم القوة الدفاعية. للمنهجيات التقليدية، من العدّ القائم على القواعد إلى النماذج الإحصائية مثل سلاسل ماركوف وPCFG، قيود جوهرية في التنوع والكفاءة. ظهور التعلم العميق، وخاصة الشبكات العصبية ذاتية الانحدار، وعد بتحول نموذجي. ومع ذلك، استمر وجود إغفال حاسم: طريقة التوليد نفسها. تقنيات أخذ العينات القياسية تُدخل العشوائية، مما ينتج عنه كلمات مرور مكررة ومخرجات غير مرتبة، مما يعيق بشدة كفاءة الهجوم. تقدم هذه الورقة البحثية SOPG (توليد كلمات المرور المُرتّبة القائم على البحث)، وهي طريقة جديدة تُجبر النماذج ذاتية الانحدار على توليد كلمات المرور بترتيب تنازلي تقريبي للاحتمال، مما يُحدث ثورة في كفاءة تخمين كلمات المرور القائم على الشبكات العصبية.

2. الخلفية والأعمال ذات الصلة

3. طريقة SOPG

4. التفاصيل التقنية والصياغة الرياضية

بالنظر إلى نموذج ذاتي الانحدار (مثل GPT)، فإن احتمالية تسلسل كلمة المرور $S = (s_1, s_2, ..., s_T)$ تُحلل على النحو التالي: $$P(S) = \prod_{t=1}^{T} P(s_t | s_1, ..., s_{t-1})$$ حيث $s_t$ هو الرمز في الموضع $t$، و $P(s_t | s_1, ..., s_{t-1})$ هو توزيع الاحتمال الناتج للنموذج.

يقوم أخذ العينات العشوائي القياسي بسحب $s_t$ من هذا التوزيع، مما يؤدي إلى مسار عشوائي. على النقيض من ذلك، تهدف SOPG إلى إيجاد التسلسل $S^*$ الذي يعظم $P(S)$ أو يعدّ بشكل منهجي التسلسلات عالية الاحتمال. يمكن النظر إلى هذا على أنه: $$S^* = \arg\max_{S \in \mathcal{V}^*} P(S)$$ حيث $\mathcal{V}^*$ هي مجموعة جميع التسلسلات الممكنة حتى طول أقصى. البحث الشامل غير ممكن عمليًا. لذلك، تستخدم SOPG خوارزمية بحث مستنيرة (مثل $A^*$ بتكلفة لوغاريتم الاحتمال) لتقريب هذا العدّ المُرتّب بكفاءة. يستخدم البحث اللوغاريتم السالب للاحتمال كتكلفة: $\text{cost}(S) = -\sum_{t=1}^{T} \log P(s_t | s_1, ..., s_{t-1})$. تهدف الخوارزمية إلى إخراج التسلسلات بترتيب تكلفة متزايد.

5. النتائج التجريبية والتحليل

6. إطار التحليل ومثال توضيحي

الإطار: رُباعية كفاءة تخمين كلمات المرور
يمكننا تحليل النماذج على محورين: قدرة النموذج (القدرة على تعلم توزيعات معقدة، على سبيل المثال GPT > ماركوف) و كفاءة التوليد (الترتيب الأمثل للمخرجات).

• الرُباعية الأولى (قدرة عالية، كفاءة منخفضة): PassGPT، VAEPass. نماذج قوية معطلة بأخذ العينات العشوائي.
• الرُباعية الثانية (قدرة عالية، كفاءة عالية): SOPGesGPT. الحالة المستهدفة التي حققها هذا العمل.
• الرُباعية الثالثة (قدرة منخفضة، كفاءة منخفضة): الهجمات الأساسية القائمة على القواعد.
• الرُباعية الرابعة (قدرة منخفضة، كفاءة عالية): OMEN، FLA. توليدها مرتب بطبيعته (حسب الاحتمال) لكن قدرة نموذجها تحد من الأداء النهائي.

7. آفاق التطبيق والاتجاهات المستقبلية

التطبيقات الفورية:

• التقييم الاستباقي لقوة كلمات المرور: يمكن لشركات الأمن استخدام أدوات مدعومة بـ SOPG لمراجعة سياسات كلمات المرور عن طريق توليد أكثر تخمينات الهجوم احتمالاً بسرعة أكبر بمقدار أضعاف مضاعفة، مما يوفر تقييمات واقعية للمخاطر.
• الطب الشرعي الرقمي والاستعادة القانونية: تسريع استعادة كلمات المرور في التحقيقات القانونية حيث الوقت عامل حاسم.

• استراتيجيات البحث الهجينة: الجمع بين SOPG وعشوائية محدودة لاستكشاف تخمينات "إبداعية" ذات احتمال أقل قليلاً ولكنها قد تكون مثمرة في وقت مبكر، موازنةً بين الاستغلال والاستكشاف.
• البsearch المُسرّع بالأجهزة: تنفيذ خوارزمية البحث على وحدات معالجة الرسومات/وحدات معالجة الموترات لتقييم المرشحين بالتوازي، مما يقلل من النفقات العامة لعملية البحث نفسها.
• ما بعد كلمات المرور: تطبيق نموذج التوليد المُرتّب على مهام النماذج ذاتية الانحدار الأخرى حيث يكون المخرج المُرتّب والفريد ذا قيمة، مثل توليد حالات الاختبار للبرمجيات، أو إنشاء متغيرات تصميم متنوعة بترتيب الجدوى.
• إجراءات مضادة دفاعية: البحث في اكتشاف والدفاع ضد مثل هذه الهجمات الفعالة والمُرتّبة، ربما من خلال دراسة "البصمة" لقائمة تخمين مُولدة بـ SOPG مقابل قائمة عشوائية.

8. المراجع

1. M. Jin, J. Ye, R. Shen, H. Lu, "Search-based Ordered Password Generation of Autoregressive Neural Networks," Manuscript Submitted for Publication.
2. A. Narayanan and V. Shmatikov, "Fast dictionary attacks on passwords using time-space tradeoff," in Proceedings of the 12th ACM conference on Computer and communications security, 2005.
3. M. Weir, S. Aggarwal, B. de Medeiros, and B. Glodek, "Password cracking using probabilistic context-free grammars," in 2009 30th IEEE Symposium on Security and Privacy, 2009.
4. J. Ma, W. Yang, M. Luo, and N. Li, "A study of probabilistic password models," in 2014 IEEE Symposium on Security and Privacy, 2014.
5. B. Hitaj, P. Gasti, G. Ateniese, and F. Perez-Cruz, "PassGAN: A Deep Learning Approach for Password Guessing," in Applied Cryptography and Network Security Workshops, 2019.
6. OpenAI, "Improving Language Understanding by Generative Pre-Training," 2018. [Online]. Available: https://cdn.openai.com/research-covers/language-unsupervised/language_understanding_paper.pdf
7. M. Pasquini, D. Bernardo, and G. Ateniese, "PassGPT: Password Modeling and (Guessing) with Large Language Models," in arXiv preprint arXiv:2306.01745, 2023.

9. التحليل الأصلي والتعليقات الخبيرة