当前位置: 首页 > 业界动态 > 技术评论 > 本文


你的密码真的安全?看看当年三百万样本中的弱密码规律




发布时间: 2015-10-30 10:36:24  

  前几天,乌云漏洞报告平台宣布网易邮箱漏洞过亿数据泄漏,我去,据说有亿级别的用户密码流出…

 

  现在网易官方还在和乌云互掐,真相估计还要时间,但小编反问,你的密码设计合理吗?

 

  2011 年起有一系列重大网站密码泄露,csdn 社区、人人网、多玩网、微博的部分密码数据都被挂到了网上(数据请自行 google,本文讨论思路,展示结果,不泄露信息)。

 

  我们以当时微博的 3315156 条用户名密码数据,开始分析之旅。

 

  工具(可以选择略过这段!)

 

  而我们下载到的文件类似于 csv (逗号分隔) 或 tsv 格式(空格分隔)数据,如下:

  

密码
 

  数据很大,需要的查询可能很复杂,纯脚本处理很难胜任,我们需要数据库, 本文用 mongoDB。

 

  我们可以在命令行里使用 mongoimport 命令导入数据,也可以使用脚本(我用 node.js)导入,脚本更灵活。导完后,可以直接在命令行(如 mac 的 terminal)查询:

  

密码
 

  以上,括号里面的叫查询条件,这在本文中很重要,我们可以在查询条件里插入正则表达式(网上资料大大的),让查询变得更复杂:

  

密码
 

  很后,有时候我们要统计,比如密码以 a、b、c、d..,各有多少,这时我们需要用 mapreduce 进行累加。

 

  嘿嘿,工具只是手段,白猫黑猫,能抓老鼠的就是好猫。

 

  让我们启程!

 

  密码 top 100

 

  首先跑出重复率前 100 的密码, 以下是前 20:

  

密码
 

  很容易发现规律,俺将密码主人分五大派系:

 

  极懒派

 

  手势派

 

  规律派

 

  手机派

 

  生日派

 

  情感派

 

  一、极懒派

 

  这 3 万多同学真是懒的令人发指,也刷新了哥的常识,喝喝…

  

密码
 

  1. 那时候微博竟然能通过一个字的密码。

 

  2. password 也是老外的高频词,我不知道是不是某些网站输入框里 password 提示词,或是很多设备默认密码是这个。

 

  3. 单字重复型,如 11111,让我们深入发掘下。

 

  4. 很有意思的是 163.com 和 @qq.com 出现的频率,而这 1000 多用户,密码=用户名后半部分… 醉了

 

  极懒派之 一字重复 n 次

 

  统计形如 ‘aa’, ‘11111’, ‘ssssssss’ 这类若干个相同单字的密码总数:

  

密码
 

  我统计了 1、2、3、4、5、6、7、8、9、0、q、a、z、w、s、d 的频率分布,其中用 11111 型的用户很多,这些密码总计 6w 多人,占 2%。

  

密码
 

  极懒派之 用户名=密码

 

  上述统计不包含用户名和密码相同的密码,这部分密码共有多少呢? 以 [email protected] 为例,我们统计 [email protected] / abcd / @qq.com 这 3 种模式的数量之和:

 

  99671 个人,有点意外,整整占了 3% 呢!

 

  二、手势派

 

  密码太长,能在键盘上排成一种形状,记忆成本就大大压缩,在密码排行榜上,和图形有关的密码是哪些? 123456 云云者,勉强算吧,在数字键盘划一字。同理 qwerty 开头的也是这个原理。

  

密码
 

  对此,我看到一位老外很牛逼地总结了 20 种模式:

  

密码
 

  这个模式很牛逼,图上是键盘密码。但 11年 已经有很多人用手机上微博了。有不少这种手机键盘:

  

密码
 

  因此很多密码的原理就迎刃而解了:

  

密码
 

  三、规律派

 

  记住一串数字的规律,我们就可以把一串简单的数字演绎成复杂密码,而你记住规则就好。

 

  很勉强,123456 就是个等差数列 fn = n 而 13579 是 fn = 2*n-1

 

  很多人会用叠词 如 123123,112233,或叠加后对称 123321 。

 

  高分密码有这些:

  

密码
 

  可以引申下,同样是数列,用了中学知识就不一样啦,假设我们让 fn = n^2, 我们就可以构造一个数列了:

 

  1 2 3 4 5 6 -> 1 4 9 16 25 36…

 

  我查询了含有 1491625 的所有密码,共找到 30 几个,真是海内存知己(因为曾经我也是这么设计的)

 

  同理 1 8 27 64 125 的只有 3 个人,高手啊

 

  如果你拿 12345 开根号、取三角函数、取对数,忘记密码,在手机计算机里算一遍(别忘了公式)。

 

  海内无知己,天涯只有你,你赢了!

 

  四、手机派

 

  使用自己和亲人的生日、电话、手机做密码,已是我对普通密码的印象了,这部分人究竟多不多?

 

  用手机做密码,一开始我设置了 11 位的数字的条件,但是有很多错误的结果。好在网上有对手机号码检测的正则表达式,包含了 2013年 前所有的手机字段:

 

  移动:139 138 137 136 135 134 147 150 151 152 157 158 159 178 182 183 184 187 188

 

  联通: 130 131 132 155 156 185 186 145 176

 

  电信: 133 153 177 180 181 189

 

  虚拟运营商:170

 

  因此大哥整理了一个可以查询手机号的正则表达式:

  

密码
 

  亲测有效哦,出来的密码几乎都是手机号, 172418 个同学用手机号做密码 占比 5%。

 

  五、生日 / 纪念日派

 

  我们查询所有包含年份的密码,这些年份都以 19 和 20 开头,且有 4 位连续数字, 考虑到 5201314 (我爱你一生一世) 也是高频密码,且密码数据的时间为 2011年,此时 2013 不该出现,所以排除 2011年 以后的年份,我们得到如下结果:

  

密码
 

  543559 个密码使用了年份,占总量的 18%。 真不是小数字,但数据还是很复杂,有大量年份和字母,符号混合的,也不一定就是年份。那我们缩小范围,如果包含生日的有多少人?

 

  月份比较复杂,1月1日 出生的,也许写 11,也许写 0101,也有 1.1、1-1 的。但后者其实比较少,且在在一篇分析人人和 csdn 密码的文章里看到 YYMMDD 型的生日是很多的:

  

密码
 

  那我们的查询如下:

  

密码
 

  318022 个密码符合条件 占总量的 10%。

 

  这批密码还是颇为复杂,因为很多人在字母和其他数字后加入生日的,仅以生日作为密码的人会有多少?

  

密码
 

  答案是 137697, 4%的人用自己生日做密码,而其中,也有些奇葩的答案,如好几个 19190504。我去,这是 xx 团委的公众号么…

 

  六、情感派

 

  写一句有含义的密码,写什么重复率?

  

密码
 

  现实里压抑的我们难得一说我爱你,不论国内国外,都有很多人对着服务器许愿,说出 wo ai xx,这些我爱你型密码的总数让我非常震惊。

 

  这份密码数据里,woaini 以 2659 次重复荣居意义型密码榜首,iloveyou 则不到 woaini 的一半。 但事实上文字版的都弱爆了,位居第五名的 5201314(我爱你一生一世)有 15000 个人同时使用,还有各种变体…其中第 13 名很缺爱 7758521(亲亲我吧爱我吧)

 

  除了我爱你,我还爱谁? 让我们查询任何含有 woai(我爱)的密码,还是基本都是在各种爱你… 偶尔有 woaiwojia woaishui woainima… 有意思的是我爱我家,这中介公司的名字取得真是合理。

  

密码
 

  如果我们查询含有 ‘wo’ 字的密码,也会发现我很喜欢做的事情就是爱 xx… 除了爱你,我还爱谁呢,老公、老婆、妈妈、爸爸?…

 

  woailaopo + laopowoai 的人数有 291 人 。

 

  laogongwoai 和 woailaogong 的人数有 98 人。

 

  这些都是少数派密码了。

 

  我们试试我爱妈妈 (201) 和我爱爸爸 (60) 的比例,竟然也是 3:1。

 

  出于好奇,我又统计了密码里包含’ laopo’ 的和包含’ laogong’ 的比例:

 

  老公: 454

 

  老婆: 1118

 

  包含老公的密码基本都是形如: ‘zuiailaogong’、 ‘qinaidelaogong’、 ‘pplaogong’,我擦看不下去了,真是一部 show 恩爱宝典…

 

  爱老婆的数量还是完胜,可惜,这是一组良莠不齐的密码, 还是有不少形如 laopo38、 laoposhizhu choulaopo laopocaolei sblaopo777 的密码…(总数还是不算多)

 

  相反,骂人的人比例很少,fuck shit cao 说的人都不算多。而这其中,也有些有趣的点:

 

  鲁迅在杂文《论他妈的》中说他妈的是中国的国骂,但是时代变了,也许是受了上古十大神兽草泥马(当年暴走漫画王尼玛还没火吧),nima 的频率 2714 次远高于 tama 101 次。也完胜 ‘fuck’、 ‘shit’、 ‘wocao’ 这些 400-500 次之间的词。

 

  用什么字做密码很安全

 

  我不是黑客,不知破解算法是怎么做的,但只要键入一个字,就让你的密码与众不同,你会怎么敲? 我们对密码里用到的所有字进行统计,得出下图:

  

密码
 

  1 是名,被 300 多万用户累计输入 300 多万次,1 是一个很有趣的数字,超过 60%的人密码会用到 1,而 30%的人会以 1 作为密码开头, 可以看到’.’ ‘@’ 等特殊字符,在符号里排名很靠前。曾经看到说用’_‘在密码里较为安全,因为比’-‘少,事实上也的确如此,但你何必按 shift 打_号呢,’,’的比例比前面所有的标点符号都少。

 

  我们可以看到,数据下降非常快速,有规律可循吗?将柱状图的大小全部取对数,那么四大阵营的阶梯形一览无余: 1-9 排在了所有的字母之前,几乎所有的字母排在了大写字母之前:

  

密码
 

  很后,纠正一个数据错误,我们看到 ‘E’ 和 ‘+’ 的比例非常异常,他们理应没有那么多,为什么?

  

密码
 

  好,看到这里,你应该觉得很熟悉, 5201314,123456, 都是熟悉的密码,而 E+13 这种也很熟悉。excel 里输入一个长度超过 11 位的纯数字,excel 会自动将数字转化为这个样子的。这份数据应该是被谁用 excel 打开后又保存了,所以,大写字母很多的应该是 ‘A’,而 ‘+’的用量也排不到符号类的第二名。

 

  你的密码安全吗

 

  回到 2011年,我在微博上找一个邮箱,然后破解你的密码,哥成功的概率有多大?

 

  前 100 名的密码,名的密码 123456 共 165882 条,占 5%。前 10 名的密码有 316085 条,占 10%,而前 100 条密码共 442555 条,占 15%

 

  累计 15%的人能被这 100 个密码破解。

 

  用户名和密码匹配(包含之前提到的前缀相同,后缀相同和 后缀 [email protected] 相同)共 99671 人。

 

  累计计 18%的用户都会在 103 次穷举后被破解。

 

  近 100年 的生日有 365*100 个,如果我遍历那么多次,总有一个是对的,这样我可以破解 4%的密码。

 

  累计 22%的人已经被破解。

 

  倘若我知道你的手机号码,5%的人的密码会被破解,累计 27%

 

  如果我知道你的名字 (这份数据无法分析你的名字和密码的关系) 这个比例会更高。

 

  2011年,1/3 的人密码是不安全的。

 

  你觉得你的密码设计的科学吗?

 

  本文作者为阿里巴巴可视化工程师周宁奕(主攻 webgl、海量数据可视化、地理相关可视化,曾在参数化事务所 hhd-fun 工作),文章于其微信公众账号“数学的美学世界”(ID:mathartworld)

 

  来源:36大数据

分享到: 微信 QQ空间 人人网 更多
阅读:1917次

版权所有 © 2011-2017 南京凯发网娱乐大数据科技股份有限公司(股票代码:835305), 保留一切权利。(苏ICP备11060547号-1)  
凯发网娱乐大数据-专业的云存储、大数据、云计算产品供应商