PWDB - पासवर्ड मास-विश्लेषण की नई पीढ़ी

लक्ष्य

रेड टीम के 20 साल पुराने सामान को पीछे छोड़ते हुए। चीज़ें ठीक काम करती हैं, और दशकों तक कोई इन्हें जाँचने/बदलने की जहमत नहीं उठाता।

शामिल डंप

आप शामिल किए गए डंपों पर नज़र रखने के लिए इस रिपॉज़िटरी में status.txt देख सकते हैं।

40k उच्च-एंट्रॉपी पासवर्डों की रहस्यमय सूची

अपने शोध के दौरान, मैंने कुछ उच्च एंट्रॉपी वाले पासवर्ड (10 अक्षर, अपरकेस-लोअरकेस-अंक) देखे जिनका पुन: उपयोग हो रहा था। इन पासवर्डों की घटना दर बहुत कम थी, लेकिन फिर भी यह मेरी उम्मीद से कहीं अधिक थी।

इनके बारे में कुछ उल्लेखनीय बातें:

• ये सभी अपरकेस अक्षरों से शुरू और समाप्त होते हैं
• इनमें से किसी में भी कीबोर्ड पैटर्न या सार्थक शब्द नहीं दिखता।
• ये सभी 10 अक्षर लंबे हैं।
• इनमें विशेष वर्ण नहीं होते।
• इनमें से कुछ प्रति 100 मिलियन क्रेडेंशियल्स में 1 बार तक घटित हुए (यानी मेरे पास वर्तमान में इनके लगभग 10 पुन: उपयोग हैं)
• इनकी सबसे हालिया घटना: जून 2020 के एक लीक के 55623 क्रेडेंशियल्स में इनमें से 86 पाए गए

मैंने 10 अक्षर लंबे पासवर्डों को फ़िल्टर किया, जो (?=.*\d)(?=.*[a-z])(?=.*[A-Z])(?=^[A-Z][A-Za-z0-9]+[A-Z]$)(?!.*[a-z]{3})(?!.*[A-Z]{3}) से मेल खाते हैं, और जिनकी घटना दर प्रति 100 मिलियन में 1.2 से कम थी।

मैंने इस रिपॉज़िटरी के अंतर्गत mystery-list.txt में 39576 पासवर्डों की यह सूची जारी की है। मैंने इसे पुनः फ़िल्टर करके इस पैटर्न से मेल खाते 763k पासवर्ड प्राप्त किए हैं।

मुझे नहीं पता कि यह क्या उजागर करता है और इसका क्या अर्थ है, लेकिन मुझे संदेह है कि कोई पासवर्ड मैनेजर कम एंट्रॉपी वाले पासवर्ड बना रहा है, जिससे बहुत सारे उपयोगकर्ताओं के बीच पुनरावृत्तियाँ हो रही हैं। इस बारे में सभी विचारों का स्वागत और सराहना की जाती है।

किसी आँकड़े के बारे में उत्सुक हैं?

कृपया एक issue बनाएँ और बताएँ कि आप क्या जानना चाहते हैं, और यदि यह दिलचस्प है तो मैं उस चीज़ को क्वेरी करके परिणाम जोड़ दूँगा!

बेहतरीन आँकड़े

• 1.000.000.000+ डंप लाइनों में से, 257.669.588 को या तो भ्रष्ट डेटा(अनुचित प्रारूप में बकवास) या टेस्ट खातों के रूप में फ़िल्टर किया गया।
• 1 बिलियन क्रेडेंशियल्स घटकर 168.919.919 पासवर्ड और 393.386.953 उपयोगकर्ता नाम रह जाते हैं।
• सबसे आम पासवर्ड 123456 है। यह सभी पासवर्डों का लगभग 0.722% कवर करता है। (प्रति बिलियन लगभग 7 मिलियन बार)
• सबसे आम 1000 पासवर्ड सभी पासवर्डों का 6.607% कवर करते हैं।
• सबसे आम 1 मिलियन पासवर्डों के साथ, हिट-दर 36.28% है, और सबसे आम 10 मिलियन पासवर्डों के साथ हिट-दर 54.00% है।
• औसत पासवर्ड लंबाई 9.4822 अक्षर है।
• 12.04% पासवर्डों में विशेष वर्ण होते हैं।
• 28.79% पासवर्ड केवल अक्षर हैं।
• 26.16% पासवर्ड केवल लोअरकेस हैं।
• 13.37% पासवर्ड केवल संख्याएँ हैं।
• सभी पासवर्डों में से 34.41% अंकों पर समाप्त होते हैं, लेकिन केवल 4.522% पासवर्ड अंकों से शुरू होते हैं।

अद्वितीय पासवर्ड

• 8.83% पासवर्ड अद्वितीय हैं - वे केवल एक बार पाए गए।
  • उनकी औसत लंबाई 9.7965 अक्षर थी।
  • आश्चर्यजनक रूप से, इन पासवर्डों का केवल एक अंश ही अर्थहीन है।
  • इनमें से केवल 7.082% पासवर्डों में विशेष वर्ण होते हैं - बाकी ^[a-zA-Z0-9]$ से मेल खाते हैं।
  • इनमें से 20.02% पासवर्ड केवल अक्षर हैं, और 15.02% केवल लोअरकेस है।
    • लोअरकेस-अद्वितीय पासवर्डों की औसत लंबाई 9.3694 अक्षर थी।

भाषा-विशिष्टताएँ

मैंने अपने डेटा को ईमेल प्रदाताओं के टॉप-लेवल डोमेन के आधार पर विभाजित किया है। (फ़िल्टर यहाँ: https://gist.github.com/FlameOfIgnis/9a1da894e8ae385a1ee58b8a734b8979)

मैं अभी के लिए केवल शीर्ष 150 पासवर्डों की छोटी सूचियाँ जारी कर रहा हूँ। अंततः मैं पूरी सूचियाँ जारी करूँगा। अभी के लिए मैं सार्वजनिक रूप से अधूरा संस्करण जारी करने से बचने की कोशिश करूँगा।

मैं प्रति बिलियन क्रेडेंशियल्स प्रोसेस करने पर इन सूचियों को अपडेट करूँगा। इसलिए भले ही कुछ भाषाओं की सूचियाँ अभी पूरी नहीं हैं, वे जल्द ही बेहतर स्थिति में होंगी।

मेरे पास

• यूक्रेनियाई
• जर्मन
• रूसी
• इतालवी
• जापानी
• पुर्तगाली
• पोलिश
• फ्रेंच

खातों के लिए 1M पासवर्ड सूचियाँ बनाने हेतु पर्याप्त डेटा था।

इसके विपरीत, मेरे पास

• सर्बियाई
• अज़रबैजानी
• अरबी
• जॉर्जियाई
• रोमानियाई
• उज़्बेक
• मैसेडोनियाई
• फ़ारसी
• अर्मेनियाई
• अल्बानियाई
• तुर्कमेन
• कैस्टिलियन
• अम्हारिक्
• बर्मी
• बुल्गारियाई
• मंगोलियाई
• कैटलन
• टिग्रिन्या
• ताजिक
• कोरियाई

खातों के लिए विश्वसनीय सूचियाँ बनाने हेतु बहुत कम डेटा था।

और मेरे पास स्लोवेनियाई भाषा वाले कुल 0 खाते थे।

rockyou.txt के साथ तुलना के बेहतरीन आँकड़े

• Rockyou.txt में 14.344.391 पासवर्ड हैं।
• सबसे आम 14.344.391 (rockyou के समान) पासवर्डों को फ़िल्टर करने के बाद, उनमें से 11.583.476 rockyou.txt में नहीं थे (%80 का अनुपात)
• केवल rockyou की पहली 1000 लाइनों और इस डेटा में, 411 लाइनों का अंतर है - यानी 411 पासवर्ड rockyou.txt की शीर्ष 1k लाइनों में नहीं थे।
  • सबसे आम 1000 पासवर्डों में से, 37 rockyou (पूरे rockyou) में नहीं थे। ये पासवर्ड हैं:

rockyou में वे 37 पासवर्ड अनुपलब्ध हैं जो शीर्ष 1000 में रैंक किए गए हैं।

बहुत संभव है कि इनमें से लगभग 8 टेस्ट खातों/खराब डंपों से हैं जिन्हें मैं सही ढंग से फ़िल्टर नहीं कर पाया

123hfjdk147
1464688081
159753qq
2012comeer
6V21wbgad
<password>
Blink123
D1lakiss
Exigent
Groupd2013
Indya123
N0=Acc3ss
R9lw4j8khX
Status
Telechargement
aobo2010
baili123com
bhf
cme2012
demon1q2w3e
demon1q2w3e4r
demon1q2w3e4r5t
exigent
g13916055158
hg0209
lincogo1
lizottes
megaparol12345
minecraft
nks230kjs82
nonmember
nyq28Giz1Z
pk3x7w9W
rr123456rr
startfinding
youbye123
yuantuo2012

अपडेट करना

मैं 1 बिलियन क्रेडेंशियल्स के हिस्सों में काम करने की कोशिश करूँगा और डेटा प्रोसेस होते ही इसे नियमित रूप से अपडेट करता रहूँगा, जब तक कि मेरे पास डंप खत्म नहीं हो जाते।

प्रोजेक्ट पसंद है? इसमें और संसाधन झोंकने में मेरी मदद करें!

bc1quxwhewutde2ehjzqcflcgdjqwg34pmcdq3chcp