PagPassGPT: Pattern Guided Password Guessing via Generative Pretrained Transformer
School of Cyber Security, University of Chinese Academy of Sciences（中国科学院大学网络空间安全学院）；Institute of Information Engineering, Chinese Academy of Sciences（中国科学院信息工程研究所）；King Abdullah University of Science and Technology（阿卜杜拉国王科技大学）
Xingyu Su, Xiaojie Zhu, Yang Li, Yong Li, Chi Chen, Paulo Esteves-Veríssimo
Amidst the surge in deep learning-based password guessing models, challenges of generating high-quality passwords and reducing duplicate passwords persist. To address these challenges, we present PagPassGPT, a password guessing model constructed on Generative Pretrained Transformer (GPT). It can perform pattern guided guessing by incorporating pattern structure information as background knowledge, resulting in a significant increase in the hit rate. Furthermore, we propose D&C-GEN to reduce the repeat rate of generated passwords, which adopts the concept of a divide-and-conquer approach. The primary task of guessing passwords is recursively divided into non-overlapping subtasks. Each subtask inherits the knowledge from the parent task and predicts succeeding tokens. In comparison to the state-of-the-art model, our proposed scheme exhibits the capability to correctly guess 12% more passwords while producing 25% fewer duplicates.
PassGAN: A Deep Learning Approach for Password Guessing
Stevens Institute of Technology（斯蒂文斯理工学院）；New York Institute of Technology（纽约理工学院）；Swiss Data Science Center, (ETH Zurich and EPFL)（瑞士数据科学中心（苏黎世联邦理工学院和洛桑联邦理工学院））
最先进的密码猜测工具，如HashCat和John the Ripper，使用户能够每秒根据密码散列检查数十亿个密码。除了执行直接的字典式攻击之外，这些工具还可以使用密码生成规则来扩展密码字典，例如单词的串联（例如，“Password 123456”）和Leet Speak（例如，“password”变为“p4 s5 w 0 rd”）。虽然这些规则在实践中运行良好，但扩展它们以模拟更多密码是一项艰巨的任务，需要专业知识。为了解决这个问题，在本文中，我们介绍PassGAN，一种新的方法，取代人类生成的密码规则与理论为基础的机器学习算法。PassGAN不依赖于手动密码分析，而是使用生成对抗网络（GAN）来自主学习实际密码泄漏中真实密码的分布，并生成高质量的密码猜测。我们的实验表明，这种方法是非常有前途的。当我们在两个大型密码数据集上评估PassGAN时，我们能够超越基于规则和最先进的机器学习密码猜测工具。然而，与其他工具相比，PassGAN在没有任何关于密码或常见密码结构的先验知识的情况下实现了这一结果。此外，当我们将PassGAN的输出与HashCat的输出相结合时，我们能够比单独使用HashCat多匹配51%-73%的密码。这是值得注意的，因为它表明PassGAN可以自主提取当前最先进的规则无法编码的大量密码属性。
