МОДЕЛЬ ОБЧИСЛЮВАЛЬНОЇ СКЛАДНОСТІ ТА ЕФЕКТИВНОСТІ АТАК ПІДБОРУ ПАРОЛІВ ІЗ ЗАЛУЧЕННЯМ OSINT ТА ВЕЛИКИХ МОВНИХ МОДЕЛЕЙ

Аркадій Снігуров; Павло Заіка

doi:10.28925/2663-4023.2026.35.1424

Автор(и)

Аркадій Снігуров Харківський національний університет радіоелектроніки https://orcid.org/0000-0003-1355-7978
Павло Заіка Харківський національний університет радіоелектроніки https://orcid.org/0009-0000-4181-7429

DOI:

https://doi.org/10.28925/2663-4023.2026.35.1424

Ключові слова:

парольна автентифікація, атаки підбору паролів, словникова атака, обчислювальна складність, позиція влучення, розвідка за відкритими джерелами (OSINT), великі мовні моделі, ланцюги Маркова, хешування

Анотація

Розглянуто сучасні вектори атак на парольні системи в умовах, коли обмеження кількості спроб знецінило повний перебір, а відкриті генеративні моделі та засоби розвідки за відкритими джерелами здешевили цільовий підбір, орієнтований на конкретного користувача. Показано, що наявні показники результативності (частка скомпрометованих облікових записів, час до першого влучення та теоретико-множинна складність) не зводяться до спільної шкали. Через це методи різної природи неможливо кількісно зіставити. Запропоновано модель обчислювальної складності, у якій вартість атаки подано як добуток позиції влучення у словнику на тривалість одного хешування. Модель конкретизовано для п'яти класів атак: повного перебору, корпусної, статистичної на основі ланцюгів Маркова, комбінаторної за OSINT-правилами та генеративної на основі великої мовної моделі. Введено параметр ефективності як відношення емпіричної ймовірності успіху до обчислювальної складності, доповнений оцінкою вартості невдалого прогону словника. Структура параметра відокремлює вплив словника, що діє через позицію влучення, від впливу алгоритму зберігання, що діє як спільний масштабувальний множник. Експериментальну перевірку виконано на еталонних паролях профілів із чотирма словниками та алгоритмами MD5, SHA-256, bcrypt і Argon2id. Комбінаторний OSINT-словник, у 57 разів менший за мільйонну вибірку RockYou, скомпрометував 66,7 % паролів. Корпусний і марковський словники не дали жодного точного збігу. Генеративний словник мав нижчу ймовірність успіху (3,3 %), але знайшов пароль на 232-й позиції. Його ефективність виявилася приблизно в 3,5 раза вищою, ніж у комбінаторного, і ця перевага не видна при порівнянні самих часток компрометації. Перехід до повільних алгоритмів знижує ефективність усіх атак приблизно на шість порядків без зміни їхнього відносного порядку. На основі результатів запропоновано пошарову систему заходів захисту, упорядковану за виміряним впливом на стійкість.

Завантаження

Дані завантаження ще не доступні.

Посилання

Radivilova, T., Kirichenko, L., & Alghawli, A. S. (2019). Entropy analysis method for attacks detection. In 2019 IEEE International Scientific-Practical Conference Problems of Infocommunications, Science and Technology (PIC S&T) (pp. 443–446). IEEE. https://doi.org/10.1109/PICST47496.2019.9061451

Заіка, П. В. (2026). Дослідження методів забезпечення парольної безпеки на основі аналізу актуальних векторів атак [Кваліфікаційна робота бакалавра, Харківський національний університет радіоелектроніки]. Електронний архів ХНУРЕ (OpenHUB).

Kanta, A., Coray, S., Coisel, I., & Scanlon, M. (2021). How viable is password cracking in digital forensic investigation? Analyzing the guessability of over 3.9 billion real-world accounts. Forensic Science International: Digital Investigation, 37, 301186. https://doi.org/10.1016/j.fsidi.2021.301186

Rodrigues, G. A. P., Fernandes, P. A. G., Serrano, A. L. M., Ribeiro, P. H. C., & de Oliveira, A. L. I. (2025). From RockYou to RockYou2024: Analyzing password patterns across generations, their use in industrial systems and vulnerability to password guessing attacks. Journal of Internet Services and Applications, 16(1), 69–86. https://doi.org/10.5753/jisa.2025.4384

Nisenoff, A., Golla, M., Wei, M., Hainline, J., Szymanek, H., Braun, A., Hildebrandt, A., Christensen, B., Langenberg, D., and Ur, B. (2023). A two-decade retrospective analysis of a university's vulnerability to attacks exploiting reused passwords. In Proceedings of the 32nd USENIX Conference on Security Symposium (SEC '23). USENIX Association, USA, 287, pp. 5127–5144.

Ou, W., Sun, C., Pang, M., Wu, Z., & Chen, J. (2026). Improving targeted password guessing attacks by using personally identifiable information and old password. Cybersecurity 9, 9. https://doi.org/10.1186/s42400-025-00430-0

Wang, D., Shan, X., Dong, Q., Cheng, H., & Wang, P. (2023). No single silver bullet: Measuring the accuracy of password strength meters. In 32nd USENIX Security Symposium (USENIX Security 23) (pp. 947–964). USENIX Association.

National Institute of Standards and Technology. (2024). Digital identity guidelines: Authentication and lifecycle management (NIST Special Publication 800-63B-4). U.S. Department of Commerce. https://doi.org/10.6028/NIST.SP.800-63b-4

Radivilova, T., Kirichenko, L., Tawalbeh, M., & Ilkov, A. (2021). Виявлення аномалій в телекомунікаційному трафіку статистичними методами. Електронне фахове наукове видання «Кібербезпека: освіта, наука, техніка», 3(11), 183–194. https://doi.org/10.28925/2663-4023.2021.11.183194

Jiang, J., Zhou, A., Liu, L., & Zhang, L. (2022). OMECDN: A password-generation model based on an ordered Markov enumerator and critic discriminant network. Applied Sciences, 12(23), 12379. https://doi.org/10.3390/app122312379

Hitaj, B., Gasti, P., Ateniese, G., Perez-Cruz, F. (2019). PassGAN: A Deep Learning Approach for Password Guessing. In: Deng, R., Gauthier-Umaña, V., Ochoa, M., Yung, M. (eds) Applied Cryptography and Network Security. ACNS 2019. Lecture Notes in Computer Science(), vol 11464. Springer, Cham. https://doi.org/10.1007/978-3-030-21568-2_11

Rando, J., Perez-Cruz, F., Hitaj, B. (2024). PassGPT: Password Modeling and (Guided) Generation with Large Language Models. In: Tsudik, G., Conti, M., Liang, K., Smaragdakis, G. (eds) Computer Security – ESORICS 2023. ESORICS 2023. Lecture Notes in Computer Science, vol 14347. Springer, Cham. https://doi.org/10.1007/978-3-031-51482-1_9

Imhof, G., Kanta, A., & Scanlon, M. (2025). Context-based password cracking dictionary expansion using generative pre-trained transformers. In 2024 Cyber Research Conference - Ireland, Cyber-RCI 2024 Institute of Electrical and Electronics Engineers Inc.. https://doi.org/10.1109/Cyber-RCI60769.2024.10939663

Wang, D., Zhang, Z., Wang, P., Yan, J., & Huang, X. (2016). Targeted online password guessing: An underestimated threat. In Proceedings of the 2016 ACM SIGSAC Conference on Computer and Communications Security (CCS '16) (pp. 1242–1254). Association for Computing Machinery. https://doi.org/10.1145/2976749.2978339

Radivilova, T., Kirichenko, L., Pantelieiev, V., Mazepa, A., & Bilodid, V. (2024). Analysis of authentication methods for full-stack applications and implementation of a web application with an integrated authentication system. Innovative technologies and scientific solutions for industries, 3 (29), 76–90. https://doi.org/10.30837/2522-9818.2024.3.076