[論文レビュー] Reducing Bias in Modeling Real-world Password Strength via Deep Learning and Dynamic Dictionaries

Dario Pasquini, Marco Cianfriglia+2 more|arXiv (Cornell University)|Oct 23, 2020

User Authentication and Security Systems参考文献 31被引用数 9

ひとこと要約

この論文は、アダプティブな辞書攻撃であるAdaMsを紹介する。AdaMsはディープラーニングを活用し、パスワード候補ごとに動的にマニピュレーションルールを生成することで、実世界の攻撃行動をモデル化し、パスワード強度の過大評価を低減する。ニューラルネットワークを用いて実行時におけるルールを最適化し、動的かつ柔軟に適応可能にすることで、初期設定が不十分であっても優れた攻撃効果を発揮し、標準的な市販の設定や最適な静的辞書でさえも、主要なベンチマークで上回る。

ABSTRACT

Password security hinges on an in-depth understanding of the techniques adopted by attackers. Unfortunately, real-world adversaries resort to pragmatic guessing strategies such as dictionary attacks that are inherently difficult to model in password security studies. In order to be representative of the actual threat, dictionary attacks must be thoughtfully configured and tuned. However, this process requires a domain-knowledge and expertise that cannot be easily replicated. The consequence of inaccurately calibrating dictionary attacks is the unreliability of password security analyses, impaired by a severe measurement bias. In the present work, we introduce a new generation of dictionary attacks that is consistently more resilient to inadequate configurations. Requiring no supervision or domain-knowledge, this technique automatically approximates the advanced guessing strategies adopted by real-world attackers. To achieve this: (1) We use deep neural networks to model the proficiency of adversaries in building attack configurations. (2) Then, we introduce dynamic guessing strategies within dictionary attacks. These mimic experts' ability to adapt their guessing strategies on the fly by incorporating knowledge on their targets. Our techniques enable more robust and sound password strength estimates within dictionary attacks, eventually reducing overestimation in modeling real-world threats in password security. Code available: https://github.com/TheAdamProject/adams

研究の動機と目的

• 静的で最適でない辞書攻撃設定による、パスワード強度の継続的かつ過大評価される問題に対処すること。
• 手動でのチューニングやドメイン専門知識を必要とせず、実世界の攻撃行動（特に動的かつエキスパートレベルの適応）をモデル化すること。
• 文脈に応じた効果的な推測戦略の自動生成により、パスワード強度推定における測定バイアスを低減すること。
• 攻撃モデルの精度を体系的に向上させるフレームワークの開発

提案手法

• 個々の辞書語を条件として、実行時における最適なマニピュレーションルールを予測・生成するため、ディープニューラルネットワークを活用する。
• 攻撃中にリアルタイムフィードバックとターゲット固有の知識に基づき、動的に変化する推測戦略を導入する。
• 適応的ルール生成と動的辞書拡張を組み合わせ、ターゲットセットの事前知識なしにカバー範囲と効果を向上させる。
• 2段階の評価設定を採用：最適な内部辞書と外部の非最適な辞書（例：RockYou）の両方を用いて、ターゲットセットを攻撃し、最適性能への収束をテストする。
• 辞書エントリをルールセットにマップするニューラルモデルを訓練・デプロイし、実行時におけるルール選択と変換を可能にする。
• 実際のパスワード漏洩データ（例：MyHeritage、youku、phpBB）を用いて攻撃を評価し、標準的および最適な設定との間でヒット率と収束速度を比較する。

実験結果

リサーチクエスチョン

• RQ1 ディープラーニングを用いて、静的で市販のルールセットを上回る、文脈に特化した効果的なマニピュレーションルールを自動生成できるか？
• RQ2 辞書攻撃中に動的適応がなされる場合、静的戦略と比較して推測効果がどの程度向上するか？
• RQ3 AdaMsフレームワークは、初期設定が不適切な場合に生じるパスワード強度推定のバイアスをどの程度低減できるか？
• RQ4 事前知識のないターゲットセットに対して、動的に適応する攻撃が、事前に最適な辞書の性能に収束できるか？

主な発見

• MyHeritageデータセットにおいて、AdaMsは最初の10^11回の推測以内で最適な内部辞書と同等またはそれ以上のヒット率を達成し、優れた収束性能を示した。
• youkuデータセットでは、初期の辞書（RockYou）がターゲットセットと適合していないにもかかわらず、最初の10^11回の推測以内で最適な辞書を上回った。
• 初期辞書の選択が与える影響が低減され、phpBBのような小さな辞書でも、RockYou（2桁大きい）と同等の性能を発揮した。
• 適応的フレームワークは誤設定に対してより耐性があり、複数の実世界のパスワード漏洩に対して一貫してパスワード強度の過大評価を低減した。
• 標準的な市販の辞書とルールセットを用いた攻撃に比べ、AdaMsはパスワードを破るのに必要な推測回数が最大で1桁の増加を示し、顕著な性能向上を達成した。
• マニピュレーションルールには条件依存性があることが確認され、静的ルール適用は最適でなく、しばしば効果が薄いことが判明した。