Žebříček nejhorších hesel za rok 2019

zajímavé je vysoké umístění "g_czechout", napadá někoho proč?

Ukazuje to, jak jsou podobné články amatérsky zpracované (patrně to vzešlo už od zdroje).

Jediné vysvětlení, které mě napadá, jak se v žebříčku mohly ocitnout hesla typu "g_czechout", ale i "Aa123456.", "dubsmash", či "BvtTest123" je to, že se vycházelo z omezeného vzorku, kde bylo možné zpětně hesla rozkódovat. Hrubou silou by se na to IMO nepřišlo.

A tak někdo pročeše malý vzorek. Manažer nebo PR z toho udělá "fantastický" žebříček. A vzdělaní novináři to pak už jen přebírají, aniž by se někdo nad tím zamyslel. Odstrašující příklad, jak se analýza dělat nemá.

Pravda, odkud ten vzorek hesel pochází je napsáno až ve druhé větě zprávičky, tam ne každý dočte.

Jeden z nás neumí číst.

Je tam kdo sestavil: NordPass
Je tam i "zdoj": z nejrůznějších úniků
Je tam i množství: velká databáze

Co z toho vyčtete Vy?

Já tam čtu: "500 milionů hesel".

Jeden z nás neumí číst.
Souhlas.

Je tam i množství: velká databáze
Já teda v odkazované druhé větě vidím „na 500 milionů hesel“.

Každopádně i to, co vidíte vy („velká databáze“) je v rozporu s vaším „omezený vzorek“ a „malý vzorek“.

Každopádně „500 milionů hesel z nejrůznějších úniků“ je odpovědí na vaši spekulaci „Jediné vysvětlení, které mě napadá, […] je to, že se vycházelo z omezeného vzorku, kde bylo možné zpětně hesla rozkódovat.“

Odstrašující příklad, jak se analýza dělat nemá.
Je pozoruhodné, jak vždycky kritizujete, že někdo zveřejní informace, které má – protože vy byste si přece představoval, že má mít úplně jiné informace. Mám pro vás dobrou radu – tak ty zprávičky prostě ignorujte. Jsou lidé, kteří jsou rádi i za to menší množství informací, když detailnější informace nejsou k dispozici.

Každopádně netrpělivě očekávám druhou část vašeho komentáře, kterou jste asi jen zapomněl napsat – totiž odkud byste seznam nejpoužívanějších hesel vzal vy. Zejména když jeho získání musí být levné, protože to není žádná placená bezpečnostní akce, ale pouhý marketing, který má oblibu zveřejňování nejrůznějších žebříčků na konci roku využít k drobnému upozornění lidí, že používat jednoduchá hesla fakt není dobrý nápad.

Podla rozdelenia hesiel inde ma 8. pozicia cca 0.5% zastupenie. Vazne si myslite, ze 2.5 miliona ludi zo vzorky si dalo heslo g_czechout?
Divne hesla maju bud boti alebo pravdepodobnejsie islo o predchadzajuci stlpec v csv a vela uzivatelov pouzilo v mene ciarku.

Teď fabuluju, ale pravděpodobnější mi přijde tato teze: Jedna databáze leaknutých hesel duplikuje druhou. Když se tato duplikovaná data sečtou, může "vyhrát" heslo, které nebylo nejvíckrát použité, ale to, které se nachází ve starší databázi a je zduplikované do následovných leaků.

Stačí, aby si to heslo zvolil jediný člověk. Na počet v milionech pak stačí nějaký automat, co zakládá uživatele. Tohle je obvyklé zkreslení způsobené tím, že někdo stáhne něco z cloudu nebo ze služby, na kterou někdo zkoušel DOS.

Nám před mnoha lety omylem utekla testovací databáze (jeden z kolegů špatně nastavil server v Azure). Jestli se dostala do tohohle seznamu, to nevím. Pokud ano, pak přispěla zhruba 250 000 uživateli s heslem "changeme#test".

Osobně tedy s "g_czechout" předpokládám podobný scénář - buď někomu utekla testovací databáze s miliony "dummy" účtů, nebo utekla někomu databáze, do které mu někdo před tím pomocí DOS vygeneroval miliony účtů. S ohledem na "czech" opravdu nevěřím tomu, že by si čtvrtina naší populace zvolila právě tohle heslo.

je tam dost hesiel len s numerickymi znakmi. btw: myslim, ze tento rok bolo leakov viac nez dost. komu nestacila Collection 1, mohol si stiahnut Collection2-5, Antipublic, a dalsie dobroty. je pravda, ze sa tam nachadzaju velmi obskurne zaznamy. len jeden zo suborov Collection1 tvrdi, ze najcastejsie hesla su tieto. nechce sa mi palit vypoctovy vykon na vsetkych suboroch.
1 123456
2 123456789
3 qwerty
4 password
5 abc123
6 12345678
7 1234567
8 1234567890
9 111111
10 password1
11 qwe123
12 iloveyou
13 123123
14 000000
15 1q2w3e4r5t
16 asdfgh
17 qwertyuiop
18 123456a
19 q1w2e3r4t5
20 654321
21 stalker
22 111111a
23 qwedcxz
24 08mart1980
25 f010710

17. 12. 2019, 11:16 editováno autorem komentáře

a dodal by som len, ze rozne leaky poukazuju na to, ze kombinacia username:password je rozhodne nedostatocna.

To máš jednoduché. Na webu jsou políčka jako "write username" a "write password" ... no a spousta lidí prostě poslechne.

Stejné to je s bankovnictvím George. U políčka Variabilní symbol je napsáno "nepovinné". Člověk pak nechápe, kolik lidí najednou začne prostě na tento poměrně důležitý údaj kašlat.

Ono je otázkou, zda lze tato hesla brát automaticky za nebezpečná... Sám používám jen o málo lepší heslo na kdejakou nesmyslnou registraci taktéž opakovaně - jenže taky je mi v podstatě jedno, když se někdo dostane do registrace v nějakém eshopu. V bankách, Paypalu a dalších věcech, kde se již jedná o peníze (či třeba riziko škod, kdyby někdo mým jménem přispíval) mám přirozeně hesla podstatně složitější a méně opakovaná.

Upřímně si myslím, že s touto tabulkou to bude podobné, třeba u hesla 12345 prostě nevěřím, že si ho někdo dá do závažnějšího systému, bude to k vidění spíš právě u hesel, která uživatelé neberou moc vážně zcela záměrně...

Jako by kvalitní hesla stála korunu každé...

A kto by sa trápil s heslom aby mohol poslať nejaký komentár, pozrieť video/film, či stiahnuť nejaký súbor trochu vyššou rýchlosťou ako neregistrovanú užívateľ.

Pokiaľ sa jedná len o takéto blbosť obyčajné jednoduché heslo úplne stačí.

mozem ciastocne suhlasit, ak mas pre kazdu sluzbu ine heslo, potom je vlastne jedno, ci mas 12345 alebo s78(*WR#IUhsd

Heslo 12345 je jedno z prvních, které bude útočník nejspíš zkoušet… Jedno to tedy není.

Rozdíl mezi těmito hesly se začne stírat naopak při znovupoužívání hesla v různých službách… I když ani zde bych si netroufl tvrdit, že je to úplně jedno.

upřímně, čekal bych tam víc "sprostých" slov....