Objetivo

Dejando atrás las cosas del equipo rojo de 20 años. Las cosas funcionan bien, y nadie se molesta en verificarlo / reemplazarlo durante décadas.

Vertederos incluidos

Puede consultar el estado.txt en este repositorio para realizar un seguimiento de los volcados incluidos.

Lista misteriosa de contraseñas de alta entropía de 40k

Durante mi investigación, noté un puñado de contraseñas de alta entropía (10 caracteres, letras mayúsculas y minúsculas) que se estaban reutilizando.
Estas contraseñas tenían tasas de ocurrencia realmente bajas, pero aún era mucho más de lo que esperaba.

Algunas cosas notables sobre estos:

Todos comienzan y terminan con letras mayúsculas
Ninguno de ellos parece tener un patrón de teclado o una palabra significativa en ellos.
Todos tienen 10 caracteres de longitud.
No contienen caracteres especiales.
Algunos de ellos ocurrieron hasta 1 por cada 100 millones de credenciales (lo que significa que actualmente tengo alrededor de 10 reutilizaciones)
Suceso más reciente para estos: 86 de estos se encontraron en 55623 credenciales de una fuga en junio de 2020

He filtrado las contraseñas de 10 caracteres de longitud y coincide (? =. * D) (? =. *[a-z]) (? =. *[A-Z]) (? = ^[A-Z][A-Za-z0-9]+[A-Z]PS[a-z]{3}) (?!. *[A-Z]{3}) que tenía una calificación de ocurrencia de menos de 1.2 por 100 millones.

He publicado esta lista de 39576 contraseñas en mystery-list.txt en este repositorio. Lo volví a filtrar para obtener 763k contraseñas que coinciden con este patrón.

No tengo idea de lo que esto descubre y lo que implica, pero sospecho que un administrador de contraseñas está creando contraseñas con baja entropía, causando repeticiones en muchos usuarios. Todas las ideas sobre esto son bienvenidas y apreciadas.

¿Tienes curiosidad por una estadística?

Cree un problema y explique lo que desea aprender, y si es interesante, lo consultaré y agregaré el resultado.

Estadísticas geniales

De más de 1.000.000.000 de líneas de vertederos, 257.669.588 se filtraron como datos corruptos (galimatías en formato incorrecto) o cuentas de prueba.
Mil millones de credenciales se reducen a 168.919.919 contraseñas y 393.386.953 nombres de usuario.
La contraseña más común es 123456. Cubre aproximadamente el 0.722% de todas las contraseñas. (Alrededor de 7 millones de veces por mil millones)
Las 1000 contraseñas más comunes cubren 6.607% de todas las contraseñas.
Con la mayoría de las contraseñas de 1 millón, la tasa de aciertos es del 36,28%, y con la tasa de aciertos de 10 millones de contraseñas más comunes es del 54,00%.
La longitud promedio de la contraseña es de 9.4822 caracteres.
El 12.04% de las contraseñas contienen caracteres especiales.
El 28.79% de las contraseñas son solo letras.
26.16% de las contraseñas son minúsculas solamente.
El 13.37% de las contraseñas son solo números.
El 34.41% de todas las contraseñas terminan con dígitos, pero solo el 4.522% de todas las contraseñas comienzan con dígitos.

Contraseñas únicas

El 8.83% de las contraseñas son únicas: solo se encontraron una vez.

Su longitud promedio fue de 9.7965 caracteres.
Sorprendentemente, solo una fracción de estas contraseñas no tiene sentido.
Solo el 7.082% de estas contraseñas contienen caracteres especiales: coincidencias de descanso ^[a-zA-Z0-9]PS
El 20.02% de estas contraseñas son solo letras y el 15.02% es solo minúsculas.

La longitud promedio de las contraseñas en minúsculas fue de 9.3694 caracteres.

Detalles del lenguaje

Particioné mis datos dependiendo de los dominios de nivel superior de los proveedores de correo electrónico. (filtre aquí: https://gist.github.com/FlameOfIgnis/9a1da894e8ae385a1ee58b8a734b8979)

Solo estoy lanzando listas cortas de las 150 contraseñas principales por ahora. Eventualmente lanzaré listas completas. Intentaré abstenerme de lanzar una versión incompleta públicamente por ahora.

Actualizaré estas listas por mil millones de credenciales que proceso. Entonces, aunque algunas de las listas de idiomas aún no están completas, pronto estarán en mejor forma.

He tenido suficientes datos para

Ucraniano
alemán
ruso
italiano
japonés
Portugués
polaco
francés

cuentas para generar listas de contraseña 1M.

En contraste con eso, tenía muy pocos datos para trabajar

serbio
Azerbaiyano
Arábica
georgiano
rumano
Uzbeko
macedónio
persa
armenio
albanés
Turcomanos
Castellano
Amárico
birmano
búlgaro
Mangoliano
catalán
Tigrinya
Tayiko
coreano
cuentas para generar listas confiables.

Y tenía un total de 0 cuentas con idioma esloveno.

Geniales estadísticas de comparación con rockyou.txt

Rockyou.txt contiene 14.344.391 contraseñas.
Después de filtrar las contraseñas más comunes 14.344.391 (igual que rockyou), 11.583.476 de ellas no estaban en rockyou.txt (una proporción de % 80)
Solo en las primeras 1000 líneas de rockyou y estos datos, hay una diferencia de 411 líneas – significado 411 las contraseñas no estaban en las primeras líneas 1k de rockyou.txt.

De las 1000 contraseñas más comunes, 37 de ellos no estaban en rockyou (todos en rockyou). Estas contraseñas son:

Faltan 37 contraseñas rockyou que están clasificadas entre las 1000 mejores.

Es muy probable que alrededor de 8 de estos sean de cuentas de prueba / volcados incorrectos que no logré filtrar correctamente

123hfjdk147
1464688081
159753qq
2012comeer
6V21wbgad

Blink123
D1lakiss
Exigente
Groupd2013
Indya123
N0 = Acc3ss
R9lw4j8khX
Estado
Telecarga
aobo2010
baili123com
bhf
cme2012
demon1q2w3e
demon1q2w3e4r
demon1q2w3e4r5t
exigente
g13916055158
hg0209
lincogo1
lizottes
megaparol12345
Minecraft
nks230kjs82
no es miembro
nyq28Giz1Z
pk3x7w9W
rr123456rr
inicio
youbye123
yuantuo2012

Actualización

Intentaré trabajar en trozos de mil millones de credenciales y actualizarlo regularmente a medida que procesa los datos, hasta que me quede sin volcados.

¿Te gusta el proyecto? ¡Ayúdame a lanzar más recursos!

bc1quxwhewutde2ehjzqcflcgdjqwg34pmcdq3chcp