Hungarian passwords in the Adobe leaked password list

This article reflects results of joint work with Ukatemi guys.
(A magyar nyelvű változat az angol után található.)

Adobe was compromised this September. Stolen data was first found in September and disclosed in early October by Brian Krebs. Later on, some 10 days ago somebody has leaked a 9GB (uncompressed) authentication database stolen from Adobe.

The database was analyzed recently based on the properties of the encryption scheme.
http://stricture-group.com/files/adobe-top100.txt contains the results of the analysis: the top 100 frequently used encrypted passworts and the most probable guesses for the raw password.
Press write-up is also available on the research: http://www.zdnet.com/just-how-bad-are-the-top-100-passwords-from-the-adobe-hack-hint-think-really-really-bad-7000022782/

We were however curious about the passwords chosen by Hungarians. In the Adobe leak, there are 209 125 email addresses with .hu CCTLD domain name. By the same way how the previous research was carried out, we created a list of most frequent passwords among this 200 thousands of users and tried to pinpoint the most likely cleartext password based on the password hint information and email addresses.

Note, however, that due to the much smaller corpus (200k instead of 154M accounts), we had much lower number of password hints, and thus the confidence of our results is lower.
In the table below, we show the frequency, how many times a password was used in the .hu corpus, and for comparison, we also show the frequency in the full database. If a password is often used in the whole database, then it is most likely not a specific hungarian word, but some internationally known word,phrase or code. In addition to the most likely password, we give secondary ideas in cases where we are not confident enough, and some information about the meaning of the specific word, if it relates to Hungarian language or culture.

Ezév szeptemberében vették észre, hogy valamilyen ismeretlen csoport feltörte a világszerte ismert Adobe szoftvergyártót (többek között az Acrobat Reader, Photoshop és Flash Player gyártóját), és elloptak a cégtől forráskódokat valamint nagyméretű felhasználói adatokat tartalmazó adatbázisokat. Október elején került napvilágra az adatlopás ténye, és október végén hírek kaptak napvilágra arról, hogy a cég 154 millió felhasználójának adatai is napvilágra kerültek. Pár nappal később egyre több helyen volt elérhető ez az ellopott 9GB méretű információhalmaz. Az adatok tartalmazzák a felhasználók e-mail címeit, kódolt jelszavát és ún. jelszó-tanácsát is. A kódolt jelszó egy szimmetrikus rejtjelezővel, egy erősnek számító 3DES algoritmussal van rejtjelezve, a jelszó-tanács egy védelem nélküli szöveg.
A rejtjelezett jelszót kulcs nélkül nem lehet dekódolni, és a kulcs egyelőre nem szivárgott ki. Ezért a jelszavak elvileg nem feltörhetőek. Sajnos azonban az iparági gyakorlattól eltérően a tárolási mód sérülékenységeket rejt magában. A rejtjelezett kulcsok nem salt-oltak és ECB módban “IV” nélkül rejtejelezettek. Ezek a szakkifejezések azt mondják ki: ha két felhasználónak azonos a jelszava, akkor a rejtjelezett párjuk is azonos.

Ez pedig gond. Sok felhasználó esetén sokan használnak azonos jelszót. Ha két felhasználó azonos jelszót használ, akkor a kódolt jelszavuk is azonos lesz. Ha találunk két felhasználót, akiknek azonos a kódolt jelszavuk, és az egyik a jelszó-tanács mezőben az írja, hogy “A jelszó három a betű és az 12 számsor”, akkor nagy valószínűséggel tudjuk, hogy a másik felhasználónak is aaa12 a jelszava. Nincs lehetőségünk a teljes bizonyosság megszerzésére, tehát ez a trükk főleg olyan jelszavakra működik, ahol a jelszavakat sokan használják és sok a jelszó-tanács (password hint) is.

Ennek megfelelően külföldön már pár napja publikáltak egy listát a leggyakoribb 100 rejtelezett jelszóról és annak megfejtett párjairól. A .hu domain névvvel regisztrált email című felhasználók száma meghaladja a 200 000 elemet a listában, közösen az Ukatemi startup cégünk embereivel azt vizsgáltuk meg, hogy mik a magyar jelszóválasztási szokások, és hogyan illeszkednek a nemzetközi környezethez.

Az alábbi listában megtekinthető a magyarok (.hu email) által leggyakrabban használt jelszavak kódolt változata, a darabszám, ahányszor .hu domainről használták, a darabszám, ahányszor nemzetközileg használták (ez is érdekes lehet, hisz vannak magyarok .com cím alatt is, és vannak jelszavak, amik nemzetközi szinten is használatosak). Feltűntettük a legvalósznűbb becslésünket a jelszóra (ami nem biztos, mert nem ellenőrizhető jogszerűen), és a tippjeinket, ha a legbiztosabb ötlet nem igaz. A külföldiek számára kis értelmezést is elhelyeztünk a jelszó jelentéséről.
Összesen csak kb. 3 jelszó esetén nem volt elég adat a nagyjából biztonságos azonosításra, ezeknél valamilyen okból senki, vagy szinte senki nem jelölt meg jelszó-emlékeztetőt.

Érdekességek:

Sok citromail.hu felhasználó jelszava “citrom” – nem túl kreatív és veszélyes
Sok jelszó-tanács nagyon egyszerű ” a van ellentéte” “nem narancs” “A tudom ellentéte”
Sok tanács kiad plusz információt “Ugyanaz, mint az xy@z.hu címemen” – ez külön segítség, hogy mit támadhatunk meg még a jelszóval.
“Mint mindenhol” – ez is egyértelműen gond, nemcsak, hogy ugyanazt a jelszót használja a felhasználó, de még segíti is a támadót, hogy továbbmenjen.
Sok felhasználó “nevem” “barátnő neve” “második nevem” szöveget írt, mondván, esetleg az email címéből ez nem következik. Ugyanakkor, a többi azonos jelszót
használó felhasználónak elég egy szempillantást venni az email címeire, és triviális, hogy ha 20 emberből 10-nek csilla szerepel a címében, akkor a jelszó csilla, vagy annak becézése lesz. És innentől egy vadidegenről azt is tudhatjuk, hogy mi a neve, barátnője neve, második neve stb., ami segítség ún. social engineering támadásokhoz is.

FRISSÍTÉS: Találtunk pár apróbb hibát, ezeket “FIXED” felirattal javítjuk

Mintaként nézzük meg a következő rövidített listát (lecseréltük X-re a nem releváns részeket):

115103118-|--|-XXcsilla@XXX.hu-|-8Nd+cNdQ360=-|-nevem|-- 62657676-|--|-nonXX@XXXXX.hu-|-8Nd+cNdQ360=-|-|-- 100898317-|--|-Xcsilla2@XXXX.hu-|-8Nd+cNdQ360=-|-name|-- 121149457-|--|-XXcsilla@XXXX.hu-|-8Nd+cNdQ360=-|-nevem|-- 123756555-|--|-barXXXX@XXXX.hu-|-8Nd+cNdQ360=-|-kind|-- 153339366-|--|-slXXX@XXX.hu-|-8Nd+cNdQ360=-|-Asszony|-- 114565459-|--|-zsolt.XXXX@XXX.hu-|-8Nd+cNdQ360=-|-kislanyom|-- 63691377-|--|-X_csilla@XXXX.hu-|-8Nd+cNdQ360=-|-|-- 66609165-|--|-archer.XXX@XXX.hu-|-8Nd+cNdQ360=-|-|-- 67272237-|--|-ylvXXX@XXXXX.hu-|-8Nd+cNdQ360=-|-|-- 74715082-|--|-lindusXX@XXXXX.hu-|-8Nd+cNdQ360=-|-nevem|-- 174992278-|--|-fXXXX.csilla@XXX.hu-|-8Nd+cNdQ360=-|-|-- 177821115-|--|-putirXXXX@XXX.hu-|-8Nd+cNdQ360=-|-|-- 183285417-|--|-kXXX.csilla@XXX.hu-|-8Nd+cNdQ360=-|-|-- 96471297-|--|-csillapXXX@XXX.hu-|-8Nd+cNdQ360=-|-|-- 69058043-|--|-csillalXXX@XXX.hu-|-8Nd+cNdQ360=-|-|--

A “nevem” “name” “Asszony” és “kislanyom” alapján egyértelmű, hogy egy női nevet keresünk. Ezután pedig elég ránézni az e-mail címek listájára, hogy észrevegyük mennyire sok “csilla” szerepel rajta. Persze tévedhetünk, hiszen van egy “lindus” email című is, de a “csilla” elsöprő többségben van.

A jelszavak listájából látszik, hogy nagy az átfedés a nemzetközileg is használt jelszavakkal pl. “123456”, de vannak lokálisak is “szerelem”. A legtöbb jelszó továbbra is név vagy becenév, alig van ettől eltérő az első százban. Tanács: Sose használjuk emberek neveit, beceneveit, vagy azok módosításait, mert ezek a leggyakoribbak. Legyünk kreatívabbak, még mindig igaz, hogy a cseresznye151pok sokkalta biztonságosabb, mint a kr1sztinaIloveyou. A legjobb, ha valami generátorral készítünk jelszavakat, ezek sem tudnak csodát tenni, de egy DooYee7goe5EeFa nagyon erős. Összehasonlíthatatlanul erősebb az eddigi vicces példáknál.

Összegezve:
A helyzet tehát az, hogy aki regisztrált az Adobe-nál bármilyen okból, és a jelszavát máshol is használta, azonnal jelszót kell változtatnia a többi helyen.

Rank	No. in .hu	No. in all	Encrypted PW	Most likely password	Is it in top100/english?	remarks, other guesses
1	3191	1911938	EQ7fIpT7i/Q=	123456	Y
2	525	932	pbn7wO3zb+8=	jelszo		password in hungarian
3	461	43497	4V+mGczxDEA=	12345	Y
4	394	446162	j9p+HwtWWT86aMjgZFLzYg==	123456789	Y
5	348	13401	uQM9dmQq8vE=	qwertz		hungarian keyboard layout has y=z
6	337	345834	L8qbAD3jl3jioxG6CatHBw==	password	Y
7	289	201580	j9p+HwtWWT/ioxG6CatHBw==	12345678	Y
8	273	31555	dA8D8OYD55E=	asdfgh	Y
9	248	113884	7LqYzKVeq8I=	111111	Y
10	214	76187	diQ+ie23vAA=	000000	Y
11	213	44282	xz6PIeGzr6g=	aaaaaa	Y
12	209	54651	WqflwJFYW3+PszVFZo1Ggg==	macromedia	Y
13	202	20961	WlMTLimQ5b4=	asdasd	Y
14	201	61453	ukxzEcXU6Pw=	1234	Y
15	189	320	q1A6iHNzTFg=	valami		something in hungarian
16	186	313	MWv89Ddd99M=	piglet
17	176	1467	3zV1jrgwEro=	attila		hungarian male name
18	175	284	MiWs/2HM40w=	lacika		hungarian male name
19	173	124253	dQi0asWPYvQ=	1234567	Y
20	153	37407	yp2KLbBiQXs=	666666	Y
21	151	274	z5rLiwD12co=	almafa		appletree in hungarian
22	150	260	N4+iUEuZbPw=	cica		cat in hungarian
23	137	214	MAEvnIZOuSk=	peti		peter in short
24	135	6662	uIMAMQyXI/g=			something international, 6600 hits
25	134	239	dvqulUaGiQg=	zolika		zoltan in short, male name
26	126	273	AhfBRgIzdos=	tamas		maybe tomi tomika, male name
27	125	294	W/jzwDNnaOw=	lofasz		should be censored
28	124	367	MSycWzt2SLPqvJr9l/X59g==	szerelem		love in hungarian
29	123	220	rA3xnflDDXI=	esztike		maybe eszter, hungarian female name
30	119	83411	PMDTbP0LZxu03SwrFUvYGA==	photoshop	Y
31	118	13044	upIXKNY/ZKY=	xxxxxx
32	116	234	zjrHRH4etC0=	macika		maybe maci, stands for bear or teddy
33	107	234	m0/4nMkmJyM=	gabi		maybe gabika, female or male name in short
34	106	15910	e21tszGBy4k=	matrix	Y
35	104	187	P9f9Bgw46Hk=	nincs		means it does not exist
36	102	194	zwakdT5tFhk=	titok		secret in hungarian
37	100	192	/jNYdvynVr0=	csillag		star in hungarian
38	100	1162	+bZCz+Mm7WHioxG6CatHBw==	budapest		capital of Hungary
39	97	235	iqVZniq2Z6fioxG6CatHBw==	cicamica		like pussycat
40	97	443	bDjmWzVDGMo=	dani		male name in short
41	97	17989	NtCzq/i0Ffc=	abc	Y
42	95	9014	LEdwuvBMkVzioxG6CatHBw==	garfield
43	92	16374	QSay9kzQVz8=	samsung	Y
44	92	155	FClbZZD1l1A=	FIXED: nemtom		I dunno in short
45	91	149	Xe2T3yCUsCc=	balazs		maybe balu, balika
46	90	155	lwXlGk4RTzc=	mazsola		kind name
47	89	247	D0B1TLHoZoTioxG6CatHBw==	szeretet		love (one version) in hungarian
48	88	197	Yg/0iyYFi+A=	janika		male name in short
49	86	12160	rkyaRFa+eak=	qwe123
50	86	421	FvWPZ2OI8V0=	tigris		maybe tigris1
51	84	17176	oa/GBGqIApo=	killer	Y
52	84	4540	TYrTfuuBGm0=	monika		female name in short
53	83	142	p6kbkduAMhPioxG6CatHBw==	FIXED: macilaci/TD>		Yogi Bear
54	82	153	iolWV4U4baM=	madar		bird in hungarian
55	81	131	TiMyOmRnnYk=	mokus		second guess: manoka mokus is for squirrel
56	80	214	ugYjb/7SO9DioxG6CatHBw==	FIXED: nemtudom		“I don’t know”
57	79	11707	rNhveK0RH5Q=	ferrari
58	79	1267	ghZhzPTEyrU=	viktor
59	79	6920	QkLIDf6naxw=			no hint, strange
60	78	27387	XpDlpOQzTSE=	121212	Y
61	78	4829	XWs+3joEULU=	0123456		maybe 012345
62	76	18049	b5LJqTmQmvQ=	555555	Y
63	74	377	syBP2PbOprLioxG6CatHBw==	FIXED: freemail
64	73	9787	C6fdPcrsYlU=	123asd		or asd123
65	72	20572	ueE89xIj8RTioxG6CatHBw==	internet	Y
66	72	17454	MEXwK6GOWHk=	andrea	Y
67	72	130832	5djv7ZCI2ws=	qwerty	Y
68	71	7991	E3P4TkKmrIE=			no hint, strange
69	70	82694	e6MPXQ5G6a8=	123123	Y
70	70	43673	Ypsmk6AXQTk=	654321	Y
71	69	111	WHnoclxstks=			some woman’s name, bea, betti, zsuzsa or monika are most likely
72	69	3246	SSCHXSLigpo=	roland
73	69	2618	I+sy2I0+oHg=	delfin
74	69	230	2e2bx0WPm8o=	andi
75	68	10742	ewOK16tiXAs=	enimem
76	68	22103	OrzNCxMfwrw=	fdsa	Y
77	68	139	8Nd+cNdQ360=	csilla		hungarian female name
78	66	959	remGyraE2+rioxG6CatHBw==	viktoria		hungarian female name
79	66	5213	SVXt5Rlot1U=	clever		or something related to iq, cleverness, and a brand of computer mouse
80	66	16177	F9nqBYx2LhA=	asdfghj	Y
81	66	13531	DuMurYI43dU=	blabla		blahblah in hungarian
82	65	737	vEldih7WrfY=	vivien		female name
83	65	129	o2D+z1QYuHo=	FIXED: nyuszi		bunny in hugarian
84	65	7070	U1yPApWcaOA=	barbara		female name
85	63	27856	pTkQrKZ/JYM=	dragon	Y
86	62	128	vQGGxx87Fyk=	levente		male name
87	62	95	7DOklOXTFPo=	zsolesz		or other forms of zsolt, like zsolti
88	61	70795	kCcUSCmonEA=	abc123	Y
89	61	81	gkfBa7HrOnY=	citrom		funny, many “citromail.hu” users chose that, hungarian: lemon
90	61	15805	fbO2Wx232qY=	secret	Y
91	60	102	kiQXbvrKbiA=	robi		or robert, robby, roby, or similar
92	60	88	GsQ/41R7pXw=	FIXED: kriszti		female name
93	60	194	/EoAhM0rWA8=	kata		maybe katalin, kati, female name
94	59	179	mkRrr6/R2oE=	richard
95	59	14159	PwB5ue3qkgs=	oliver
96	59	181	Kt3DWt8h3tg=	ildiko		hungarian female name
97	57	6734	u57swGYZlf/ioxG6CatHBw==	juventus
98	57	146	MoedSZDdCmk=	zsuzsi		or zsuzsanna, hungarian name like suzy
99	56	20022	ziypr2hyamc=	123qwe	Y
100	56	97	pp3j26xZbvTioxG6CatHBw==	kiskacsa		stands for duck in hungarian. fix: kacsa->kiskacsa “small duck”
101	56		P2x/N9v5UaM=	melinda		female name in short

Edited by: Boldizsar Bencsath