Angriff mit Passwort Listen ist doch eine Version eines lexikalen Angriffs oder?
Bruteforce profitiert von einer verringerten Komplexität letztlich erst dann, wenn es die Verringerung vermutet. Gehe ich einfach ohne Vorwissen rein, teste ich alle Kombinationen aller Zeichen. Nun rate ich das nur Kleinbuchstaben verwendet werden. Also gehe ich erst alle Kleinbuchstabenkombis durch und dann erst erweitere ich das Spektrum. Selbiges bei Passwort Länge. Logisch wäre ein Austesten nach typischen Längen : zuerst vorgegebene Mindestlänge, dann empfohlene Mindestlänge, dann das jeweils +1 usw. Das führt dazu das bei typischen Bruteforce Angriffen teils auch wenig komplexe Passwörter sehr sicher sind.
Dummes Beispiel: #########+++++++
Das Passwort ist nicht komplex, aber zumindest lang. Ein typischer Bruteforce braucht hier eher lange. Setzt der Bf aber andere Prioritäten kann es sein, daß er es schnell löst. Nur es muss halt vermutet werden das nur Sonderzeichen verwendet werden.
Letztlich ist das der Grund warum man von allem etwas nutzen sollte, da selbst richtiges raten einem hier beim Ausschluß nur wenig hilft.
Warum waren die Wlan Schlüssel von Fritzbox schon immer Müll (mal abgesehen von der Zeit wo man sie aus bestimmten Daten errechnen konnte)? Bekannte Länge + eingeschränkte Zeichenauswahl (nur Zahlen). Hier hilft dann die Länge zwar immernoch aber sehr viel weniger als bei anderen Passwortes.
Was kann mann noch raten z. B. verwenden von Worten. Großbuchstaben an Wort Beginn. Position von Sonderzeichen usw.
Letztlich wird für Bf aber immer DEUTLICH einfacher sein lokal arbeiten zu können. Das verringert die Zeit pro Versuch sehr sehr stark. Es ermöglicht mir oft auch parallel mehrere Systeme zu nutzen. Gehe ich hin und muss immer wieder eine Seite reloaden kostet das ne Menge Zeit und es bietet jede Menge Möglichkeiten den Angriff zu bemerken. Da ist mir ne Keepass Datei allemal lieber als nen Webinterface (nur auf Bf bezogen).