辞書攻撃

総当たりの代わりに、よく使われるパスワード、辞書の単語、人名、曲名などのリストを順に試す。リストの多くは過去の漏洩事件から作られる。最も有名なrockyou.txtは、2009年のデータ漏洩で流出した1400万件の平文パスワードを含み、今も恐ろしいほど有効だ。

威力の源は、その上に重ねるルールエンジンにある。Hashcatなどのツールは、先頭を大文字にする、末尾に数字を付ける、年を足す、eを3に替えるといった変形を体系的に適用し、人間がポリシーを満たすために作る「複雑な」パスワードのほぼ全域を網羅する。対策は文字種を増やすことではなく、長さと、ソルト付き・低速な鍵導出関数による保存である。