Словари для брута: что это, как устроены и как защититься от подбора паролей

Словарь для брута — это текстовый файл со списком слов и комбинаций, который программа по очереди подставляет в поле пароля при аудите защищённости системы. Если при тестировании собственного сервера или Wi-Fi-точки инструмент вроде Hydra или hashcat угадывает пароль за считанные секунды, причина почти всегда одна: пароль присутствует в используемом словаре, а значит, его подберёт и реальный злоумышленник.

В этой статье разберём, как устроены вордлисты, какие типы словарей существуют, где специалисты по информационной безопасности берут легальные базы для тестирования и — самое главное — как сделать так, чтобы ваши пароли не оказались уязвимыми для перебора. Материал предназначен для системных администраторов, пентестеров и владельцев оборудования, которые проверяют защищённость собственной инфраструктуры.

Что такое брутфорс и роль словаря в атаке

Брутфорс (от англ. brute force — «грубая сила») — это метод подбора учётных данных путём систематического перебора вариантов. Полный перебор всех возможных комбинаций символов занимает астрономическое время, поэтому на практике применяется словарная атака: программа проверяет не все комбинации подряд, а только те, что люди реально используют в качестве паролей.

Логика проста: человеческие пароли предсказуемы. Имена, даты рождения, последовательности вроде qwerty и 123456, слова из обычного языка — всё это встречается снова и снова. Словарь собирает такие «популярные» варианты в один файл, и атака сокращается с лет до минут.

⚠️ Внимание: подбор паролей к чужим системам без письменного разрешения владельца является уголовно наказуемым деянием в большинстве юрисдикций, включая Российскую Федерацию (ст. 272–274 УК РФ). Все описанные инструменты применимы только к собственному оборудованию или в рамках договора на тестирование проникновения.

Основные типы словарей

Вордлисты различаются по источнику формирования и назначению. Выбор словаря напрямую влияет на скорость и результативность аудита.

• 📋 Универсальные топ-списки — подборки самых распространённых паролей по данным утечек (тысячи или миллионы строк).
• 🌍 Языковые словари — слова конкретного языка: русского, английского и других, включая формы и склонения.
• 👤 Персонализированные словари — генерируются под конкретную цель из открытых данных: имени, даты рождения, клички питомца.
• 🔧 Тематические базы — пароли по умолчанию для роутеров, камер, СУБД и промышленного оборудования.
• 🧬 Мутированные списки — базовые слова с автоматическими заменами (a→@, o→0, добавление цифр и года в конец).

Отдельно стоит упомянуть комбинированные атаки: инструмент берёт два словаря и склеивает слова попарно, либо применяет к словарю правила мутации (rules в hashcat), порождая из одного слова сотни вариантов. Именно так «сложный» пароль вида Privet2026! оказывается легко предсказуемым.

Известные открытые словари и где их берут специалисты

Для легального аудита существуют общедоступные коллекции, которые де-факто стали стандартом индустрии. Наиболее известная — утечка rockyou.txt, содержащая миллионы реальных паролей; она входит в состав многих дистрибутивов для тестирования безопасности. Также широко используется проект SecLists — сборник словарей для разных задач: пароли, имена пользователей, пути веб-каталогов, строки для фаззинга.

Генераторы вроде crunch создают словарь по заданной маске (длина, набор символов), а инструменты типа CUPP строят персональный вордлист из биографических данных. Это наглядно показывает: любой пароль, построенный на личной информации, воспроизводим машиной.