1. 簡介
密碼是主要的身份驗證機制，卻也代表著關鍵的資安漏洞。傳統的密碼強度檢測工具依賴靜態規則（如字元類型要求 LUDS），已不足以抵禦現代的猜測攻擊。這些方法無法偵測可預測的模式（例如 'P@ssw0rd1!'），導致虛假的安全感。本文旨在彌補此一缺口，提出一種基於機器學習的評分系統，透過從真實世界的密碼資料進行學習並結合精密的特徵工程，更準確地評估密碼強度。
2. 相關研究
本節回顧密碼強度評估的演進，從早期的規則式檢查器到現代的機率方法，如馬可夫模型與神經網路。文中批判了靜態方法的限制，這些方法忽略了語意模式與情境漏洞，從而為本文提出的資料驅動、特徵豐富的方法論鋪路。
3. 提出的方法
我們方法的核心是一個混合式特徵工程流程，其輸出餵入一個比較性的機器學習框架。
3.1. 資料集與前處理
使用了來自已知外洩事件、超過66萬筆的真實世界密碼資料集。密碼根據其抵禦破解嘗試的能力（例如使用 Hashcat 等工具搭配常見規則集）被標記為「弱」或「強」。
3.2. 混合式特徵工程
我們超越基本指標（長度、熵值），以捕捉細微的漏洞：
- Leetspeak 正規化夏農熵： 在反轉常見字元替換（例如 '@' -> 'a', '3' -> 'e'）後計算熵值，以評估真正的隨機性。
- 模式偵測： 識別鍵盤連續鍵（例如 'qwerty'）、序列（例如 '12345'）以及重複字元。
- 字元層級 TF-IDF N-grams： 從外洩資料集中提取頻繁出現的子字串，以標記常被重複使用的密碼片段。
- 字典比對： 檢查是否包含來自多個字典（英文、人名、地名）的單字。
3.3. 模型架構與訓練
我們訓練並比較了四種模型：隨機森林 (RF)、支援向量機 (SVM)、用於序列分析的卷積神經網路 (CNN)，以及作為基線的邏輯迴歸。資料集被分割為 70% 訓練集、15% 驗證集和 15% 測試集。
4. 結果與分析
4.1. 效能指標
隨機森林模型取得了卓越的效能：
測試集準確率
99.12%
隨機森林
比較準確率
- SVM: 97.45%
- CNN: 98.01%
- 邏輯迴歸: 95.88%
圖表說明： 長條圖將可視化呈現 RF 模型在準確率上相對於其他三個模型的顯著領先。RF 模型的混淆矩陣將顯示極少的偽陰性（將弱密碼誤判為強密碼），這對安全性至關重要。
4.2. 特徵重要性
隨機森林的可解釋性允許進行特徵重要性分析。對模型決策貢獻最大的特徵依序為：
- Leetspeak 正規化熵值
- 字典單字的存在與否
- 鍵盤模式分數
- 常見 3-grams 的 TF-IDF 分數
- 原始密碼長度
此分析驗證了新穎的特徵（正規化熵值、模式）比單純傳統的基於長度的指標更具鑑別力。
5. 討論與未來工作
應用展望： 此評分系統可整合至即時密碼建立介面（例如在用戶註冊時），以提供具體、可操作的建議（例如：「您的密碼包含常見的鍵盤連續鍵 'qwerty'。」）。它亦可用於定期稽核現有的密碼資料庫。
未來方向：
- 適應性學習： 持續使用新的外洩資料與新興攻擊模式（例如 AI 生成的密碼猜測）更新模型。
- 多語言與文化情境： 擴展字典與模式庫，以涵蓋非英語語言及文化特定的密碼。
- 聯邦學習： 在去中心化的密碼資料上訓練模型，無需暴露原始密碼，增強隱私保護。
- 與密碼管理員整合： 使用模型來評估並建議強度足夠且易記的密碼片語。
6. 分析師觀點：四步驟解構
核心洞見： 本文揭示了一個關鍵卻常被忽略的事實：密碼安全是一個模式識別問題，而非規則遵循練習。作者正確地指出，敵人並非僅是短密碼，而是可預測的密碼——這個細微差別在多數遵循合規性的資安工具中都被忽略了。他們達到的 99.12% 準確率不僅僅是一個數字；它直接指出了仍內嵌於無數系統中、基於 LUDS 的檢查器的不足。
邏輯脈絡： 論證結構極具說服力。它始於解構現行技術（靜態規則），確立學習系統的必要性，然後逐步建立其論點：一個穩健的資料集、巧妙的特徵工程（Leetspeak 熵值是神來一筆），以及務實的模型比較。選擇隨機森林是一個明智之舉——它犧牲了深度學習可能帶來的一點點效能，換取了可解釋性的黃金標準，而這對於面向用戶的資安建議是不可妥協的。
優點與缺陷： 其優勢無疑在於特徵集。他們超越了 NIST SP 800-63B 指南，像密碼分析師而非官僚一樣攻擊問題。其缺陷，如同任何監督式模型，在於對歷史資料的依賴。它擅長捕捉昨天的 'P@ssw0rd1!'，但面對明天由 AI 生成、經過心理側寫的密碼時表現如何？該模型是反應式的，而非主動式的。此外，雖然資料集龐大，但其對全球多語言密碼習慣的代表性尚未得到證實。
可執行建議： 對資安長而言，結論很明確：強制要求在任何新應用程式開發中評估基於機器學習的密碼過濾器。對開發者而言，特徵工程的藍圖是開源寶藏——現在就開始實作這些檢查，即使只是作為現有系統之上的一個簡單啟發式層。研究社群應將此視為基礎模型，並將努力聚焦於下一個前沿：對抗式訓練以預測新穎的攻擊模式，這類似於生成對抗網路 (GAN) 在電腦視覺領域的演進（如 Zhu 等人具開創性的 CycleGAN 論文所示），以處理未配對的影像轉換，這是一個同樣複雜的映射問題。
7. 技術附錄
7.1. 數學公式
Leetspeak 正規化熵值： 首先，一個正規化函數 $N(p)$ 將密碼字串映射到其「去-leet」形式（例如，$N("P@ssw0rd") = "Password"$）。接著在正規化後的字串上計算夏農熵 $H$： $$H(X) = -\sum_{i=1}^{n} P(x_i) \log_2 P(x_i)$$ 其中 $X$ 是正規化後的密碼字串，$n$ 是字元集的大小，$P(x_i)$ 是字元 $x_i$ 的機率。
字元 N-grams 的 TF-IDF： 對於密碼 $d$ 中的給定 n-gram $t$（例如一個 3 字元序列），在外洩密碼語料庫 $D$ 中： $$\text{TF-IDF}(t, d, D) = \text{freq}(t, d) \times \log\left(\frac{|D|}{|\{d \in D : t \in d\}|}\right)$$ 高分數表示一個子字串在特定密碼中常見，同時在外洩密碼中異常普遍，標誌著高風險。
7.2. 分析框架範例
情境： 評估密碼 "M1cr0$0ft_2024"。
框架應用：
- 基本指標： 長度=14，包含大寫、小寫、數字、特殊字元。傳統檢查器：強。
- Leetspeak 正規化： N("M1cr0$0ft_2024") -> "Microsoft_2024"。熵值顯著下降，因為它變成了一個可預測的單字 + 年份。
- 模式偵測： 無鍵盤連續鍵。包含序列 "2024"。
- 字典與 TF-IDF： 包含字典單字 "Microsoft"（正規化後）。子字串 "soft" 可能因先前的外洩事件而具有高 TF-IDF 分數。
- 模型推論： 隨機森林模型權衡了低正規化熵值、字典單字存在以及常見子字串，很可能將此密碼分類為弱或中等，並提供具體建議：「包含常見公司名稱與近期年份。」
8. 參考文獻
- Google Cloud. (2022). Cybersecurity Forecast 2022.
- Ur, B., et al. (2016). "Do Users' Perceptions of Password Security Match Reality?" In Proceedings of CHI 2016.
- Weir, M., et al. (2010). "Password Cracking Using Probabilistic Context-Free Grammars." In IEEE Symposium on Security and Privacy.
- Zhu, J., Park, T., Isola, P., & Efros, A. A. (2017). "Unpaired Image-to-Image Translation using Cycle-Consistent Adversarial Networks." In Proceedings of ICCV 2017. (作為對抗式框架演進範例引用)。
- National Institute of Standards and Technology (NIST). (2017). Digital Identity Guidelines (SP 800-63B).