‘123456’ parolası, türünün en büyük parola yeniden kullanım çalışmalarından birinde, bir milyar sızdırılmış veri deposunda 7 milyon kez tespit edildi.
Türünün en büyük parola yeniden kullanım çalışmalarından birinde, bir milyardan fazla sızdırılmış kimlik bilgisinin analizi ile, her 142 paroladan birinin klasik “123456” dizesi olduğu keşfedildi. Geçen ay bilgisayar mühendisliği öğrencisi Ata Hakçıl tarafından gerçekleştirilen çalışmada, çeşitli firmalarda veri ihlallerinden sonra sızan kullanıcı adı ve şifre kombinasyonlarını analiz edildi. Bu “veri dökümleri” yaklaşık on yıldan uzun bir süredir varlığını sürdürüyor ve yeni şirketler saldırıya uğradıkça birikiyor.
Veri dökümleri çevrimiçi olarak, GitHub veya GitLab gibi sitelerde kolayca bulunabiliyor veya bilgisayar korsanı forumları ve dosya paylaşım portalları aracılığıyla serbestçe dağıtılıyor. Yıllar geçtikçe teknoloji şirketleri bu veri dökümlerini topluyor. Örneğin, Google, Microsoft ve Apple, kullanıcıları “zayıf” veya “ortak” bir şifre kullandıklarında uyaran şirket içi uyarı sistemleri oluşturmak için sızdırılmış kimlik bilgilerini toplamıştı. Ayrıca, Have I Been Pwned hizmeti de bu sızdırılmış veri dökümleri ve kimlik bilgileri üzerinde çalışmakta.
Çalışmanın Sonuçları
Geçen ay, Kıbrıs’taki bir üniversitede okuyan bir Türk öğrenci olan Hakçıl, bir milyardan fazla sızdırılmış belgeyi indirip analiz etti. Ana keşif, 1.000.000.000’den fazla kimlik veri kümesinin sadece 168.919.919 benzersiz şifresini içermesi ve 7 milyondan fazlası “123456” dizesi olmasıydı. Bu, Hakçıl’ın yapmış olduğu analiz örneğinden de anlaşılacağı üzere her 142 şifreden birinin bugün bilinen en zayıf şifre olduğu anlamına geliyor.
Buna ek olarak Hakçıl, ortalama şifre uzunluğunun genellikle 9.48 karakter olduğunu keşfetti, Bu ne iyi ne de çok kötü bir durum. Çünkü çoğu güvenlik uzmanı şifreleri mümkün olduğunca uzun karakterli, mümkünse 16 ila 24 karakterden daha fazla belirlemeyi önermekte.
Ancak Hakçıl’ın keşfettiği tek sorun şifre uzunluğu değildi. Türk araştırmacı, şifre karmaşıklığının da bir sorun olduğunu ve şifrelerin sadece% 12’sinin özel bir karakter içerdiğini söyledi. Çalışmaya göre çoğu durumda, kullanıcılar yalnızca harf (% 29) veya rakam (% 13) kullanmak gibi basit şifreleri seçmişti. Bu, 1 milyar veri kümesine dahil olan tüm şifrelerin yaklaşık% 42’sinin, tehdit aktörlerinin herhangi bir çaba veya teknik zorluk olmadan hesaplara erişmesine izin verecek hızlı sözlük saldırılarına karşı savunmasız olduğu anlamına geliyor.
Çalışmanın tamamı GitHub’da mevcut, çalışmadan elde edilen sonuçlar ise şöyle:
- 1.000.000.000’dan fazla dökümden 257.669.588, bozuk veri (uygunsuz biçimde anlamsız) veya test hesapları olarak filtrelendi.
- En yaygın parola 123456. Tüm parolaların yaklaşık% 0,72’sini kapsamakta. (Milyar başına yaklaşık 7 milyon kez)
- En yaygın 1000 parola, tüm parolaların %6.607’sini kapsamakta.
- Ortalama şifre uzunluğu 9.4822 karakter.
- Parolaların% 12.04’ü özel karakterler içermekte.
- Parolaların% 28,79’u yalnızca harflerden oluşmakta.
- Parolaların% 26.16’sı yalnızca küçük harflerden oluşmakta.
- Parolaların% 13,37’si yalnızca rakamlardan oluşmakta.
- Tüm şifrelerin % 34,41’i rakamlarla biterken, tüm şifrelerin yalnızca % 4,522’si rakamlarla başlamakta.
