der kryptische Kram sind die Passworte als SHA1 Hash dann ein Doppelpunkt und dann die Häufigkeit.

Die ersten drei Zeilen aus der Datei:

usw. usw. usw.

Ein konkretes Beispiel:
Die erste Zeile der Datei lautet
7C4A8D09CA3762AF61E59520943DC26494F8941B:20760336
Hash: 7C4A8D09CA3762AF61E59520943DC26494F8941B
Doppelpunkt:
Anzahl:20760336 (20 Millionen!)

Wenn Du jetzt das Passwort "123456" prüfen wolltest, mußt Du davon zuerst den SHA1 Wert ermitteln.

Im Terminal /bin/echo -n "123456" | openssl sha1


Das ist der gleiche Hashwert, wie in der ersten Zeile, nur mit Klein- statt Großbuchstaben, die kann man durch tr [a-f] [A-F] umwandeln, also lautet die komplette Zeile



und die ist identisch mit der ersten Zeile, somit sollte man "123456" tunlichst nicht als Passwort verwenden.


Wie auf der Webseite erklärt wird, sind die Passworte in der Datei deshalb verhasht, weil manche User in ihren Passworten sensible Informationen verwenden.

Du könntest ja auf die schlechte Idee verfallen, als Passwort Deine eMailadresse o.ä. zu nehmen.

Why Hashes?
Sometimes passwords are personally identifiable. Either they contain personal info (such as kids' names and birthdays) or they can even be email addresses. One of the most common password hints in the Adobe data breach (remember, they leaked hints in clear text), was "email" so you see the challenge here.
Further to that, if I did provide all the passwords in clear text fashion then it opens up the risk of them being used as a source to potentially brute force accounts.

Da der normale User hoffentlich mehr als nur ein Passwort hat, empfiehlt es sich das Ganze mit einem kleinem Skript drumrum aufzurufen, das aus den eigenen Passworten die Hashwerte ermittelt und die dann nacheinander auf Vorhandensein in der Datei zu überprüfen.

Wenn man das häufiger macht, sollte man eine Version der Datei nehmen, bei der die Hashes alphabetisch sortiert sind, denn sonst dauert das Suchen in der Datei viel zu lange.

Ich habe mal vier Passworte getestet,wobei die ersten beiden Trivialpassworte waren, damit ich sehen konnte ob das Skript funktioniert und die anderen beiden einfach nur Buchstabensalat.

Vorne steht der zu testende Hashwert, dann !!! für gefunden bzw. OK für nicht gefunden, ganz hinten die Suchzeit in Sekunden!
Wegen der falschen Sortierung (nach Häufigkeit statt nach Hashwert) dauert das ewig

Gesucht wurde mit grep -F -m1 -c "7C4A8D09CA3762AF61E59520943DC26494F8941B" $HOME/Downloads/pwned-passwords-2.0.txt was wahnsinnig ineffizient ist.