Search-based Ordered Password Generation of Autoregressive Neural Networks
本文提出SOPG，一种基于搜索的有序密码生成方法，使自回归神经网络按概率降序生成无重复密码，显著提升效率；基于GPT构建的SOPGesGPT在覆盖率上大幅超越现有模型。
2024-03-15 cs.CR
GNPassGAN: Improved Generative Adversarial Networks For Trawling Offline Password Guessing
Ontario Tech University（安大略理工大学）
密码的安全性取决于对攻击者使用的策略的透彻理解。不幸的是，现实世界的对手使用实用的猜测策略，如字典式攻击，这是很难模拟密码安全研究。必须仔细配置和修改字典式攻击，以表示实际威胁。然而，这种方法需要难以复制的特定领域的知识和专长。本文回顾了各种基于深度学习的密码猜测方法，这些方法不需要领域知识或关于用户密码结构和组合的假设。它还介绍了GNPassGAN，这是一种建立在生成对抗网络上的密码猜测工具，用于搜索离线攻击。与最先进的PassGAN模型相比，GNPassGAN能够多猜测88.03%的密码，并减少31.69%的重复。
2022-08-14 cs.AI cs.CR
PassFlow: Guessing Passwords with Generative Flows
Sapienza University of Rome（罗马大学）
生成式机器学习模型的最新进展重新点燃了密码猜测领域的研究兴趣。基于GANs、语言模型和深层潜变量模型的数据驱动密码猜测方法已经显示出令人印象深刻的泛化性能，并为密码猜测任务提供了令人信服的特性。在本文中，我们提出了PassFlow，一个基于流的生成模型的密码猜测方法。基于流的模型允许精确的对数似然计算和优化，从而实现精确的潜在变量推断。此外，基于流的模型提供了有意义的潜在空间表示，这使得诸如探索潜在空间的特定子空间和插值之类的操作成为可能。我们证明了生成流的适用性密码猜测的上下文中，从以前的应用程序的流网络，主要限于图像生成的连续空间。我们表明，PassFlow能够在密码猜测任务中优于现有的最先进的基于GAN的方法，同时使用比现有技术小几个数量级的训练集。此外，对生成的样本的定性分析表明，PassFlow可以准确地模拟原始密码的分布，即使是不匹配的样本也非常类似于人类密码。
2021-12-14 cs.CR cs.LG
A protected password change protocol
提出了几种受保护的口令修改协议。然而，以前的协议容易受到多种攻击，如拒绝服务，密码猜测，被盗验证者和假冒攻击等。最近，Chang等人提出了一个简单的认证密钥协商和保护密码更改协议，以提高安全性和效率。在本文中，作者将表明，密码猜测，拒绝服务和已知密钥攻击可以在他们的密码更改协议。同时，作者将提出一个新的密码更改协议，以抵御所有的安全威胁。
2005-06-30 cs.CR
On Deep Learning in Password Guessing, a Survey
Ontario Tech University（安大略理工大学）
密码的安全性取决于对攻击者使用的策略的透彻理解。不幸的是，现实世界的对手使用实用的猜测策略，如字典式攻击，这是很难模拟密码安全研究。必须仔细配置和修改字典式攻击，以代表实际威胁。然而，这种方法需要难以复制的特定领域的知识和专长。本文比较了各种基于深度学习的密码猜测方法，这些方法不需要关于用户密码结构和组合的领域知识或假设。涉及的模型类别是递归神经网络、生成对抗网络、自动编码器和注意力机制。此外，我们提出了一个很有前途的研究实验设计，在非目标离线攻击下使用IWGAN的密码猜测的变化。使用这些高级策略，我们可以增强密码安全性，并创建更准确和更有效的密码强度计。
2022-12-11 cs.AI cs.CR
PagPassGPT: Pattern Guided Password Guessing via Generative Pretrained Transformer
School of Cyber Security, University of Chinese Academy of Sciences（中国科学院大学网络空间安全学院）；Institute of Information Engineering, Chinese Academy of Sciences（中国科学院信息工程研究所）；King Abdullah University of Science and Technology（阿卜杜拉国王科技大学）
提出基于 GPT 的 PagPassGPT，通过引入密码模式结构信息提升命中率，并以分治式 D&C-GEN 减少重复生成，较现有最优模型多猜中12%密码、重复降低25%。
2024-06-18 cs.AI cs.CR
When Privacy meets Security: Leveraging personal information for password cracking
密码被广泛用于用户身份验证，尽管存在弱点，但在可预见的未来可能会继续使用。人工生成的密码通常具有丰富的结构，这使得它们容易受到猜测攻击。本文研究了基于马尔可夫模型的猜测攻击的有效性。我们的贡献是双重的。首先，我们提出了一种新的密码破解器的基础上马尔可夫模型，它建立在和扩展的思想Narayanan和Shmatikov（CCS 2005）。在广泛的实验中，我们发现它可以在100亿次猜测中破解高达69%的密码，超过我们再次比较的所有概率密码破解器。其次，我们系统地分析了关于用户的附加个人信息有助于加速密码猜测的想法。我们发现，平均而言，通过仔细选择参数，我们可以多猜出5%的密码，特别是当尝试次数较低时。此外，我们还发现，对于实际上基于个人属性的密码，收益可以高达30%。这些密码显然较弱，应避免使用。我们的破解器可以被一个组织用来检测和拒绝它们。据我们所知，我们是第一个系统地研究所选密码与用户个人信息之间关系的公司。我们测试和验证我们的结果在广泛收集泄漏的密码数据库。
2013-04-24 cs.CR
Exploring the Impact of Password Dataset Distribution on Guessing
密码数据集的泄漏是经常发生的事情。一个组织可能会用仅仅一小部分密码被窃取来防御泄漏。在本文中，我们表明，从组织的存储数据集中泄漏相对少量的基于文本的密码可能会导致更多的用户被泄露。从给定的密码数据集中取一个密码样本，我们利用我们获得的分布知识来猜测同一数据集中的其他样本。我们从理论上和经验上表明，样本中的密码分布与整个数据集中的密码分布相同。我们提出了一个函数来衡量一个分布估计另一个分布的能力。利用这一点，我们表明，从给定数据集泄露的密码样本将比从另一个来源泄露的样本更好地损害该数据集中的剩余密码。
2018-09-19 cs.CR stat.AP
Your Email Address Holds the Key: Understanding the Connection Between Email and Password Security with Deep Learning
本研究提出上下文感知密码猜测模型，证实电子邮箱地址对破解关联密码有关键作用，还可基于密码生成行为识别用户群体，用于检测虚假账号与易受攻击用户。
2023-06-16 cs.CR
LLM-Guided Prompt Evolution for Password Guessing
Applied AI Center（应用人工智能中心）；MTUCI（莫斯科国立大学）
本文利用LLM驱动的进化计算优化密码猜测框架的提示，通过OpenEvolve系统提升破解率，验证了自动提示进化在增强LLM密码审计中的有效性。
2026-04-14 cs.AI cs.CR
CompChall: Addressing Password Guessing Attacks
尽管密码是最方便的身份验证手段，但它们也带来了字典式攻击的威胁。字典式攻击可能有两种：在线攻击和离线攻击。虽然离线字典攻击只有在对手能够通过窃听通信信道来收集数据以成功执行协议时才是可能的，并且可以使用公钥密码学成功地进行反击，但是任何人都可以执行在线字典式攻击，并且没有令人满意的解决方案来反击它们。提出了一种新的认证协议CompChall（Computational Challenge）。该协议仅使用单向哈希函数作为构建模块，并试图通过实现挑战-响应系统来消除在线字典式攻击。该质询-响应系统以这样的方式设计，即它不会对真正的用户造成任何困难，但是对于试图在每单位时间内发起大量登录请求的对手来说是耗时且计算密集的，如在线字典式攻击的情况。该协议是无状态的，因此不易受到DoS（拒绝服务）攻击。
2011-11-16 cs.CR
MAYA: Addressing Inconsistencies in Generative Password Guessing through a Unified Benchmark
Sapienza University of Rome（罗马萨皮恩扎大学）
本文提出统一基准框架MAYA，系统评估六种生成式密码猜测模型，发现序列模型最优且多模型攻击可超越单一模型，旨在促进该领域的可靠基准测试。
2025-10-17 cs.AI cs.CR cs.LG
PassGAN: A Deep Learning Approach for Password Guessing
Stevens Institute of Technology（斯蒂文斯理工学院）；New York Institute of Technology（纽约理工学院）；Swiss Data Science Center, (ETH Zurich and EPFL)（瑞士数据科学中心（苏黎世联邦理工学院和洛桑联邦理工学院））
最先进的密码猜测工具，如HashCat和John the Ripper，使用户能够每秒根据密码散列检查数十亿个密码。除了执行直接的字典式攻击之外，这些工具还可以使用密码生成规则来扩展密码字典，例如单词的串联（例如，“Password 123456”）和Leet Speak（例如，“password”变为“p4 s5 w 0 rd”）。虽然这些规则在实践中运行良好，但扩展它们以模拟更多密码是一项艰巨的任务，需要专业知识。为了解决这个问题，在本文中，我们介绍PassGAN，一种新的方法，取代人类生成的密码规则与理论为基础的机器学习算法。PassGAN不依赖于手动密码分析，而是使用生成对抗网络（GAN）来自主学习实际密码泄漏中真实密码的分布，并生成高质量的密码猜测。我们的实验表明，这种方法是非常有前途的。当我们在两个大型密码数据集上评估PassGAN时，我们能够超越基于规则和最先进的机器学习密码猜测工具。然而，与其他工具相比，PassGAN在没有任何关于密码或常见密码结构的先验知识的情况下实现了这一结果。此外，当我们将PassGAN的输出与HashCat的输出相结合时，我们能够比单独使用HashCat多匹配51%-73%的密码。这是值得注意的，因为它表明PassGAN可以自主提取当前最先进的规则无法编码的大量密码属性。
2019-02-14 cs.CR cs.LG stat.ML
Towards a Rigorous Statistical Analysis of Empirical Password Datasets
密码安全性的一个主要挑战是描述攻击者的猜测曲线，即，攻击者在第一次$G$猜测中破解随机用户密码的概率是多少。一个关键的挑战是，猜测曲线取决于攻击者的猜测策略和用户密码的分布，这两者都是未知的。在这项工作中，我们的目标是遵循Kerckhoffs的原则和分析的最佳攻击者谁知道密码分布的性能。让$λ_G$表示这样的攻击者可以在$G$猜测范围内破解随机用户密码的概率。我们开发了几种统计上严格的技术，上限和下限$λ_G$给定$N$独立样本从未知的分布。我们表明，我们的边界具有很高的信心，并应用我们的技术来分析八个密码数据集。我们的实证分析表明，即使是最先进的密码破解模型往往是显着低于猜测效率比攻击者谁可以优化其攻击的基础上，其（部分）知识的密码分布。我们还应用我们的技术重新检查经验密码分布和齐普夫定律。我们发现，当$G$不是太大时，经验分布与我们在$λ_G$上的界限紧密匹配，即，$G \ll N$。然而，对于较大的$G$值，我们的经验分析严格地证明了经验分布（分别为Zipf定律）高估了攻击者的成功率。我们应用我们的技术上/下限的有效性的密码节流机制（密钥拉伸），用于减少攻击者猜测$G$的数量。最后，如果我们对用户对密码限制的反应方式做一个额外的假设，我们可以使用我们的技术来评估限制用户可能选择的密码的密码组合策略的有效性。
2022-09-21 cs.CR
Reducing Bias in Modeling Real-world Password Strength via Deep Learning and Dynamic Dictionaries
Sapienza University of Rome（罗马大学）；Stevens Institute of Technology（史蒂文斯理工学院）；Institute of Applied Computing CNR（意大利国家研究委员会应用计算研究所）
密码安全性取决于对攻击者所采用的技术的深入了解。不幸的是，现实世界的对手诉诸务实的猜测策略，如字典式攻击，本质上是难以建模的密码安全性研究。为了能够代表实际的威胁，字典式攻击必须经过深思熟虑的配置和调整。然而，这一过程需要一个领域的知识和专业知识，不能轻易复制。不准确校准字典式攻击的后果是密码安全分析的不可靠性，并因严重的测量偏差而受到损害。在目前的工作中，我们引入了新一代的字典式攻击，是一贯更有弹性的配置不足。不需要监督或领域知识，这种技术自动逼近现实世界的攻击者所采用的高级猜测策略。为了实现这一目标：（1）我们使用深度神经网络来模拟对手构建攻击配置的熟练程度。(2)然后，我们介绍了动态猜测策略的字典式攻击。这些模拟专家的能力，以适应他们的猜测策略，在飞行中纳入知识对他们的目标。我们的技术能够在字典式攻击中实现更稳健和更合理的密码强度估计，最终减少对密码安全中现实威胁建模的高估。可用代码：https://github.com/TheAdamProject/adams
2021-02-26 cs.CR cs.LG
When AI Defeats Password Deception! A Deep Learning Framework to Distinguish Passwords and Honeywords
Texas A&M University（德克萨斯农工大学）
提出基于深度学习的攻击框架PassFilter，从sweetwords中识别真实密码，有效突破多种HGTs，在多次猜测尝试中成功率显著优于随机猜测，揭示了现有honeyword技术的安全风险。
2024-07-24 cs.CR cs.LG
A Robust Password-Based Multi-Server Authentication Scheme
2013年，Tsai等人对Yeh等人的方案进行了密码分析，并表明Yeh等人，方案容易受到各种密码攻击，并提出了一种改进方案。在这张海报中，我们将展示蔡等人，方案也容易受到不可检测的在线密码猜测攻击，一旦攻击成功，对手可以执行所有主要的密码攻击。作为我们的贡献之一，我们提出了一个改进的方案，它克服了Tsai等人和Yeh等人方案中的缺陷。
2013-12-07 cs.CR
The Scale-free Network of Passwords : Visualization and Estimation of Empirical Passwords
在本文中，我们提出了一个新的视觉大规模的经验密码集，并通过揭示它们的相互联系，并考虑整个密码集的安全性，而不是一个单一的密码级别，以提高对密码的理解。通过对Yahoo、Phpbb、12306等密码的可视化，我们首次展示了经验密码集的空间结构，并考虑了密码的社区和聚类模式，分别根据密码的频率和程度来定义密码的流行度。此外，我们从数据拓扑空间的角度提出了一个统计猜测攻击模型，为“破解曲线”提供了一种解释。通过证明最小支配集问题等价于最小控制集问题，给出了满足任意给定密码集的最小匹配集的下界.因此，最小字典问题也是NP完全的。
2015-11-26 cs.CR
Passwords: Divided they Stand, United they Fall
如今，离线攻击是对密码安全的最严重威胁之一。这些攻击已经从包括雅虎、LinkedIn、Twitter、索尼、Adobe等在内的知名网站上窃取了数百万个密码。因此，作为预防措施，有必要衡量离线猜测密码数据库的阻力，并帮助用户选择安全的密码。依赖于最小密码长度和不同字符类的基于规则的机制太天真，无法捕捉复杂的人类行为，而那些基于概率模型的机制需要整个密码分布的知识，这并不总是容易学习的。在本文中，我们提出了一个空间分区攻击模型，利用以前的泄漏，调查，攻击和其他来源的信息划分的密码搜索空间为非重叠的分区和学习分区密度。我们证明了一个分区攻击者的预期成功是最大的，如果由此产生的分区探索密度的降序。我们表明，所提出的攻击模型是更一般的和各种流行的攻击技术，包括基于概率，基于字典，基于语法和暴力只是不同的分区攻击者的实例。随后，我们介绍了bin攻击者，分区攻击者的另一个实例，并测量了真实世界的密码数据库的猜测阻力。我们证明了利用的搜索空间是非常小的，因此，即使是一个弱的攻击者可以造成足够的损害系统。我们证明了分区攻击可以反击，只有当分区密度是均匀的。我们使用这个结果，并提出了一个系统，通过在不同的分区分布用户，挫败分区攻击者。最后，我们演示了一些著名的密码方案可以适应，以帮助用户选择密码从系统分配的分区。
2020-09-12 cs.CR
Generative Deep Learning Techniques for Password Generation
Fraunhofer IAIS（弗劳恩霍夫智能分析与信息系统研究所）；University of Bonn（波恩大学）；Federal Criminal Police Office（联邦刑事警察局）
最近已经研究了通过深度学习的密码猜测方法，其在生成新颖的、现实的密码候选者的能力方面具有重大突破。在目前的工作中，我们研究了广泛的深度学习和基于概率的模型，根据密码猜测：基于注意力的深度神经网络，自动编码机制和生成对抗网络。我们在变分自编码器方面提供了新的生成式深度学习模型，表现出最先进的采样性能，产生额外的潜在空间特征，如插值和目标采样。最后，我们在一个统一的控制框架中对知名数据集（RockYou，LinkedIn，Youku，Zomato，Pwnd）进行了全面的实证分析。我们的研究结果不仅确定了由深度神经网络驱动的最有前途的方案，而且还说明了每种方法在生成变异性和样本唯一性方面的优势。
2020-12-16 cs.AI cs.CL cs.CR
When Intelligence Fails: An Empirical Study on Why LLMs Struggle with Password Cracking
Future Data Minds Research Lab（未来数据智能研究实验室）
本研究发现LLMs在密码破解任务中表现不佳，指出其在领域适应和记忆能力上的不足，强调需要改进的密码推断方法。
2025-12-31 cs.AI cs.CR cs.LG
Universal Neural-Cracking-Machines: Self-Configurable Password Models from Auxiliary Data
EPFL（洛桑联邦理工学院）；George Mason University（乔治梅森大学）
提出通用密码模型概念，利用用户辅助信息通过深度学习自动生成定制密码模型，无需明文密码或再训练，改进了密码强度评估与攻击，并普及了密码安全部署。
2024-03-13 cs.CR cs.LG
Tail exponents of conditional guesswork via the method of types
School of Computer and Communication Sciences, EPFL（洛桑联邦理工学院计算机与通信科学学院）；Federal Department of Foreign Affairs（瑞士联邦外交部）
该研究针对带逐元素相关边信息的独立同分布随机序列猜测问题，用类型计数法推导无边信息时的猜测次数尾概率，扩展至条件场景得到猜测指数显式表达式，并将其应用于带边信息的暴力密码猜测。
2026-08-19 cs.CR cs.IT math.IT
