[论文解读] Reducing Bias in Modeling Real-world Password Strength via Deep Learning and Dynamic Dictionaries

Dario Pasquini, Marco Cianfriglia+2 more|arXiv (Cornell University)|Oct 23, 2020

User Authentication and Security Systems参考文献 31被引用 9

一句话总结

本文提出 AdaMs，一种基于深度学习的自适应字典攻击方法，可针对每个密码候选动态生成变形规则，通过建模真实攻击者行为，减少对密码强度的高估。通过使用神经网络在运行时定制规则并实现动态适应，AdaMs 在攻击效果和对初始配置不佳的鲁棒性方面表现更优，优于标准的现成配置，甚至在关键基准测试中超越了最优静态字典。

ABSTRACT

Password security hinges on an in-depth understanding of the techniques adopted by attackers. Unfortunately, real-world adversaries resort to pragmatic guessing strategies such as dictionary attacks that are inherently difficult to model in password security studies. In order to be representative of the actual threat, dictionary attacks must be thoughtfully configured and tuned. However, this process requires a domain-knowledge and expertise that cannot be easily replicated. The consequence of inaccurately calibrating dictionary attacks is the unreliability of password security analyses, impaired by a severe measurement bias. In the present work, we introduce a new generation of dictionary attacks that is consistently more resilient to inadequate configurations. Requiring no supervision or domain-knowledge, this technique automatically approximates the advanced guessing strategies adopted by real-world attackers. To achieve this: (1) We use deep neural networks to model the proficiency of adversaries in building attack configurations. (2) Then, we introduce dynamic guessing strategies within dictionary attacks. These mimic experts' ability to adapt their guessing strategies on the fly by incorporating knowledge on their targets. Our techniques enable more robust and sound password strength estimates within dictionary attacks, eventually reducing overestimation in modeling real-world threats in password security. Code available: https://github.com/TheAdamProject/adams

研究动机与目标

• 解决因次优、静态字典攻击配置导致的安全分析中对密码强度持续高估的问题。
• 在无需手动调优或领域专业知识的情况下，建模真实世界攻击者行为——尤其是动态、专家级的适应能力。
• 通过自动化生成高度有效、上下文感知的猜测策略，减少密码强度估计中的测量偏差。
• 开发一种系统性框架，以提升密码安全研究中对抗建模的准确性。

提出的方法

• 利用深度神经网络在运行时基于单个字典词预测并生成最优变形规则。
• 引入动态猜测策略，根据实时反馈和目标特定知识在攻击过程中自适应调整。
• 结合自适应规则生成与动态字典增强，提升覆盖范围和有效性，且无需事先了解目标集合。
• 采用两阶段评估设置：使用最优内部字典和外部次优字典（如 RockYou）攻击目标集合，以测试向最优性能收敛的能力。
• 训练并部署一个神经模型，将字典条目映射到规则集，实现实时规则选择与转换。
• 使用真实密码泄露数据（如 MyHeritage、youku、phpBB）进行评估，对比标准配置与最优配置下的命中率和收敛速度。

实验结果

研究问题

• RQ1 能否利用深度学习自动生成有效、上下文相关的变形规则，使其优于静态的现成规则集？
• RQ2 与静态策略相比，字典攻击期间的动态适应在多大程度上提升了猜测效果？
• RQ3 AdaMs 框架在多大程度上减少了因初始配置不佳导致的密码强度估计测量偏差？
• RQ4 在未事先了解目标集合的情况下，动态自适应攻击能否收敛至预先最优字典的性能？

主要发现

• 在 MyHeritage 数据集中，AdaMs 在前 10^11 次猜测内即达到或优于最优内部字典的命中率，展现出更优的收敛性能。
• 在 youku 数据集中，尽管初始字典（RockYou）与目标集合匹配度较差，AdaMs 在前 10^11 次猜测内仍优于最优字典。
• 该攻击显著降低了初始字典选择的影响，使得规模较小的字典（如 phpBB）性能可与规模大两个数量级的 RockYou 相当。
• 自适应框架对误配置更具鲁棒性，在多个真实世界密码泄露中均持续减少了对密码强度的高估。
• AdaMs 显著优于使用现成字典和规则集的标准攻击，破译密码所需猜测次数的性能提升最高可达一个数量级。
• 研究证实，变形规则具有条件性，必须显式建模；静态规则应用往往次优且常无效。