Chagua Lugha

PassTSL: Kuiga Nywila Zilizoundwa na Binadamu kwa Mbinu ya Kujifunza kwa Hatua Mbili - Uchambuzi wa Kina wa Uvunjaji Nywila na Ukadiriaji wa Nguvu kwa Kutumia NLP

Uchambuzi wa kina wa PassTSL, mfumo mpya wa kujifunza kwa hatua mbili wa kuiga nywila kwa kutumia transformer, unaozidi mbinu za kisasa katika uvunjaji na ukadiriaji wa nguvu.
strongpassword.org | PDF Size: 1.9 MB
Ukadiriaji: 4.5/5
★ ★ ★ ★ ★
Ukadiriaji Wako
Umekadiria waraka huu tayari
Kifuniko cha Waraka PDF - PassTSL: Kuiga Nywila Zilizoundwa na Binadamu kwa Mbinu ya Kujifunza kwa Hatua Mbili - Uchambuzi wa Kina wa Uvunjaji Nywila na Ukadiriaji wa Nguvu kwa Kutumia NLP
Tazama Waraka PDF Pakua PDF Tafsiri PDF
Nyumbani » Nyaraka » PassTSL: Kuiga Nywila Zilizoundwa na Binadamu kwa Mbinu ya Kujifunza kwa Hatua Mbili - Uchambuzi wa Kina wa Uvunjaji Nywila na Ukadiriaji wa Nguvu kwa Kutumia NLP

Jedwali la Yaliyomo

1. Muhtasari Mtendaji na Ufahamu Mkuu

PassTSL inaleta mabadiliko makubwa katika uundaji wa nywila kwa kutumia mfumo wa kujifunza kwa hatua mbili uliochochewa na mbinu ya kufundisha awali na kurekebisha (pretraining-finetuning) katika NLP. Ufahamu mkuu ni kwamba nywila zinazoundwa na binadamu, ingawa zinatofautiana na lugha asilia, zina sifa za kutosha za kimuundo na kimaana ili kufaidika na usanifu unaotegemea transformer. Mbinu hii inaonyesha wazi kuzidi mbinu za kisasa (SOTA) zilizopo, ikiwemo minyororo ya Markov, RNN, na GAN, kwa tofauti kubwa (4.11% hadi 64.69%) katika kazi za uvunjaji nywila. Zaidi ya hayo, inawezesha ukadiriaji sahihi zaidi wa nguvu ya nywila, ikipunguza makosa hatari ya chanya ya uwongo (kukadiria nguvu kupita kiasi) ikilinganishwa na zana kama zxcvbn.

2. Utangulizi: Tatizo la Nywila

Nywila za maandishi bado ndio utaratibu mkuu wa uthibitishaji ingawa zina udhaifu unaojulikana. Nywila zinazoundwa na binadamu mara nyingi hutabirika, zikifuata mifumo inayotokana na lugha asilia, mfuatano wa kibodi, na taarifa za kibinafsi. Mbinu za kisasa za uundaji ni pamoja na minyororo ya Markov, mifano inayotegemea mifumo, RNN, na GAN. Hata hivyo, mbinu hizi mara nyingi hushindwa kunasa utegemezi wa masafa marefu na miundo tata ya kimaana. PassTSL inashughulikia hili kwa kutumia mfano unaotegemea transformer, ambao unafaa katika kujifunza uhusiano wa muktadha kupitia kujitazama (self-attention).

3. Mfumo wa PassTSL

3.1 Usanifu wa Kujifunza kwa Hatua Mbili

PassTSL inatumia mchakato wa hatua mbili: kufundisha awali kwenye hifadhidata kubwa ya nywila za jumla (kwa mfano, RockYou) ili kujifunza miundo ya nywila ya ulimwengu, ikifuatiwa na kurekebisha kwenye hifadhidata ndogo inayolengwa (kwa mfano, LinkedIn). Mbinu hii inaruhusu mfano kuzoea sifa za kipekee za seti tofauti za nywila, na hivyo kuboresha kwa kiasi kikubwa usahihi wa uvunjaji. Waandishi wanaonyesha kuwa hata kiasi kidogo cha data ya kurekebisha (0.1% ya data ya kufundisha awali) kinaweza kutoa uboreshaji wa zaidi ya 3%.

3.2 Transformer na Utaratibu wa Kujitazama

Kiini cha PassTSL ni kipunguza data cha transformer (transformer decoder), ambacho kinatumia kujitazama kupima umuhimu wa herufi tofauti katika mfuatano wa nywila. Tofauti na RNN, ambazo huchakata mfuatano hatua kwa hatua, transformer zinaweza kuzingatia nafasi zote kwa wakati mmoja, zikinasa utegemezi wa masafa marefu kama "q1w2e3" ambapo muundo unategemea kibodi. Mfano unatabiri herufi inayofuata kwa kuzingatia muktadha uliotangulia, ulioandaliwa kama $P(x_t | x_1, x_2, ..., x_{t-1})$.

4. Matokeo ya Majaribio na Utendaji

4.1 Utendaji wa Uvunjaji Nywila

PassTSL ilitathminiwa kwenye hifadhidata sita kubwa za nywila zilizovuja (kwa mfano, RockYou, LinkedIn, MySpace). Ilizidi mara kwa mara mbinu tano za kisasa (Markov, RNN, GAN, n.k.) katika kiwango cha uvunjaji. Kwa mfano, katika uvunjaji wa 10^10, PassTSL ilivunja nywila 64.69% zaidi kuliko mbinu bora ya msingi kwenye hifadhidata ya LinkedIn. Uboreshaji ulikuwa mkubwa zaidi kwenye hifadhidata zenye mifumo thabiti ya kimuundo.

4.2 Tathmini ya Kipimo cha Nguvu cha Nywila (PSM)

PassTSL ilibadilishwa kuwa PSM kwa kutumia mkanganyiko (perplexity) au uwezekano wa mfano kama alama ya nguvu. Ikilinganishwa na zxcvbn na PSM inayotegemea mtandao wa neva, PassTSL ilitoa makosa machache hatari (kukadiria nguvu kupita kiasi) kwa kiwango sawa cha makosa salama (kukadiria nguvu kidogo). Hili ni muhimu kwa usalama wa ulimwengu halisi, kwani kukadiria nguvu kupita kiasi kunawapa watumiaji hisia ya uwongo ya usalama.

5. Maelezo ya Kiufundi na Uundaji wa Hisabati

Mfano unafundishwa ili kupunguza uwezekano hasi wa logariti wa mfuatano wa nywila:

$L = -\sum_{t=1}^{T} \log P(x_t | x_1, ..., x_{t-1})$

ambapo $T$ ni urefu wa nywila. Utaratibu wa kujitazama unakokotoa alama za umakini $A_{ij} = \text{softmax}(Q_i K_j^T / \sqrt{d_k})$, ambapo $Q$ na $K$ ni matriki ya swali na ufunguo, na $d_k$ ni ukubwa wa ufunguo. Mchakato wa kurekebisha unatumia kiwango cha chini cha kujifunza na nyakati chache za mafunzo ili kuepuka kusahau kwa kiasi kikubwa maarifa yaliyofundishwa awali.

6. Mfumo wa Uchambuzi: Uchunguzi Kifani

Hali: Mtafiti wa usalama anataka kutathmini nguvu za nywila kutoka kwa hifadhidata mpya ndogo (kwa mfano, nywila 10,000 kutoka kwa uvujaji wa kampuni).

Hatua ya 1: Kufundisha awali. Tumia PassTSL iliyofundishwa awali kwenye RockYou (nywila milioni 32).

Hatua ya 2: Kurekebisha. Rekebisha mfano kwenye nywila 10,000 zilizovuja kwa nyakati 5 za mafunzo kwa kiwango cha kujifunza cha 1e-5.

Hatua ya 3: Uvunjaji. Tengeneza nywila 10^9 zinazowezekana zaidi kutoka kwa mfano uliorekebishwa.

Hatua ya 4: Ukadiriaji wa Nguvu. Kwa nywila mpya "P@ssw0rd123", hesabu mkanganyiko wake: $\text{Perplexity} = \exp(-\frac{1}{T} \sum \log P(x_t))$. Mkanganyiko wa chini unaonyesha nywila dhaifu.

Matokeo: Mfano uliorekebishwa unavunja nywila 15% zaidi kuliko mfano uliofundishwa tu kwenye RockYou, na PSM inaashiria kwa usahihi "P@ssw0rd123" kama dhaifu (mkanganyiko = 12.3) wakati zxcvbn inaikadiria kama "nguvu" (alama 4/4).

7. Uchambuzi Muhimu: Ufahamu Mkuu, Mtiririko wa Mantiki, Nguvu na Udhaifu, Maarifa Yanayotekelezeka

Ufahamu Mkuu: Hoja kuu ya karatasi—kwamba uundaji wa nywila unaweza kuboreshwa kwa kiasi kikubwa kwa kuutendea kama tatizo la NLP la hatua mbili—si ya busara tu; ni mageuzi muhimu. Uga huu umekwama kwa mifano ya Markov isiyo na kina na GAN zisizo imara. Matumizi ya transformer na PassTSL ni matumizi ya kimantiki, ingawa yamechelewa, ya usanifu wenye nguvu zaidi wa uundaji wa mfuatano unaopatikana.

Mtiririko wa Mantiki: Hoja inaendelea vizuri: (1) Nywila ni kama lugha, (2) Transformer ndio bora zaidi katika uundaji wa lugha, (3) Kujifunza kwa hatua mbili kunazoea seti maalum za data, (4) Kwa hivyo, PassTSL inapaswa kuzidi. Uthibitishaji wa majaribio ni thabiti, ukitumia hifadhidata sita na mbinu nyingi za msingi. Hata hivyo, karatasi inapuuza gharama ya kimahesabu ya kufundisha transformer kwenye mamilioni ya nywila, ambayo ni kikwazo kikubwa cha vitendo.

Nguvu na Udhaifu: Nguvu kuu ni faida kubwa ya utendaji—uboreshaji wa 64.69% katika kiwango cha uvunjaji si wa kuongeza tu; ni kuruka mbele. Matokeo ya PSM pia yanashawishi, yakishughulikia moja kwa moja hitaji la usalama la ulimwengu halisi. Udhaifu mkubwa ni ukosefu wa majadiliano juu ya uthabiti wa uadui. Je, ikiwa mshambuliaji anatumia mfano sawa wa hatua mbili kuzalisha nywila zinazodanganya PSM ya PassTSL? Karatasi pia haichunguzi athari za kimaadili za kufanya zana yenye nguvu kama hiyo ipatikane kwa umma.

Maarifa Yanayotekelezeka: Kwa wataalamu wa usalama, jambo la haraka la kuchukua ni kwamba sera za nywila lazima zibadilike. Urefu na utata hautoshi tena ikiwa mshambuliaji anaweza kuiga muundo wa msingi. Mashirika yanapaswa kupitisha PSM zinazotegemea mifano ya hali ya juu kama PassTSL. Kwa watafiti, hatua inayofuata ni kuchunguza mbinu za ulinzi, kama vile mafunzo ya uadui ili kufanya uzalishaji wa nywila usitabirike. Karatasi pia inapendekeza kwa njia isiyo ya moja kwa moja kwamba wasimamizi wa nywila na vyanzo vya nywila vya nasibu ndio chaguo pekee salama dhidi ya mifano kama hii.

8. Uchambuzi Asilia na Athari Pana

PassTSL inawakilisha mchango mkubwa wa kiufundi, lakini athari zake zinaenea zaidi ya vipimo vya utendaji. Karatasi inathibitisha nadharia ambayo imekuwa ikizunguka katika jamii ya usalama wa mtandao: kwamba mpaka kati ya lugha asilia na muundo wa nywila ni wa kutosha kuruhusu uhamishaji wa kujifunza. Hii inakumbusha jinsi CycleGAN (Zhu et al., 2017) ilivyoonyesha kuwa tafsiri ya picha hadi picha inaweza kufanywa bila mifano iliyooanishwa, ikibadilisha kwa kiasi kikubwa uga wa maono ya kompyuta. Vile vile, PassTSL inaonyesha kuwa mfano uliofundishwa awali kwenye hifadhidata moja ya nywila unaweza kubadilishwa kwa nyingine kwa data ndogo, jambo ambalo linaweza kuleta demokrasia katika uwezo wa uvunjaji nywila.

Hata hivyo, demokrasia hii ni upanga wenye makali mawili. Kama ilivyobainishwa na Taasisi ya Kitaifa ya Viwango na Teknolojia (NIST) katika Mwongozo wao wa Utambulisho Dijitali (SP 800-63B), usalama wa nywila unategemea dhana kwamba washambuliaji wana rasilimali chache za kimahesabu na mifano ya jumla. PassTSL inapinga dhana hii kwa kuonyesha kwamba mifano inayolengwa yenye usahihi wa juu inaweza kujengwa kwa data ndogo ya kurekebisha. Hii ni kengele ya kuamsha kwa wadhibiti na wasimamizi wa mifumo.

Kwa mtazamo wa kiufundi, matumizi ya tofauti ya Jensen-Shannon kwa uteuzi wa data ya kurekebisha kwa njia ya uria ni hatua ya busara, ingawa ni ya awali. Inapendekeza kwamba si nywila zote zinazojulikana kwa usawa kwa urekebishaji wa mfano, dhana ambayo inaweza kuchunguzwa zaidi kwa mbinu za kujifunza kwa vitendo. Mtazamo wa karatasi kwenye vipimo vya nguvu vya nywila pia unastahili sifa, kwani unaziba pengo kati ya utafiti wa kitaaluma na zana za vitendo. Hata hivyo, tathmini ya PSM imepunguzwa kwa kulinganisha na zxcvbn na mtandao mmoja wa neva; kiwango cha kina zaidi cha kulinganisha na PSM za kibiashara (kwa mfano, zile zinazotumiwa na Google au Microsoft) kingeimarisha madai.

Kwa kumalizia, PassTSL ni karatasi muhimu ambayo itaathiri mikakati ya uvunjaji na ulinzi wa nywila kwa miaka ijayo. Mchango wake mkuu si tu mfano mpya, bali mfumo mpya wa kufikiria kuhusu usalama wa nywila katika enzi ya mifano mikubwa ya lugha. Swali kuu la kusonga mbele si kama washambuliaji wanaweza kujenga mifano kama hii—wanaweza—bali jinsi watetezi wanaweza kuzoea. Jibu liko katika kuachana kabisa na nywila zinazochaguliwa na mtumiaji, kuelekea mbinu za uthibitishaji zisizo na nywila kama WebAuthn na FIDO2, ambazo kwa asili zinastahimili mashambulizi ya uundaji kama haya.

9. Matumizi ya Baadaye na Maelekezo ya Utafiti

10. Marejeleo

  1. Li, H., Wang, Y., Qiu, W., Li, S., & Tang, P. (2024). PassTSL: Modeling Human-Created Passwords through Two-Stage Learning. arXiv:2407.14145.
  2. Zhu, J. Y., Park, T., Isola, P., & Efros, A. A. (2017). Unpaired Image-to-Image Translation using Cycle-Consistent Adversarial Networks. In ICCV.
  3. Taasisi ya Kitaifa ya Viwango na Teknolojia (NIST). (2020). Mwongozo wa Utambulisho Dijitali: Uthibitishaji na Usimamizi wa Mzunguko wa Maisha (SP 800-63B).
  4. Melicher, W., Ur, B., Segreti, S. M., Komanduri, S., Bauer, L., Christin, N., & Cranor, L. F. (2016). Fast, Lean, and Accurate: Modeling Password Guessability Using Neural Networks. In USENIX Security.
  5. Wheeler, D. L. (2016). zxcvbn: Low-Budget Password Strength Estimation. In USENIX Security.