本文研究将随机森林（Random Forest）机器学习模型应用于密码猜测任务。传统密码猜测方法（如基于马尔可夫链、概率上下文无关文法或深度学习生成模型）在捕捉密码结构时各有局限：马尔可夫模型难以处理长距离依赖，PCFG 依赖人工设计规则，深度模型则通常需要大量计算资源。作者提出使用随机森林来学习密码中的字符级或片段级模式，通过构造特征向量（例如相邻字符对、字符类别转换、长度统计等）训练分类器，以预测密码中下一个最可能的字符或评估候选密码的似然性。论文的核心贡献包括：1）设计了一种适用于密码猜测的随机森林特征表示，兼顾效率与表达能力；2）在多个公开泄露的真实密码数据集上进行评测，与经典的马尔可夫链、PCFG 以及部分基于循环神经网络的方法进行对比；3）实验表明，随机森林在猜测成功率（尤其是在较少猜测次数时）与训练效率之间取得了良好平衡，训练速度显著快于深度模型，同时能逼近甚至在某些阈值下超越传统方法。文章还讨论了随机森林相对于深度模型的鲁棒性优势，例如对稀疏数据更友好、可解释性更强。该研究为密码强度评估、安全策略制定以及在线/离线密码猜测防御提供了新的技术路径，适合密码安全研究者、数据驱动的安全分析人员以及致力于改进认证机制的人员阅读。

FIDO2 是一套用于无密码身份认证的协议套件，它通过将本地身份验证（如生物识别）的易用性与公钥密码学的安全性相结合，旨在消除共享认证秘密（如密码）带来的泄露和钓鱼风险。FIDO2 假定客户端协议组件是良性行为的，从而提供强安全保证。然而，实际部署中的实现差异、配置错误或用户交互设计可能引入安全漏洞。本研究对真实世界中的 FIDO2 部署进行了安全态势评估，分析了多个广泛使用的 FIDO2 实现（包括浏览器、平台和依赖方服务）在协议实现、证书验证、注册和认证流程中的安全性。通过系统化的测试框架，作者发现了若干类安全问题：例如，某些实现未正确验证令牌来源，导致可被中间人攻击；部分依赖方未强制使用用户验证（UV），允许未经授权的访问；还有实现存在重放攻击或会话劫持风险。实验结果表明，尽管 FIDO2 协议设计健全，但实际部署的安全水平参差不齐，部分实现违反了协议规范的核心安全假设。该研究为安全工程师提供了部署 FIDO2 时的改进建议，包括必须强制用户验证、严格检查 token 签名、以及遵循最佳实践进行密钥管理。论文的主要贡献在于首次大规模实证评估 FIDO2 真实部署的安全性，揭示了协议实现与部署之间的安全缺口。适合蓝队成员、身份验证架构师及 Web 安全研究人员阅读。