1. 引言
密碼係主要嘅身份驗證機制，但同時亦係一個關鍵漏洞。傳統嘅密碼強度檢測器依賴靜態規則（例如要求包含大寫、小寫、數字、符號），喺面對現代嘅猜測攻擊時並不足夠。呢啲方法無法偵測可預測嘅模式（例如「P@ssw0rd1!」），導致虛假嘅安全感。本文旨在解決呢個缺口，提出一套基於機器學習嘅評分系統，透過學習真實世界嘅密碼數據同精密嘅特徵工程，更準確地評估密碼強度。
2. 相關研究
本節回顧密碼強度評估嘅演變，從早期基於規則嘅檢查器到現代嘅概率方法，例如馬可夫模型同神經網絡。本文批評咗靜態方法嘅局限性，佢哋忽略語義模式同上下文漏洞，為本文提出嘅數據驅動、特徵豐富嘅方法奠定基礎。
3. 提出嘅方法
我哋方法嘅核心係一個混合特徵工程流程，輸入到一個比較性嘅機器學習框架。
3.1. 數據集與預處理
使用咗一個包含超過66萬個來自已知洩漏事件嘅真實密碼數據集。根據密碼對破解嘗試（例如使用Hashcat等工具配合常見規則集）嘅抵抗能力，將密碼標記為「弱」或「強」。
3.2. 混合特徵工程
我哋超越基本指標（長度、熵）去捕捉細微嘅漏洞：
- Leetspeak正規化夏農熵： 反轉常見字符替換（例如「@」->「a」、「3」->「e」）後計算熵，以評估真正嘅隨機性。
- 模式偵測： 識別鍵盤路徑（例如「qwerty」）、序列（例如「12345」）同重複字符。
- 字符級TF-IDF N-grams： 從洩漏數據集中提取頻繁出現嘅子字串，以標記常用嘅密碼片段。
- 字典匹配： 檢查係咪包含來自多個字典（英文、人名、地名）嘅單詞。
3.3. 模型架構與訓練
訓練並比較咗四個模型：隨機森林（RF）、支援向量機（SVM）、用於序列分析嘅卷積神經網絡（CNN），以及作為基準嘅邏輯迴歸。數據集劃分為70%訓練、15%驗證同15%測試。
4. 結果與分析
4.1. 效能指標
隨機森林模型取得優越嘅表現：
測試集準確率
99.12%
隨機森林
比較準確率
- SVM：97.45%
- CNN：98.01%
- 邏輯迴歸：95.88%
圖表描述： 柱狀圖會視覺化展示RF模型嘅準確率明顯領先其他三個模型。RF模型嘅混淆矩陣會顯示極少嘅假陰性（將弱密碼錯誤分類為強密碼），呢點對於安全性至關重要。
4.2. 特徵重要性
隨機森林嘅可解釋性允許進行特徵重要性分析。對模型決策貢獻最大嘅特徵係：
- Leetspeak正規化熵
- 字典單詞嘅存在
- 鍵盤模式分數
- 常見3-grams嘅TF-IDF分數
- 原始密碼長度
呢個分析證實咗新穎嘅特徵（正規化熵、模式）比單獨嘅傳統基於長度嘅指標更具區分能力。
5. 討論與未來工作
應用前景： 呢個評分系統可以整合到實時密碼創建界面（例如用戶註冊時），提供具體、可操作嘅反饋（例如「你嘅密碼包含常見鍵盤路徑『qwerty』。」）。亦可用於定期審計現有嘅密碼數據庫。
未來方向：
- 自適應學習： 持續用新嘅洩漏數據同新興攻擊模式（例如AI生成嘅密碼猜測）更新模型。
- 多語言及文化背景： 擴展字典同模式庫以涵蓋非英語語言同文化特定嘅密碼。
- 聯邦學習： 喺唔暴露原始密碼嘅情況下，喺去中心化嘅密碼數據上訓練模型，增強私隱。
- 與密碼管理器整合： 使用模型來評估並建議強勁且易記嘅密碼短語。
6. 分析師觀點：四步解構
核心見解： 本文揭示咗一個關鍵但常被忽視嘅事實：密碼安全係一個模式識別問題，唔係規則遵循練習。作者正確指出，敵人唔單止係短密碼，而係可預測嘅密碼——呢個細微差別喺大多數合規驅動嘅安全工具中都遺失咗。佢哋嘅99.12%準確率唔只係一個數字；佢直接指證咗仍然嵌入喺無數系統中嘅基於LUDS嘅檢查器。
邏輯流程： 論證結構引人入勝。首先拆解現有技術（靜態規則），確立學習系統嘅必要性，然後逐步建立論點：穩健嘅數據集、巧妙嘅特徵工程（leetspeak熵係神來之筆），以及務實嘅模型比較。選擇隨機森林係明智之舉——佢犧牲咗少少潛在嘅深度學習效能，換取可解釋性嘅黃金標準，呢點對於面向用戶嘅安全建議係不容妥協嘅。
優點與缺陷： 優點毫無疑問在於特徵集。超越NIST SP 800-63B指引，佢哋似密碼分析師而非官僚咁攻擊問題。缺陷同任何監督模型一樣，在於對歷史數據嘅依賴。佢擅長捕捉昨日嘅「P@ssw0rd1!」，但面對明日由AI生成、心理側寫嘅密碼表現如何？模型係反應式，而非主動式。此外，雖然數據集龐大，但其對全球多語言密碼習慣嘅代表性未經證實。
可行建議： 對於首席資訊安全官（CISO），結論好清晰：強制要求喺任何新應用程式開發中評估基於機器學習嘅密碼過濾器。對於開發者，特徵工程藍圖係開源寶藏——立即開始實施呢啲檢查，即使只係作為現有系統之上嘅簡單啟發式層。研究界應該將此視為基礎模型，並將精力集中喺下一個前沿：對抗訓練以預測新穎攻擊模式，就好似生成對抗網絡（GAN）喺電腦視覺中嘅演變（正如Zhu等人嘅開創性CycleGAN論文所示）以處理非配對圖像轉換，一個類似複雜嘅映射問題。
7. 技術附錄
7.1. 數學公式
Leetspeak正規化熵： 首先，一個正規化函數 $N(p)$ 將密碼字串映射到其「去-leetspeak」形式（例如，$N("P@ssw0rd") = "Password"$）。然後喺正規化字串上計算夏農熵 $H$： $$H(X) = -\sum_{i=1}^{n} P(x_i) \log_2 P(x_i)$$ 其中 $X$ 係正規化密碼字串，$n$ 係字符集大小，$P(x_i)$ 係字符 $x_i$ 嘅概率。
字符N-grams嘅TF-IDF： 對於密碼 $d$ 中嘅給定n-gram $t$（例如一個3字符序列），喺洩漏密碼語料庫 $D$ 中： $$\text{TF-IDF}(t, d, D) = \text{freq}(t, d) \times \log\left(\frac{|D|}{|\{d \in D : t \in d\}|}\right)$$ 高分表示一個子字串喺特定密碼中常見，但同時喺洩漏密碼中異常普遍，標誌著高風險。
7.2. 分析框架示例
場景： 評估密碼「M1cr0$0ft_2024」。
框架應用：
- 基本指標： 長度=14，包含大寫、小寫、數字、特殊字符。傳統檢查器：強。
- Leetspeak正規化： N("M1cr0$0ft_2024") -> "Microsoft_2024"。熵顯著下降，因為變成可預測單詞 + 年份。
- 模式偵測： 無鍵盤路徑。包含序列「2024」。
- 字典與TF-IDF： 包含字典單詞「Microsoft」（正規化後）。子字串「soft」可能因先前洩漏而有高TF-IDF分數。
- 模型推論： 隨機森林模型，權衡低正規化熵、字典單詞存在同常見子字串，很可能將此分類為弱或中等，並提供具體反饋：「包含常見公司名稱同最近年份。」
8. 參考文獻
- Google Cloud. (2022). Cybersecurity Forecast 2022.
- Ur, B., et al. (2016). "Do Users' Perceptions of Password Security Match Reality?" In Proceedings of CHI 2016.
- Weir, M., et al. (2010). "Password Cracking Using Probabilistic Context-Free Grammars." In IEEE Symposium on Security and Privacy.
- Zhu, J., Park, T., Isola, P., & Efros, A. A. (2017). "Unpaired Image-to-Image Translation using Cycle-Consistent Adversarial Networks." In Proceedings of ICCV 2017. (Cited as an example of adversarial framework evolution).
- National Institute of Standards and Technology (NIST). (2017). Digital Identity Guidelines (SP 800-63B).