随着计算技术的发展,研究人员提出了各种新型的身份认证技术并受到了广泛的关注,如人脸识别、指纹识别等。但是由于口令有便捷易用、容易修改、成本低廉等特性,在未来很长一段时间内仍是不可替代的身份认证方案。口令自上世纪70年代诞生以来,一直受到安全问题的困扰。用户在设置口令的时候,通常会选择简单易记的口令,因此口令猜测攻击成为目前基于口令的认证方式所需要正视的最大安全威胁。为了应对口令猜测攻击,网站会设置口令强度评价器评估用户口令的安全性,以此防止用户设置弱口令。而评估用户口令强度最有效的方法就是使用攻击算法模拟攻击者进行实际攻击,根据攻击结果进行衡量。目前主流的口令猜测算法大都基于传统的统计学习方法设计,如PCFG算法以及Markov模型。作为统计学习的延续和发展,机器学习在越来越多的领域上都显示了良好的应用效果。尽本文所知,目前关于将机器学习应用到口令猜测算法的研究还处于起步阶段,因此基于机器学习的猜测算法能否提高攻击效率是一个十分有现实意义的研究课题。本文基于经典机器学习的方法,分别针对漫步猜测、基于个人信息的定向猜测和基于口令重用行为的定向猜测这三种攻击场景,设计出攻击效果更好的口令猜测算法,为用户评估口令强度提供更准确的依据。本文主要完成了以下工作:·提出基于随机森林的漫步攻击算法。漫步攻击作为最常见的攻击场景之一,即不使用任何个人信息进行口令猜测,是目前口令安全面临的最大的威胁之一。本文通过把口令猜测转换为常见的分类问题,设计出基于随机森林的漫步攻击算法,并通过多组实验验证算法的有效性,与传统的口令猜测算法对比攻破率及攻击效率均有大幅提升。而与2016年学术界提出的基于深度学习的漫步攻击算法相比,在小数据集上虽无明显改进,但在大数据集上,本文提出的算法与基于深度学习的攻击算法相比,在训练时间上少70%,在攻破率上稳定提升3%以上,无论是训练时间还是攻破率都有明显优势。·提出基于随机森林的面向个人信息的定向口令攻击算法。用户在创建口令时,为了更好地记忆口令,通常会在口令中加入个人信息。而网站评估口令强度时往往会忽略个人信息的影响,因此高估用户的口令强度。一旦用户个人信息遭到泄露,攻击者便可能轻易破解网站所认为的强口令。本文通过设计算法提取口令中的个人信息特征,然后设计出基于个人信息的随机森林定向口令猜测算法,并与学术界目前效果最好的基于个人信息的定向口令猜测算法Targeted Markov进行对比。实验结果显示,本文的算法在小猜测次数下攻破率有3%～10%的提升,在大猜测次数下攻破率有5%～18%的提升。因此在拟合能力和泛化能力上,本文提出的算法均有明显的提升,有效解决了主流算法存在的个人信息匹配和拟合原理的问题,为更精确地评估用户个人信息给口令安全带来的威胁提供了更有效的途径。·提出基于统计学和随机森林的面向口令重用的定向攻击算法。当用户设置多个账户的口令的时候,由于用户的记忆有限,往往会直接重用另一口令或者做简单变换。一旦攻击者获取了用户在一个网站的口令,便可能只需要几次猜测便可破解另一网站的口令。本文基于统计学和随机森林的方法,设计新的基于重用口令的定向口令猜测算法,并与学术界在这一问题上效果最好的Targuess II进行对比。实验结果显示本文提出的算法在10次猜测时能多破解2%～5%的口令。这一算法可用于用户修改口令时,网站可以更好地评估新口令的重用行为。