[논문 리뷰] Reducing Bias in Modeling Real-world Password Strength via Deep Learning and Dynamic Dictionaries

Dario Pasquini, Marco Cianfriglia외 2명|arXiv (Cornell University)|2020. 10. 23.

User Authentication and Security Systems참고 문헌 31인용 수 9

한 줄 요약

이 논문은 딥러닝 기반의 적응형 딕셔너리 공격인 AdaMs를 소개한다. AdaMs는 비밀번호 후보자마다 동적으로 무단 변경 규칙을 생성함으로써 실제 공격자 행동을 모델링함으로써 비밀번호 강도의 과대평가를 줄인다. 뉴럴 네트워크를 사용해 런타임에 규칙을 맞춤 설정하고 동적 적응을 가능하게 함으로써 AdaMs는 공격 효과성과 열악한 초깃값 설정에 대한 저항성을 향상시켜 표준 오프더셰프 설정과 조건이 최적인 정적 딕셔너리 조차도 핵심 벤치마크에서 앞서나간다.

ABSTRACT

Password security hinges on an in-depth understanding of the techniques adopted by attackers. Unfortunately, real-world adversaries resort to pragmatic guessing strategies such as dictionary attacks that are inherently difficult to model in password security studies. In order to be representative of the actual threat, dictionary attacks must be thoughtfully configured and tuned. However, this process requires a domain-knowledge and expertise that cannot be easily replicated. The consequence of inaccurately calibrating dictionary attacks is the unreliability of password security analyses, impaired by a severe measurement bias. In the present work, we introduce a new generation of dictionary attacks that is consistently more resilient to inadequate configurations. Requiring no supervision or domain-knowledge, this technique automatically approximates the advanced guessing strategies adopted by real-world attackers. To achieve this: (1) We use deep neural networks to model the proficiency of adversaries in building attack configurations. (2) Then, we introduce dynamic guessing strategies within dictionary attacks. These mimic experts' ability to adapt their guessing strategies on the fly by incorporating knowledge on their targets. Our techniques enable more robust and sound password strength estimates within dictionary attacks, eventually reducing overestimation in modeling real-world threats in password security. Code available: https://github.com/TheAdamProject/adams

연구 동기 및 목표

• 서브옵티멀하고 정적인 딕셔너리 공격 설정으로 인해 지속적으로 비밀번호 강도가 과대평가되는 문제를 해결하기 위해.
• 수동 조정이나 도메인 전문 지식 없이도 실제 공격자 행동—특히 동적이고 전문가 수준의 적응—을 모델링하기 위해.
• 높은 효율성과 맥락 인식이 가능한 추측 전략의 자동 생성을 통해 비밀번호 강도 추정의 측정 편향을 줄이기 위해.
• 비밀번호 보안 연구에서 적대적 모델링의 정확성을 체계적으로 향상시키는 프레임워크를 개발하기 위해.

제안 방법

• 개별 딕셔너리 단어를 조건으로 삼아 런타임에 최적의 무단 변경 규칙을 예측하고 생성하기 위해 딥 네트워크를 활용한다.
• 실시간 피드백과 타겟 특화 지식에 기반해 공격 중에 동적으로 변화하는 추측 전략을 도입한다.
• 적응형 규칙 생성과 동적 딕셔너리 증강을 결합하여 사전에 타겟 세트에 대한 지식이 없더라도 커버리지와 효과성을 향상시킨다.
• 두 부분으로 나누어진 평가 설정을 사용한다: 최적 내부 딕셔너리와 외부 열악한 딕셔너리(예: RockYou)를 동시에 사용해 타겟 세트를 공격하여 최적 성능에 수렴하는지 테스트한다.
• 딕셔너리 항목을 규칙 세트로 매핑하는 신경 모델을 훈련하고 배포하여 실시간 규칙 선택 및 변환을 가능하게 한다.
• 실제 비밀번호 泄密 사례(예: MyHeritage, youku, phpBB)를 사용해 표준 및 최적 설정과의 히트율과 수렴 속도를 비교 평가한다.

실험 결과

연구 질문

• RQ1 딥러닝을 사용해 정적 오프더셰프 규칙 세트보다 우수한 맥락 기반의 효과적인 무단 변경 규칙를 자동 생성할 수 있는가?
• RQ2 딕셔너리 공격 중 동적 적응이 정적 전략에 비해 얼마나 더 뛰어난 추측 효과성을 발휘하는가?
• RQ3 AdaMs 프레임워크는 열악한 초깃값 설정으로 인한 비밀번호 강도 추정의 측정 편향을 어떻게 줄이는가?
• RQ4 사전에 타겟 세트에 대한 지식이 없이도 동적으로 적응하는 공격이 사전 최적의 딕셔너리 성능에 수렴할 수 있는가?

주요 결과

• MyHeritage 데이터셋에서 AdaMs는 첫 10^11회의 추측 이내에 최적 내부 딕셔너리와 비교해 유사하거나 뛰어난 히트율을 기록하여 뛰어난 수렴 성능을 입증했다.
• youku 데이터셋에서 초기 딕셔너리(RockYou)가 타겟 세트와 잘 맞지 않음에도 불구하고, AdaMs는 첫 10^11회의 추측 이내에 최적 딕셔너리보다 뛰어난 성능을 보였다.
• 초기 딕셔너리 선택의 영향을 줄여, 작은 딕셔너리인 phpBB도 RockYou(크기가 두 배수 이상 큰)와 유사한 성능을 달성했다.
• 적응형 프레임워크는 잘못된 설정에 더 강건했으며, 다양한 실제 비밀번호 泄密 사례에서 비밀번호 강도 과대평가를 지속적으로 줄였다.
• AdaMs는 표준 오프더셰프 딕셔너리와 규칙 세트를 사용하는 공격보다 뚜렷이 뛰어나, 비밀번호를 해독하기 위해 필요한 추측 수에서 최대 한 계단 차이의 성능 향상을 보였다.
• 무단 변경 규칙은 조건부 성격을 지닌다는 것이 연구를 통해 확인되었으며, 정적 규칙 적용은 최적화되지 않아 종종 효과가 떨어진다는 점을 명시적으로 모델링해야 한다.