{"id":4688,"date":"2021-10-13T03:17:46","date_gmt":"2021-10-13T03:17:46","guid":{"rendered":"https:\/\/lamarr-institute.org\/blog\/deep-learning-passwoerter\/"},"modified":"2025-11-12T14:54:48","modified_gmt":"2025-11-12T14:54:48","slug":"deep-learning-passwoerter","status":"publish","type":"blog","link":"https:\/\/lamarr-institute.org\/de\/blog\/deep-learning-passwoerter\/","title":{"rendered":"Mit Deep-Learning Passw\u00f6rter generieren"},"content":{"rendered":"\n

Die mit Abstand g\u00e4ngigste Art, Nutzer*innen auf Internetseiten und Ger\u00e4ten zu identifizieren, sind Passw\u00f6rter. So werden sie seit Jahrzehnten zur Identifikation verwendet, sind Nutzer*innen und Entwickler*innen bekannt und einfach zu verwenden. Allerdings stellen sie f\u00fcr sich allein keine besonders sichere Authentifikationsmethode dar. Benutzer*innen neigen dazu dasselbe Passwort auf mehreren Seiten zu verwenden und benutzen einfache, kurze Passw\u00f6rter bestehend aus gel\u00e4ufigen Zeichenketten und W\u00f6rtern, die in W\u00f6rterb\u00fcchern zu finden sind. Somit zeigen Menschen h\u00e4ufig erkennbare Verhaltensmuster beim Erstellen von Passw\u00f6rtern. Diese Muster zu untersuchen und die erkannten Regelm\u00e4\u00dfigkeiten zur Erstellung von neuen, sichereren Passw\u00f6rtern zu verwenden, ist Thema des Forschungsbereichs des Password Guessing<\/em>.<\/p>\n\n\n\n

In Zusammenarbeit mit dem Bundeskriminalamt in Wiesbaden haben Forschende des ML2R nun untersucht, wie sich Deep-Learning-Algorithmen im Bereich des Password Guessings anwenden lassen.<\/p>\n\n\n\n

\"-
\u00a9 ML2R
Password-Guessing-Algorithmen versuchen, Passw\u00f6rter zu rekonstruieren, um die Sicherheit von Systemen zu pr\u00fcfen.<\/figcaption><\/figure>\n\n\n\n

Password Guessing: Untersuchung von Passwort-Datens\u00e4tzen<\/h2>\n\n\n\n

Password Guessing ist ein aktives Forschungsfeld, in dem versucht wird in bereits bekannten Datens\u00e4tzen von Passw\u00f6rtern statistische Muster zu erkennen und dadurch effizient neue Passw\u00f6rter zu erstellen. Das Forschungsfeld hat in den letzten Jahren bedeutende Durchbr\u00fcche mittels Deep Learning erzielt. Deswegen konzentrieren wir uns in unserer Forschung auf eine breite Sammlung von Deep-Learning- und probabilistischen Modellen, um neue, sicherere Passw\u00f6rter generieren zu k\u00f6nnen. Diese neuen Passw\u00f6rter k\u00f6nnen dann verwendet werden, um zum Beispiel die IT-Sicherheit in Unternehmen zu testen (Penetration Testing): Erm\u00f6glicht eines der generierten Passw\u00f6rter Zugang zum System, waren die gesetzten Passw\u00f6rter zu schwach. Genauso k\u00f6nnen Nutzer diese Algorithmen verwenden, um die St\u00e4rke der eigenen Passw\u00f6rter zu testen: Ist der Algorithmus in der Lage, das eigene Passwort aus bekannten Datens\u00e4tzen herzuleiten, sollte  ein st\u00e4rkeres Passwort ausgew\u00e4hlt werden. Theoretisch l\u00e4sst sich das Passwort eines Systems, das nur von einem Passwort gesch\u00fctzt ist, erraten, in dem man alle \u00fcberhaupt m\u00f6glichen Passw\u00f6rter ausprobiert (Brute Forcing). Praktisch versagt diese Methode jedoch an der Anzahl der m\u00f6glichen Kombinationen f\u00fcr Passw\u00f6rter schon ab ein paar Zeichen L\u00e4nge. Daher werden Algorithmen verwendet, die aus der schier endlosen Zahl an m\u00f6glichen Zeichenkombinationen jene herausfiltern, die mit einer h\u00f6heren Wahrscheinlichkeit als Passwort gesetzt werden k\u00f6nnten.<\/p>\n\n\n\n

Password-Guessing-Algorithmen setzen gr\u00f6\u00dftenteils auf statistische Analyse und die Anwendung von Regeln. Einerseits werden im Datensatz h\u00e4ufig vorkommende Zeichenfolgen gez\u00e4hlt und neu kombiniert, andererseits k\u00f6nnen Regeln erstellt werden, wie aus bekannten Passw\u00f6rtern neue erstellt werden. Beispiele hierf\u00fcr sind die Anpassung von Gro\u00df- und Kleinschreibung oder das Anh\u00e4ngen von Zahlen und Buchstaben.<\/p>\n\n\n\n

Wie Deep Learning die Analyse von Passw\u00f6rtern voranbringt<\/h2>\n\n\n\n

Die Vorteile von Deep-Learning-Modellen bei der Analyse von Passw\u00f6rtern liegen auf der Hand: Machine-Learning-Algorithmen haben wiederholt bewiesen, dass sie in der Lage sind aus reinen unstrukturierten Daten Muster zu erkennen, die ein Mensch niemals gefunden h\u00e4tte. Au\u00dferdem m\u00fcssen sie keine starren Regeln zur Generierung von Text befolgen und sind in ihren M\u00f6glichkeiten sehr flexibel.<\/p>\n\n\n\n

In unserer Forschung entwickeln wir neuartige generative Deep-Learning-Modelle, welche selbstst\u00e4ndig Passwort-Datens\u00e4tze analysieren und neue Passw\u00f6rter erzeugen, deren Qualit\u00e4t mit den etablierten Methoden mithalten kann und sie teilweise \u00fcbertrifft. Zus\u00e4tzlich erm\u00f6glichen die Architekturen die gezielte Generierung von Passw\u00f6rtern nach gew\u00fcnschten Mustern oder Beispiel-Passw\u00f6rtern.<\/p>\n\n\n\n

Daf\u00fcr f\u00fchren wir eine gr\u00fcndliche empirische Analyse in einem kontrollierten Rahmen \u00fcber bekannte Datens\u00e4tze (RockYou, LinkedIn, Youku, Zomato, Pwnd) durch. Die Daten haben sich als Standard-Datens\u00e4tze in der Forschung etabliert und sind reine Passwort-Datens\u00e4tze (das hei\u00dft ohne dazugeh\u00f6rige Nutzernamen\/E-Mail-Adressen). Unsere Ergebnisse identifizieren nicht nur die vielversprechendsten, von tiefen neuronalen Netzen angetriebenen Modelle,  sondern veranschaulichen auch die St\u00e4rken der einzelnen Ans\u00e4tze in Bezug auf die Generierungsvariabilit\u00e4t und die Einzigartigkeit der Stichprobe. Untersucht wurden dabei drei Ans\u00e4tze:<\/p>\n\n\n\n

Auto-Encoder: <\/strong>Ein Auto-Encoder besteht aus einem Enkodierer und einem Dekodierer, die einen Datenpunkt (in diesem Fall ein einzelnes Passwort) erst komprimieren und anschlie\u00dfend aus der komprimierten Version wiederherstellen. Ziel ist es eine kompakte komprimierte Version des Passwortes zu lernen, das bereits alle n\u00f6tigen Informationen enth\u00e4lt, um das Passwort m\u00f6glichst genau wiederherzustellen. Um neue Datenpunkte zu generieren, muss man nun lediglich einen komprimierten Datenpunkt erstellen (was durch Sampling aus einer Wahrscheinlichkeitsverteilung passiert) und an den Dekodierer weitergeben, der daraus ein Passwort generiert. Eine interessante Eigenschaft stellt dabei die Beschaffenheit des Raumes aller komprimierten Datenpunkte dar: \u00e4hnliche Datenpunkte werden zu \u00e4hnlichen komprimierten Datenpunkten enkodiert. Sampled man nun nur aus einer Umgebung eines enkodierten Datenpunktes, werden die neuen generierten Passw\u00f6rter ebenfalls alle \u00e4hnlich aussehen. Dadurch kann vorhandenes Wissen \u00fcber die Zielpassw\u00f6rter in den Generationsprozess miteinbezogen werden.<\/p>\n\n\n\n

Generative Adversarial Networks: <\/strong>Generative Adversarial Networks (GAN) stellen den aktuellen Stand der Forschung f\u00fcr die k\u00fcnstliche Erstellung von Bildern dar, sind allerdings schwieriger auf Text anzuwenden. Ein GAN besteht aus zwei unabh\u00e4ngigen Netzwerken: Ein Generator-Netzwerk erstellt neue Datenpunkte aus zuf\u00e4lligen Inputdaten (zum Beispiel Samples aus einer Verteilungsfunktion) und ein Diskriminator-Netzwerk erh\u00e4lt diese k\u00fcnstlichen Daten zusammen mit echten Daten und entscheidet, welche Datenpunkte echt und welche k\u00fcnstlich generiert sind. Durch das Training wird der Diskriminator immer besser darin, k\u00fcnstliche und echte Daten (Passw\u00f6rter) auseinanderzuhalten und der Generator lernt, aus zuf\u00e4lligen Daten realistische k\u00fcnstliche Passw\u00f6rter zu erzeugen.<\/p>\n\n\n\n

Transformer-basierte Sprachmodelle: <\/strong>Transformer haben in den letzten Jahren das Feld der Verarbeitung nat\u00fcrlicher Sprache revolutioniert. Eine bekannte Version der Transformer-basierten<\/a> Architektur stellt GPT2 dar, ein sogenanntes Sprachmodell. Sprachmodelle sind Architekturen, die Sprache als Flie\u00dftext einlesen und an jedem Punkt versuchen das n\u00e4chste kommende Wort vorauszusagen. Durch den Vergleich des tats\u00e4chlichen n\u00e4chsten Wortes und der eigenen Vorhersage wird das Modell trainiert. Passw\u00f6rter m\u00fcssen f\u00fcr das Training also zu einem langen Flie\u00dftext aus zuf\u00e4lligen Passw\u00f6rtern zusammengef\u00fcgt werden. Um neuen Text zu generieren, kann man dem Modell dann einen Satzanfang eingeben und das Modell wird den Satz jeweils mit den passendsten W\u00f6rtern fortsetzen. Um neue Passw\u00f6rter zu generieren, kann man dann einen “Satz“ zum Beispiel mit einer zuf\u00e4lligen Zeichenfolge beginnen und das Modell schreibt daraufhin einen langen Flie\u00dftext aus Passw\u00f6rtern.<\/p>\n\n\n\n

Eine interessante Variante des Sprachmodelltrainings ist das Pretraining und Finetuning. Das Modell wird zuerst auf einem gro\u00dfen Korpus englischer Sprachdaten trainiert und anschlie\u00dfend auf Passwortdaten fortgesetzt. Die Entwickler*innen stellen daf\u00fcr Modelle zur Verf\u00fcgung, die bereits auf gro\u00dfen Mengen von Daten unter gro\u00dfem Einsatz von Rechenzeit und kostspieliger Hardware trainiert wurden. In der Anwendung zeigt diese Art von Training Vorteile, wenn der Passwort-Datensatz relativ klein ist. Das Trainieren auf normaler Sprache scheint den Modellen also Informationen \u00fcber allgemeine Sprache zu geben, die sich dann auf Passwort-Daten \u00fcbertragen l\u00e4sst. (Mehr Informationen zu der Funktionsweise von Transformer-basierten Sprachmodellen anhand von BERT finden Sie in unseren Beitr\u00e4gen: Die Bedeutung von Worten durch Vektoren erfassen<\/a> und  BERT: Wie beschreiben Vektoren treffend den Sinngehalt von W\u00f6rtern?<\/a>)<\/p>\n\n\n\n

\"-
\u00a9 ML2R
Auto-Encoder k\u00f6nnen die Struktur der komprimierten Datenpunkte ausnutzen, um gezielt Passw\u00f6rter mit bestimmten Eigenschaften zu erzeugen. Hier: Alle Passw\u00f6rter enthalten das Wort \u2018love\u2019.<\/figcaption><\/figure>\n\n\n\n

Deep-Learning-Modelle als flexible Passwort-Generatoren<\/h2>\n\n\n\n

Alle genannten Modelle zeigten sich in der Lage, realistische Passw\u00f6rter zu erzeugen, die nicht bereits Teil des Trainingsdatensatzes sind. Viele dieser neuen Passw\u00f6rter findet man in anderen Passwort-Datens\u00e4tzen wieder. Das bedeutet, dass die erzeugten Zeichenketten nicht zuf\u00e4llig sind, sondern teilweise tats\u00e4chlich von einem Menschen als Passwort verwendet wurden. Die Modelle haben somit ausgehend vom reinen Lesen eines Datensatzes gelernt, wie Passw\u00f6rter aussehen und welche Strukturen sie besitzen, und k\u00f6nnen aus diesen gelernten Faktoren selbstst\u00e4ndig komplett neue Passw\u00f6rter erstellen.  Zus\u00e4tzlich k\u00f6nnen die trainierten Modelle Passw\u00f6rter einlesen und mit den Trainingsdaten vergleichen, was es zum Beispiel erm\u00f6glicht, Nutzer*innen vor unsicheren Passw\u00f6rtern zu warnen. Auto-Encoder basierte Modelle erlauben au\u00dferdem, gezielt Eigenschaften der zu erzeugenden Passw\u00f6rter zu bestimmen.<\/p>\n\n\n\n

Wir sehen also, dass Deep Learning basierte Modelle mit regelbasierten und aufw\u00e4ndig durch menschlichen Input angepassten Ans\u00e4tzen nicht nur mithalten k\u00f6nnen, sondern auch Funktionen erm\u00f6glichen, die mit diesen herk\u00f6mmlichen Methoden kaum hinreichend realisierbar waren. Zuk\u00fcnftige Forschung wird sich damit besch\u00e4ftigen, Erkenntnisse aus der weitl\u00e4ufigen Welt der Password-Guessing-Algorithmen anzuwenden, um die Performanz der genannten Modelle  zu steigern. Details zu den verwendeten Modellen, Training, Ergebnissen und Vergleiche mit bestehenden Algorithmen haben wir in einem Preprint gemeinsam mit dem Bundeskriminalamt zusammengefasst:<\/p>\n\n\n\n

Generative Deep Learning Techniques for Password Generation <\/strong>David Biesner, Kostadin Cvejoski, Bogdan Georgiev, Rafet Sifa, Erik Krupicka, 2020, arXiv, PDF.<\/a><\/p>\n\n\n\n

Eine erweiterte Version wurde als Konferenzpaper in ICANN 2021 ver\u00f6ffentlicht:
Advances in Password Recovery using Generative Deep Learning Techniques<\/strong>
David Biesner, Kostadin Cvejoski, Bogdan Georgiev, Rafet Sifa, Erik Krupicka, Artificial Neural Networks and Machine Learning \u2013 ICANN, 2021, Link<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"

Menschen setzen Passw\u00f6rter meist nicht zuf\u00e4llig, wodurch Systeme anf\u00e4llig f\u00fcr Angriffe werden. In unserem Forschungsprojekt untersuchen wir Deep-Learning-Modelle, um neue, sicherere Passw\u00f6rter zu generieren und die IT-Sicherheit in Unternehmen zu testen.<\/p>\n","protected":false},"author":9,"featured_media":4693,"template":"","meta":{"_acf_changed":false,"footnotes":""},"blog-category":[1416,396],"blog-tag":[1655,1460,1480,1512,1514,1614],"class_list":["post-4688","blog","type-blog","status-publish","has-post-thumbnail","hentry","blog-category-alle-blogbeitraege","blog-category-forschung","blog-tag-autoenconder","blog-tag-cybersicherheit","blog-tag-deep-learning-de","blog-tag-gans-de","blog-tag-generative-ki","blog-tag-transformer-de"],"acf":[],"publishpress_future_workflow_manual_trigger":{"enabledWorkflows":[]},"_links":{"self":[{"href":"https:\/\/lamarr-institute.org\/de\/wp-json\/wp\/v2\/blog\/4688","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/lamarr-institute.org\/de\/wp-json\/wp\/v2\/blog"}],"about":[{"href":"https:\/\/lamarr-institute.org\/de\/wp-json\/wp\/v2\/types\/blog"}],"author":[{"embeddable":true,"href":"https:\/\/lamarr-institute.org\/de\/wp-json\/wp\/v2\/users\/9"}],"version-history":[{"count":0,"href":"https:\/\/lamarr-institute.org\/de\/wp-json\/wp\/v2\/blog\/4688\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/lamarr-institute.org\/de\/wp-json\/wp\/v2\/media\/4693"}],"wp:attachment":[{"href":"https:\/\/lamarr-institute.org\/de\/wp-json\/wp\/v2\/media?parent=4688"}],"wp:term":[{"taxonomy":"blog-category","embeddable":true,"href":"https:\/\/lamarr-institute.org\/de\/wp-json\/wp\/v2\/blog-category?post=4688"},{"taxonomy":"blog-tag","embeddable":true,"href":"https:\/\/lamarr-institute.org\/de\/wp-json\/wp\/v2\/blog-tag?post=4688"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}