À quoi sert une liste de mot de passe (et rockyou.txt) ?

Une liste de mot de passe est un fichier qui empile des millions de mots de passe déjà utilisés ou fuités, exploité par les attaques par dictionnaire. La plus connue, rockyou.txt, contient environ 14,3 millions d'entrées et sert de référence pour tester la solidité d'un mot de passe.

De quoi on parle exactement

Deux choses très différentes se cachent derrière la même recherche.

Dans le vocabulaire de la sécurité, une liste de mots de passe est un fichier texte qui aligne, une par ligne, des dizaines de milliers à des dizaines de millions de chaînes déjà employées comme mots de passe. On parle aussi de wordlist ou de dictionnaire. Ces fichiers alimentent les attaques par dictionnaire : plutôt que d'essayer toutes les combinaisons imaginables, l'outil parcourt la liste et teste chaque entrée contre un compte ou une empreinte volée.

L'autre sens est plus banal : votre propre inventaire d'accès.

Si vous cherchez à recenser vos mots de passe, la réponse tient en une phrase : ne les gardez pas dans un .txt ou un tableur, confiez-les à un gestionnaire de mots de passe. Un fichier en clair sur le bureau, c'est précisément le genre de liste qui finit dans la fuite suivante.

rockyou.txt, la liste de référence

Une seule liste domine tous les tutoriels : rockyou.txt.

Elle vient d'une fuite bien réelle. En décembre 2009, l'éditeur de widgets RockYou stockait les mots de passe de ses utilisateurs en clair, sans le moindre hachage. Une injection SQL a exposé environ 32 millions de comptes. Le fichier nettoyé qui en a été tiré contient 14 344 392 lignes, soit près de 14,3 millions de mots de passe uniques classés par fréquence.

Sur Kali Linux, ce fichier est livré compressé. Vous le trouvez dans /usr/share/wordlists/rockyou.txt.gz ; un `gunzip` le décompresse, puis `wc -l rockyou.txt` confirme le nombre de lignes. hashcat et John the Ripper le lisent directement en entrée.

Son intérêt n'est pas sa taille, mais son ordre : des mots de passe réellement choisis par des humains, du plus fréquent au plus rare.

Ce qu’on trouve en tête de liste

En haut de rockyou.txt, aucune surprise, et c'est bien le problème. Les dix premières entrées ressemblent à ceci :

Notez que les listes anglophones ne couvrent pas tout. Sur des comptes français, « azerty », « loulou » ou « soleil » remontent vite, et c'est pour ça que les attaquants combinent plusieurs dictionnaires selon la cible.

Rang	Mot de passe	Type
1	123456	suite numérique
2	12345	suite numérique
3	123456789	suite numérique
4	password	mot courant
5	iloveyou	expression
6	princess	mot courant
7	1234567	suite numérique
8	rockyou	nom du service
9	12345678	suite numérique
10	abc123	motif clavier

Comment ces listes sont utilisées

Une attaque par dictionnaire n'a rien de sophistiqué.

L'outil lit la liste ligne par ligne et compare chaque candidat au haché de la cible. Un appel typique avec hashcat contre des empreintes MD5 ressemble à `hashcat -m 0 -a 0 hashes.txt rockyou.txt`. Sur du matériel modeste, les 14 millions d'entrées sont épuisées en quelques secondes pour un algorithme rapide comme MD5.

Les attaquants ne s'arrêtent pas au fichier brut. Des règles transforment chaque entrée à la volée : rockyou devient Rockyou, rockyou123, r0ckyou. C'est l'attaque hybride, et elle casse la plupart des mots de passe « renforcés » par une majuscule et un chiffre collés en fin.

Face à une liste, l'originalité d'un mot de passe protège plus que sa longueur.

• Dictionnaire : teste une liste de mots probables, très rapide mais limité aux entrées connues.
• Force brute : essaie toutes les combinaisons de caractères, exhaustive mais vite hors de portée dès que le mot de passe s'allonge.
• Hybride : part du dictionnaire et applique des règles de mutation pour couvrir les variantes.

Savoir si votre mot de passe figure sur une liste

Un mot de passe présent dans rockyou tombe en quelques secondes. Autant le vérifier.

Le service Pwned Passwords de Have I Been Pwned recense les mots de passe apparus dans des fuites connues, aujourd'hui plusieurs centaines de millions. Son API repose sur le k-anonymity : votre navigateur n'envoie que les cinq premiers caractères du SHA-1 du mot de passe, jamais le mot de passe ni son empreinte complète. Le serveur renvoie tous les hachés commençant par ces cinq caractères, et la comparaison se fait chez vous.

Si le vôtre ressort, changez-le partout où vous l'avez réutilisé, pas seulement sur le service concerné.

Pour ne plus jamais y figurer, quelques réflexes suffisent :

• Un mot de passe unique par service, pour qu'une fuite ne contamine qu'un seul compte.
• Une phrase de passe de quatre mots sans lien logique, bien plus solide que « P@ssw0rd ».
• L'authentification à deux facteurs, qui rend le mot de passe seul insuffisant même volé.
• Un gestionnaire de mots de passe pour générer et retenir tout ça à votre place.

Questions fréquentes

rockyou.txt est-il illégal à télécharger ?

Le fichier circule librement et est même préinstallé sur Kali Linux ; le posséder n'a rien d'illégal. Ce qui l'est, c'est de s'en servir pour attaquer un système que vous ne possédez pas ou pour lequel vous n'avez pas d'autorisation écrite.

Quelle différence entre attaque par dictionnaire et force brute ?

Le dictionnaire teste une liste de mots de passe déjà vus ou probables : rapide, mais aveugle à ce qui n'y figure pas. La force brute essaie toutes les combinaisons possibles de caractères : complète, mais son coût explose avec la longueur du mot de passe.

Mon mot de passe fait 12 caractères, suis-je à l’abri ?

Pas forcément. La longueur ne sert à rien si le mot de passe lui-même est dans la liste ou suit un motif courant. « Azertyuiop12 » fait douze caractères et tombe pourtant en une passe de dictionnaire enrichie de règles.

Où trouver une liste pour tester mes propres systèmes ?

Le dépôt SecLists sur GitHub rassemble des wordlists classées par usage, et rockyou.txt est fourni avec Kali. Réservez ces tests aux machines et comptes qui vous appartiennent ou pour lesquels vous avez une autorisation explicite.

Testez vos connaissances

À lire aussi

brute force · attaques par mot de passe · 2fa