Rockyou.txt

rockyou.txt ไฟล์ที่รวบรวม Password ที่ทั้งผู้เชี่ยวชาญด้าน Cybersecurity และ Hacker นิยมใช้ มีที่มาอย่างไร ทำไมต้องชื่อนี้?

1. rockyou.txt เป็น Password Dictionary ยอดนิยมที่ Hacker หรือ Security Professional เลือกใช้ แม้แต่ใน Distro ดัง ๆ อย่าง Kali Linux ยังต้องมีติดไว้ นอกจากนี้ในการเล่น CTF หรือ ข้อสอบต่าง ๆ เกี่ยวกับการ Hack ก็ยังเลือก Password ที่อยู่ในไฟล์ rockyou.txt
2. Password Dictionary คือ ไฟล์ที่รวบรวม Password เพื่อที่จะใช้ในการทดสอบระบบ ในการ Hack หรือ ทดสอบระบบนั้น มักจะมีการทดสอบ Login ด้วยวิธีการต่าง ๆ ซึ่งแน่นอนว่า Hacker คงไม่นั่งพิมพ์ username/password ทีละชุดแล้วกด Submit แต่จะมีการใช้เครื่องมือในการทดสอบการ Login โดยเครื่องมือประเภทนี้จะต้องการให้เราระบุไฟล์ Dictionary ซึ่งระบุถึง List ของ Password ทั้งหมดที่เราต้องการทดสอบ

เบื้องหลังชื่อไฟล์

3. rockyou.txt ไม่ได้เป็นเพียงแค่ชื่อไฟล์ แต่ชื่อนี้มาจากบริษัทชื่อว่า RockYou
4. RockYou ก่อตั้งในปี 2005 เป็นบริษัทที่เริ่มจากการทำ Application บน Social media ต่าง ๆ เช่น Facebook MySpace
5. ในการใช้ Application ของ RockYou นั้นจะต้องมีการสร้าง Account บน RockYou ก่อนนอกจากนี้ตอนที่จะไปใช้บน Facebook หรือ MySpace นั้น จะต้องมีการใส่ Username/Password ของ Social Media Site นั้นผ่านเว็บของ RockYou ก่อน

ข้อมูลรั่วและผลที่ตามมา

6. ในปี 2009 นั้น RockYou มี user มากถึง 32 ล้าน accounts
7. ในปี 2009 นั้น RockYou ถูก Hack ด้วยเทคนิคที่ชื่อว่า SQL Injection นั่นเอง ซึ่งในสมัยนั้น (2009) ก็เป็นเทคนิคที่มีการใช้มาประมาณ 10 ปีแล้ว อย่างไรก็ตามในทุกวันนี้ก็ยังพบเจอ SQL Injection ได้เป็นเรื่องปกติ ซึ่งมันก็เป็นเวลา 20 กว่าปีแล้วสำหรับเทคนิคนี้
8. ทาง RockYou ได้ออกมาประกาศว่าเกิด Security Breach แต่ไม่ได้มีการบอกรายละเอียดเท่าไรนัก
9. Tom (Hacker ที่ไปดูด (dump) ข้อมูลออกมา, นี่ไม่ใช่ชื่อที่แท้จริงของเค้า แต่เป็นชื่อที่ทาง New York Times ใช้เรียกเค้า) ได้ออกมาประกาศว่าการเก็บ Password ของ RockYou นั้นเลวร้ายมาก เพราะว่ามีการเก็บ Password ในลักษณะ Plaintext (ไม่ได้มีการเข้ารหัส), มีการเก็บ Password ของ Social Media Site ในลักษณะ Plaintext เช่นเดียวกัน
10. คาดว่า Tom น่าจะอาศัยอยู่แถบ Eastern Europe เนื่องจากก่อนหน้านี้เค้าโจมตีเว็บใน Czech republic, Slovakia เป็นหลัก ซึ่งจากที่ Tom ให้ข้อมูลเค้าบอกว่าการไล่ Hack เพื่อ Dump Database ที่เก็บ username/password ตามเว็บต่าง ๆ นั้นเหมือนเป็นการเก็บ Trophy ของเค้า ไม่ได้จะตั้งใจเอาข้อมูลพวกนี้มาปล่อยสู่สาธารณะ แต่มีความไม่พอใจที่เว็บต่าง ๆ ไม่ยอมแก้ไขช่องโหว่ รวมถึงบางครั้งออกมาประกาศว่ามี Data Breach แบบให้ข้อมูลที่บิดเบือน
11. หลังจากมีข่าวว่า RockYou นั้นมีการจัดการกับรหัสผ่านรวมถึงข้อมูลส่วนตัวแย่เพียงไหนนั้น RockYou ก็ประสบปัญหาต่าง ๆ ในปี 2010 ได้มีการ layoff พนักงาน จนในที่สุดในปี 2019 นี้ RockYou ได้ถูกฟ้องล้มละลาย
12. ทาง Tom ซึ่งมีข้อมูล 32 ล้าน records นั้น คิดว่าข้อมูลขนาดนี้น่าจะใช้ประโยชน์อะไรบ้าง สุดท้ายเค้าไม่ได้นำ file ที่มีข้อมูล username/password ปล่อยสู่สาธารณะ แต่เลือกที่จะปล่อยข้อมูลในส่วนของ password ออกสู่สาธารณะเท่านั้น ซึ่งจากการวิเคราะห์ข้อมูล Set นี้พบว่าแค่ Top 5,000 Passwords ก็สามารถที่จะใช้ Login ได้มากถึง 20% ของ Account ทั้งหมดบน RockYou
13. Password ที่มีการใช้เยอะบน RockYou ได้แก่ 123456, 12345, 123456789, password, iloveyou
14. ในปี 2009 นั้น Data Breach Scale ระดับนี้ถือเป็นข่าวใหญ่มาก ในที่สุด Password ของ RockYou ก็มักถูกใช้อ้างอิงในการวิเคราะห์เรื่องราวเกี่ยวกับ Security ต่าง ๆ จนดังมากอีกครั้งเมื่อมีการนำ Password set นี้ไปไว้ใน Kali Linux (OS ที่รวมเครื่องมือเกี่ยวกับการ Hack) ในชื่อว่า rockyou.txt

หลักการตั้ง Password

• อย่าตั้ง Password ที่มีอยู่ใน Dictionary ซึ่งคำว่า Dictionary นี้หมายถึงไฟล์ประเภท rockyou.txt ไม่ใช่ Oxford, Longman ไรพวกนั้น
• ตั้ง Password ให้ยาว ๆ งานวิจัยบอกว่า Password ที่ยาวมีความแข็งแรงกว่า Password ที่สั้นแต่มีความซับซ้อน (ผสมตัวเลข อักขระพิเศษ ตัวพิมพ์เล็ก ตัวพิมพ์ใหญ่)
• อย่า Reuse Password (การใช้ Password เดียวกันซ้ำ ๆ หลายที่)
• เปิดใช้งาน 2 Factors Authentication (เลือกแบบที่เป็น Software Token เช่น Google Authenticator เลี่ยงการใช้ SMS)

Ref: https://darknetdiaries.com/episode/33/

ปัจจุบันการโจมตีต่าง ๆ ไม่ได้เกิดทาง Physical อีกต่อไป จุดเริ่มต้นที่ทำให้ RockYou ซึ่งเป็นบริษัทที่มีผู้ใช้งานมหาศาลต้องปิดตัวลงนั้นเกิดจากการละเลยกับปัญหาด้าน Cybersecurity ผู้ดูแลระบบขององค์กรจึงควรสื่อสารกับผู้บริหารให้ทราบถึงความสำคัญด้าน Cybersecurity ในแง่ของการตรวจสอบและแก้ไขช่องโหว่ เพื่อการป้องกันและรับมือภัยคุกคามที่อาจเกิดขึ้นได้อย่างทันท่วงที

อ่านเพิ่มเติม Rockyou ในปี 2025

Related articleRockyou.txt คืออะไร? ทำไมยังเป็นภัยคุกคามในปี 2025ย้อนรอย rockyou.txt ตั้งแต่เหตุแฮ็ก RockYou ปี 2009 จนถึงเวอร์ชันล่าสุด และเหตุผลที่ไฟล์รหัสผ่านอายุสิบกว่าปียังใช้เดารหัสได้ผลอยู่incognitolab.com/blogs/rockyou2024