Wörterbuchangriff
Nicht jedes denkbare Passwort ausprobieren — nur die, die Menschen tatsächlich wählen.
Statt erschöpfender Suche werden Wörter aus einer Liste getestet: gängige Passwörter, Lexikoneinträge, Namen, Songtitel. Die Listen stammen in der Regel aus früheren Datenlecks. Die meistgenutzte, rockyou.txt, enthält 14 Millionen Klartext-Passwörter aus einem Leck von 2009 und ist immer noch erschreckend wirksam.
Die eigentliche Stärke liegt in der Regel-Engine oberhalb der Liste. Werkzeuge wie Hashcat wenden systematische Verzerrungen an — Großbuchstabe zuerst, Ziffer am Ende, ein Jahr, 3 statt e — und decken damit fast den gesamten Raum "komplexer" Passwörter ab, die Menschen konstruieren, um eine Richtlinie zu erfüllen. Die Verteidigung liegt nicht in mehr Zeichenklassen, sondern in Länge sowie darin, Passwörter gesalzen und mit einer langsamen Schlüsselableitungsfunktion zu speichern.