1. Pengenalan
Kata laluan adalah mekanisme pengesahan utama, namun ia mewakili satu kelemahan kritikal. Meter kekuatan kata laluan tradisional, yang bergantung pada peraturan statik seperti keperluan jenis aksara (LUDS), adalah tidak mencukupi untuk menentang serangan tekaan moden. Kaedah ini gagal mengesan corak yang boleh diramal (cth., 'P@ssw0rd1!'), membawa kepada rasa selamat yang palsu. Kertas ini menangani jurang ini dengan mencadangkan sistem penilaian berasaskan pembelajaran mesin yang menilai kekuatan kata laluan dengan lebih tepat dengan belajar daripada data kata laluan dunia sebenar dan kejuruteraan ciri yang canggih.
2. Kerja Berkaitan
Bahagian ini mengkaji evolusi penilaian kekuatan kata laluan, daripada pemeriksa berasaskan peraturan awal kepada kaedah kebarangkalian moden seperti model Markov dan rangkaian neural. Ia mengkritik batasan pendekatan statik yang mengabaikan corak semantik dan kelemahan kontekstual, menyediakan pentas untuk metodologi berasaskan data dan kaya ciri yang dicadangkan.
3. Kaedah yang Dicadangkan
Teras pendekatan kami adalah saluran paip kejuruteraan ciri hibrid yang dimasukkan ke dalam kerangka pembelajaran mesin perbandingan.
3.1. Set Data & Pra-pemprosesan
Set data lebih daripada 660,000 kata laluan dunia sebenar daripada pelanggaran yang diketahui telah digunakan. Kata laluan dilabelkan sebagai 'lemah' atau 'kuat' berdasarkan rintangannya terhadap percubaan retakan (cth., menggunakan alat seperti Hashcat dengan set peraturan biasa).
3.2. Kejuruteraan Ciri Hibrid
Kami melangkaui metrik asas (panjang, entropi) untuk menangkap kelemahan halus:
- Entropi Shannon Dinormalisasikan Leetspeak: Mengira entropi selepas membalikkan penggantian aksara biasa (cth., '@' -> 'a', '3' -> 'e') untuk menilai keacakan sebenar.
- Pengesanan Corak: Mengenal pasti jalan papan kekunci (cth., 'qwerty'), urutan (cth., '12345'), dan aksara berulang.
- N-gram TF-IDF Peringkat Aksara: Mengekstrak subrentetan yang kerap berlaku daripada set data yang dilanggar untuk menandakan serpihan kata laluan yang biasa digunakan semula.
- Pemadanan Kamus: Memeriksa kehadiran perkataan daripada pelbagai kamus (Bahasa Inggeris, nama, tempat).
3.3. Seni Bina Model & Latihan
Empat model telah dilatih dan dibandingkan: Hutan Rawak (RF), Mesin Vektor Sokongan (SVM), Rangkaian Neural Konvolusional (CNN) untuk analisis urutan, dan Regresi Logistik sebagai garis dasar. Set data dibahagikan kepada 70% latihan, 15% pengesahan, dan 15% ujian.
4. Keputusan & Analisis
4.1. Metrik Prestasi
Model Hutan Rawak mencapai prestasi terunggul:
Ketepatan Set Ujian
99.12%
Hutan Rawak
Ketepatan Perbandingan
- SVM: 97.45%
- CNN: 98.01%
- Regresi Logistik: 95.88%
Penerangan Carta: Satu carta bar akan menggambarkan secara visual kelebihan ketepatan yang ketara bagi model RF berbanding tiga model lain. Satu matriks kekeliruan untuk model RF akan menunjukkan negatif palsu yang minimum (mengelaskan kata laluan lemah sebagai kuat), yang kritikal untuk keselamatan.
4.2. Kepentingan Ciri
Kebolehinterpretasian Hutan Rawak membolehkan analisis kepentingan ciri. Penyumbang utama kepada keputusan model adalah:
- Entropi Dinormalisasikan Leetspeak
- Kehadiran Perkataan Kamus
- Skor Corak Papan Kekunci
- Skor TF-IDF untuk 3-gram biasa
- Panjang Kata Laluan Mentah
Analisis ini mengesahkan bahawa ciri baharu (entropi ternormalisasi, corak) adalah lebih diskriminatif berbanding metrik berasaskan panjang tradisional sahaja.
5. Perbincangan & Kerja Masa Depan
Prospek Aplikasi: Sistem penilaian ini boleh disepadukan ke dalam antara muka penciptaan kata laluan masa nyata (cth., semasa pendaftaran pengguna) untuk memberikan maklum balas khusus dan boleh ditindak (cth., "Kata laluan anda mengandungi jalan papan kekunci biasa 'qwerty'."). Ia juga boleh digunakan untuk audit berkala pangkalan data kata laluan sedia ada.
Hala Tuju Masa Depan:
- Pembelajaran Adaptif: Kemas kini model secara berterusan dengan data pelanggaran baharu dan corak serangan yang muncul (cth., tekaan kata laluan dijana AI).
- Konteks Pelbagai Bahasa & Budaya: Kembangkan perpustakaan kamus dan corak untuk merangkumi bahasa bukan Inggeris dan kata laluan khusus budaya.
- Pembelajaran Teragih: Latih model pada data kata laluan terpencar tanpa mendedahkan kata laluan mentah, meningkatkan privasi.
- Integrasi dengan Pengurus Kata Laluan: Gunakan model untuk menilai dan mencadangkan frasa laluan yang kuat, namun mudah diingati.
6. Perspektif Penganalisis: Dekonstruksi Empat Langkah
Wawasan Teras: Kertas ini menyampaikan satu kebenaran penting, namun sering diabaikan: keselamatan kata laluan adalah masalah pengecaman corak, bukan latihan pematuhan peraturan. Penulis mengenal pasti dengan betul bahawa musuh bukan hanya kata laluan pendek, tetapi kata laluan yang boleh diramal—nuansa yang hilang pada kebanyakan alat keselamatan berasaskan pematuhan. Ketepatan 99.12% mereka bukan sekadar nombor; ia adalah tuduhan langsung terhadap pemeriksa berasaskan LUDS yang masih tertanam dalam sistem yang tidak terkira.
Aliran Logik: Hujahnya disusun dengan menarik. Ia bermula dengan membongkar teknologi sedia ada (peraturan statik), mewujudkan keperluan untuk sistem pembelajaran, dan kemudian membina kesnya batu demi batu: set data yang kukuh, kejuruteraan ciri yang bijak (entropi leetspeak adalah satu kejayaan), dan perbandingan model pragmatik. Memilih Hutan Rawak adalah langkah bijak—ia mengorbankan sedikit potensi prestasi pembelajaran mendalam untuk standard emas kebolehinterpretasian, yang tidak boleh dirunding untuk nasihat keselamatan yang menghadap pengguna.
Kekuatan & Kelemahan: Kekuatan adalah jelas dalam set ciri. Melangkaui garis panduan NIST SP 800-63B, mereka menyerang masalah seperti kriptoanalis, bukan birokrat. Kelemahan, seperti mana-mana model berpenyeliaan, adalah pergantungannya pada data sejarah. Ia cemerlang dalam menangkap 'P@ssw0rd1!' semalam, tetapi bagaimana prestasinya terhadap kata laluan yang dicipta AI, diprofilkan psikologi esok? Model itu reaktif, bukan proaktif. Tambahan pula, walaupun set data besar, keterwakilannya terhadap tabiat kata laluan global, pelbagai bahasa tidak terbukti.
Wawasan Boleh Tindak: Untuk CISO, pengambilannya jelas: mewajibkan penilaian penapis kata laluan berasaskan ML untuk sebarang pembangunan aplikasi baharu. Untuk pembangun, cetak biru kejuruteraan ciri adalah emas sumber terbuka—mula melaksanakan pemeriksaan ini sekarang, walaupun sebagai lapisan heuristik mudah di atas sistem sedia ada. Komuniti penyelidikan harus menganggap ini sebagai model asas dan menumpukan usaha pada sempadan seterusnya: latihan adversari untuk menjangka corak serangan baharu, seperti bagaimana rangkaian adversari generatif (GAN) berkembang dalam penglihatan komputer (seperti yang dilihat dalam kertas CycleGAN seminal oleh Zhu et al.) untuk mengendalikan terjemahan imej tidak berpasangan, masalah pemetaan yang sama kompleksnya.
7. Lampiran Teknikal
7.1. Rumusan Matematik
Entropi Dinormalisasikan Leetspeak: Pertama, fungsi normalisasi $N(p)$ memetakan rentetan kata laluan kepada bentuk 'de-leeted' (cth., $N("P@ssw0rd") = "Password"$). Entropi Shannon $H$ kemudian dikira pada rentetan ternormalisasi: $$H(X) = -\sum_{i=1}^{n} P(x_i) \log_2 P(x_i)$$ di mana $X$ adalah rentetan kata laluan ternormalisasi, $n$ adalah saiz set aksara, dan $P(x_i)$ adalah kebarangkalian aksara $x_i$.
TF-IDF untuk N-gram Aksara: Untuk n-gram $t$ tertentu (cth., urutan 3-aksara) dalam kata laluan $d$, dalam korpus $D$ kata laluan yang dilanggar: $$\text{TF-IDF}(t, d, D) = \text{freq}(t, d) \times \log\left(\frac{|D|}{|\{d \in D : t \in d\}|}\right)$$ Skor tinggi menunjukkan subrentetan yang biasa dalam kata laluan tertentu tetapi juga luar biasa lazim merentasi kata laluan yang dilanggar, menandakan risiko tinggi.
7.2. Contoh Kerangka Analisis
Skenario: Menilai kata laluan "M1cr0$0ft_2024".
Aplikasi Kerangka:
- Metrik Asas: Panjang=14, mempunyai huruf besar, huruf kecil, digit, aksara khas. Pemeriksa tradisional: KUAT.
- Normalisasi Leetspeak: N("M1cr0$0ft_2024") -> "Microsoft_2024". Entropi turun dengan ketara kerana ia menjadi perkataan boleh ramal + tahun.
- Pengesanan Corak: Tiada jalan papan kekunci. Mengandungi urutan "2024".
- Kamus & TF-IDF: Mengandungi perkataan kamus "Microsoft" (selepas normalisasi). Subrentetan "soft" mungkin mempunyai skor TF-IDF tinggi daripada pelanggaran sebelumnya.
- Inferens Model: Model Hutan Rawak, menimbang entropi ternormalisasi rendah, kehadiran perkataan kamus, dan subrentetan biasa, berkemungkinan mengelaskan ini sebagai LEMAH atau SEDERHANA, memberikan maklum balas khusus: "Mengandungi nama syarikat biasa dan tahun terkini."
8. Rujukan
- Google Cloud. (2022). Ramalan Keselamatan Siber 2022.
- Ur, B., et al. (2016). "Do Users' Perceptions of Password Security Match Reality?" Dalam Proceedings of CHI 2016.
- Weir, M., et al. (2010). "Password Cracking Using Probabilistic Context-Free Grammars." Dalam IEEE Symposium on Security and Privacy.
- Zhu, J., Park, T., Isola, P., & Efros, A. A. (2017). "Unpaired Image-to-Image Translation using Cycle-Consistent Adversarial Networks." Dalam Proceedings of ICCV 2017. (Dirujuk sebagai contoh evolusi kerangka adversari).
- National Institute of Standards and Technology (NIST). (2017). Garis Panduan Identiti Digital (SP 800-63B).