PWDB - 차세대 대규모 패스워드 분석

목표

20년 된 레드팀 도구들을 뒤로하고. 기존 도구들은 잘 작동하지만, 수십 년 동안 아무도 확인하거나 교체하려 하지 않는다.

포함된 덤프

이 저장소의 status.txt에서 포함된 덤프 목록을 확인할 수 있습니다.

40k 고엔트로피 패스워드 미스터리 목록

연구 중에 재사용되고 있는 소수의 고엔트로피 패스워드(10자, 대문자-소문자-숫자)를 발견했습니다. 이 패스워드들의 발생률은 매우 낮았지만, 제가 예상했던 것보다는 훨씬 많았습니다.

이들에 대한 주목할 만한 점:

• 모두 대문자로 시작하고 대문자로 끝납니다.
• 그중 어느 것도 키보드 패턴이나 의미 있는 단어를 포함하지 않는 것으로 보입니다.
• 모두 10자리 길이입니다.
• 특수 문자를 포함하지 않습니다.
• 일부는 1억 개의 자격 증명당 최대 1회 발생했습니다(즉, 현재 약 10회 재사용되었다는 뜻입니다).
• 이들 중 가장 최근 발생: 2020년 6월 유출된 55623개의 자격 증명에서 86개가 발견되었습니다.

10자 길이이고 (?=.*\d)(?=.*[a-z])(?=.*[A-Z])(?=^[A-Z][A-Za-z0-9]+[A-Z]$)(?!.*[a-z]{3})(?!.*[A-Z]{3})에 해당하며 1억 개당 발생률이 1.2 미만인 패스워드들을 필터링했습니다.

이 저장소의 mystery-list.txt에 39576개의 패스워드 목록을 공개했습니다. 이 패턴에 해당하는 763k개의 패스워드를 얻기 위해 다시 필터링했습니다.

이것이 무엇을 밝혀내고 무엇을 의미하는지 알 수 없지만, 일부 패스워드 매니저가 낮은 엔트로피로 패스워드를 생성하여 많은 사용자들 사이에서 반복을 초래하고 있다고 의심하고 있습니다. 이에 대한 모든 의견을 환영하며 감사히 여기겠습니다.

통계가 궁금하신가요?

이슈를 생성하여 알고 싶은 내용을 설명해 주세요. 흥미로운 질문이라면 데이터를 조회하여 결과를 추가하겠습니다!

흥미로운 통계

• 10억 개 이상의 덤프 라인 중 257.669.588개는 손상된 데이터(잘못된 형식의 쓰레기) 또는 테스트 계정으로 필터링되었습니다.
• 10억 개의 자격 증명은 168.919.919개의 패스워드와 393.386.953개의 사용자 이름으로 압축됩니다.
• 가장 흔한 패스워드는 123456입니다. 전체 패스워드의 약 0.722%를 차지합니다. (10억 개당 약 700만 회)
• 가장 흔한 1000개의 패스워드는 전체 패스워드의 6.607%를 차지합니다.
• 가장 흔한 100만 개의 패스워드로 적중률은 36.28%, 가장 흔한 1000만 개의 패스워드로 적중률은 54.00%입니다.
• 평균 패스워드 길이는 9.4822자입니다.
• 패스워드의 12.04%는 특수 문자를 포함합니다.
• 패스워드의 28.79%는 문자만으로 구성됩니다.
• 패스워드의 26.16%는 소문자만으로 구성됩니다.
• 패스워드의 13.37%는 숫자만으로 구성됩니다.
• 전체 패스워드의 34.41%는 숫자로 끝나지만, 숫자로 시작하는 패스워드는 4.522%에 불과합니다.

고유 패스워드

• 패스워드의 8.83%는 고유합니다 - 단 한 번만 발견되었습니다.
  • 평균 길이는 9.7965자였습니다.
  • 놀랍게도, 이 패스워드들 중 극히 일부만이 의미 없는 패스워드입니다.
  • 이 패스워드 중 7.082%만이 특수 문자를 포함합니다 - 나머지는 ^[a-zA-Z0-9]$에 해당합니다.
  • 이 패스워드의 20.02%는 문자만으로, 15.02%는 소문자만으로 구성되어 있습니다.
    • 소문자 고유 패스워드의 평균 길이는 9.3694자였습니다.

언어별 특성

이메일 제공업체의 최상위 도메인에 따라 데이터를 분류했습니다. (필터: https://gist.github.com/FlameOfIgnis/9a1da894e8ae385a1ee58b8a734b8979)

지금은 상위 150개 패스워드의 짧은 목록만 공개합니다. 결국에는 전체 목록도 공개할 예정입니다. 현재로서는 불완전한 버전을 공개적으로 배포하지 않으려고 합니다.

처리하는 10억 개의 자격 증명마다 이 목록들을 업데이트할 것입니다. 따라서 일부 언어 목록이 아직 완전하지 않더라도 곧 더 나은 상태가 될 것입니다.

다음 언어의 계정에 대해서는 100만 개의 패스워드 목록을 생성할 만큼 충분한 데이터가 있었습니다:

• 우크라이나어
• 독일어
• 러시아어
• 이탈리아어
• 일본어
• 포르투갈어
• 폴란드어
• 프랑스어

반면에, 다음 언어의 계정에 대해서는 신뢰할 수 있는 목록을 생성하기에 데이터가 너무 적었습니다:

• 세르비아어
• 아제르바이잔어
• 아랍어
• 조지아어
• 루마니아어
• 우즈베크어
• 마케도니아어
• 페르시아어
• 아르메니아어
• 알바니아어
• 투르크멘어
• 카스티야어
• 암하라어
• 버마어
• 불가리아어
• 몽골어
• 카탈루냐어
• 티그리냐어
• 타지크어
• 한국어

그리고 슬로베니아어 계정은 총 0개였습니다.

rockyou.txt와의 비교 통계

• Rockyou.txt에는 14.344.391개의 패스워드가 포함되어 있습니다.
• 가장 흔한 14.344.391개(rockyou와 동일한 수)의 패스워드를 필터링한 결과, 그중 11.583.476개는 rockyou.txt에 없었습니다(%80의 비율).
• rockyou와 이 데이터의 첫 1000줄 사이에는 411줄의 차이가 있습니다 - 즉, 411개의 패스워드가 rockyou.txt의 상위 1k줄에 없었습니다.
  • 가장 흔한 1000개 패스워드 중 37개는 rockyou(rockyou 전체)에 없었습니다. 해당 패스워드들은 다음과 같습니다:

rockyou에 누락된 상위 1000위권의 37개 패스워드

이 중 약 8개는 제가 제대로 필터링하지 못한 테스트 계정/불량 덤프에서 비롯된 것일 가능성이 매우 높습니다

123hfjdk147
1464688081
159753qq
2012comeer
6V21wbgad
<password>
Blink123
D1lakiss
Exigent
Groupd2013
Indya123
N0=Acc3ss
R9lw4j8khX
Status
Telechargement
aobo2010
baili123com
bhf
cme2012
demon1q2w3e
demon1q2w3e4r
demon1q2w3e4r5t
exigent
g13916055158
hg0209
lincogo1
lizottes
megaparol12345
minecraft
nks230kjs82
nonmember
nyq28Giz1Z
pk3x7w9W
rr123456rr
startfinding
youbye123
yuantuo2012

업데이트

10억 개의 자격 증명 단위로 작업하며, 덤프가 소진될 때까지 데이터를 처리하면서 정기적으로 업데이트할 것입니다.

프로젝트가 마음에 드시나요? 더 많은 리소스를 투입할 수 있게 도와주세요!

bc1quxwhewutde2ehjzqcflcgdjqwg34pmcdq3chcp