40 lines
1.7 KiB
Markdown
40 lines
1.7 KiB
Markdown
# Liste häufiger Passwörter
|
|
|
|
`common-passwords.txt` wird von der Registrierung und vom Passwort-Reset genutzt
|
|
(KTO-01 Kriterium 3, Spec #1 § 5.6). Die Liste wird nur im Client geprüft; es
|
|
gibt keinen Abgleich mit externen Diensten (kein HIBP).
|
|
|
|
## Format
|
|
|
|
- Eine Zeile je Eintrag, UTF-8, LF, Kleinschreibung, ohne Leerraum am Rand.
|
|
- Nur Einträge mit mindestens 10 Zeichen (kürzere fängt die Längenregel).
|
|
- Einmalig, nach Häufigkeit sortiert (deutsche Einträge zuerst).
|
|
- 10.000 Einträge, ca. 118 KB.
|
|
- Der Vergleich in der App erfolgt ohne Groß-/Kleinschreibung und nach Trim.
|
|
|
|
## Quelle und Lizenz
|
|
|
|
SecLists von Daniel Miessler, Lizenz MIT (Volltext in `app/THIRD_PARTY.md`),
|
|
Commit `68bcd12457978649d41ae4f56e3b5d2db2b72560`, Verzeichnis
|
|
`Passwords/Common-Credentials/`:
|
|
|
|
| Datei | Verwendung |
|
|
|---|---|
|
|
| `Language-Specific/German_common-password-list-top-100000.txt` | die ersten 4.000 Einträge mit mindestens 10 Zeichen |
|
|
| `xato-net-10-million-passwords-1000000.txt` | die ersten 6.000 weiteren Einträge mit mindestens 10 Zeichen |
|
|
|
|
**Offene Lizenzfrage:** Die MIT-Lizenz gilt für das SecLists-Repository. Die
|
|
einzelnen Listen stammen aus Datenlecks bzw. Sammlungen Dritter (die xato-Liste
|
|
von Mark Burnett); eine eigene Lizenz je Liste nennt SecLists nicht. Die Spec
|
|
(§ 5.6) nennt SecLists (MIT) als Kandidaten. Die abschließende Freigabe liegt
|
|
bei Chris. Die Liste enthält ausschließlich Passwörter, keine Konten oder
|
|
E-Mail-Adressen.
|
|
|
|
## Neu erzeugen
|
|
|
|
```bash
|
|
python3 scripts/build-common-passwords.py <xato-1000000.txt> <german-top-100000.txt> app/assets/security/common-passwords.txt
|
|
```
|
|
|
|
Das Skript liegt unter `scripts/build-common-passwords.py` (Filter, Reihenfolge
|
|
und Grenzen stehen im Kopf der Datei).
|