Sensationelle Quelle für Wordlists

Heute meldete „heise online“ im Artikel „Effektiver Passwörter raten mit Wikipedia und Co.“ folgendes:

Aus freien Online-Enzyklopädien generierte Wortlisten eignen sich besonders gut zum Knacken von Passwörtern mit sogenannten Wörterbuchangriffen.

Heise online verweist in dem Artikel auf einen Blogeintrag von gestern (25.03.2009) eines „französischen Berater für Informationelle Kriegsführung“. Dieser schreibt unter anderem:

Now, the problem is: your dictionary has to be as exhaustive as possible. Relying solely on common dictionaries (such as The Collins, Le Larousse, the ones contained in spell checkers, etc) just won’t do because these are very limited, whereas basic human nature has us looking around when prompted to choose a password; a lot of people will then choose „belinea“ because it’s the brand of the monitor sitting in front of their eyes, „abnamro“ because it’s the bank outside their window, and so on.

Kurz übersetzt: Es liegt in der Natur des Menschen Passwörter mit einem Bezug zur Umwelt auszuwählen.

In meinen Augen eine weniger erstaunliche Erkenntnis… schon garnicht muss man dafür „Berater für Informationelle Kriegsführung“ sein, um eine solche Behauptung aufzustellen.

Einen ähnlichen Versuch habe ich schon vor knapp 5 Jahren gestartet. Damals hatte die deutsche Wikipedia weniger als 50.000 Einträge. Um möglichst schnell an das Ziel – also eine „gute“ Wordlist – zu kommen benutzte ich den Suchindex eines Forums mit ca. 2000 Beiträgen, außerdem stockte ich den Suchindex zusätzlich mit einigen zufälligen Artikeln aus der Wikipedia auf. Die Wordlist war dann relativ einfach zu extrahieren.

Diese Liste benutzte ich dann um eine Reihe von NTLM und MD5 Hashes zu checken (erstere wurden mir aus unbekannter Quelle „zugespielt“, letztere habe ich mit Zustimmung der Benutzer aus den Anmeldedaten des Forums gewonnen).

Es gelang mir dadurch 2 Hashes zu knacken (abzüglich der vorher durch Bruteforce geknackten Hashes, wie z.b. „12345“ und vermutlichen PINs von EC-Karten).

Einer war „Messdiener“, der andere war im Klartext „fischkopp“.

Das Passwort „Messdiener“ gehörte tatsächlich einem Messdiener, „fischkopp“ konnte ich keinem Benutzer zuordnen, wohl aber dessen Herkunft: Dieser stammte aus einem Artikel der Wikipedia. „Messdiener“ fand durch einen Forenbeitrag seinen Weg in den Suchindex. Die Herkunft der Wörter hätte ich damals spontan genau anders herum geglaubt, man lernt jedoch nie aus…

Obwohl ich nun nicht Berater für Informationelle Kriegsführung bin, stelle ich folgende These auf:
Wikipedia, Project Gutenberg und ein paar ausreichend große Foren verschiedenster Themenbereiche sollte die perfekte Quelle für eine Wordlist sein.

Dieser Beitrag wurde unter Kurioses, Programmieren abgelegt und mit , , verschlagwortet. Setze ein Lesezeichen auf den Permalink.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.