Asi nerozumím těm "žebříčkům nejhorších hesel". Jak to vzniká, jaká je metodika? Nebo metodika neexistuje, a je to 20 let starý recyklát? Nebo je to názor autorů? Nebo je to podložené nějakými daty - ale jak pak byla ta data získaná? Protože já si nějak nedovedu představit, jak někdo louská např. bcrypt+salt hesla jen proto, aby udělal statistiku.
Tedy... jde o data z úniků databází z webů tvořených před 20ti lety v plaintextu, nebo před 15ti lety v MD5? Fajn, ale to už je snad trochu neaktuální, ne?
Mínus sice pěkné, ale můžete to klidně rozvést. Webů co vznikly před X lety a unikají z nich hesla je samozřejmě spousta. Není to tak dávno kdy se dostali do Mall.cz. Tam sice mají dle všeho již 2 roky bcrypt, ale v databázi měli i účty založené před X lety, a u těch zůstal viset nesolený md5 hash. Tam lze samozřejmě statistiku získat relativně snadno, protože stačí vědět testované heslo, a lze triviálně zjistit kolik uživatelů ho má. U bcryptu atd. už je to problém, protože testování hesla je úmyslně děláno tak, aby zabralo desetiny sekundy na pokus. A z toho už jde statistika dělat dost těžko.