Kennwort-Keynote auf der IT-Security Management & Technology Conference 2014 Zeit für ein sicheres Passwort!

Ohne Passwörter geht’s im Netz auch in Zukunft nicht. Doch unsere Kennwörter stehen regelmäßig auf dem Prüfstand. Nämlich dann, wenn Betreiber von Onlinediensten nicht auf der Hut sind. Dann schlägt die Stunde der professionellen Passwortknacker und ihrer teilweise monströsen Hardware. Zum Glück naht Hilfe gegen die Cracker.

Anbieter zum Thema

AXIS Communications GmbH

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

Uli Ries erläutert auf der IT-Security Management & Technology Conference 2014, warum ein vermeintlich sicheres Passwort nicht unbedingt sicher ist.

Für (semi)professionelle Passwort-Cracker sind diese Datenbanken mit ihren zig Millionen Einträgen – alleine die Vorfälle bei Adobe und Evernote betreffen knapp 90 Millionen Anwender weltweit – Schätze im Netz. Schließlich versprechen sie reichlich Gelegenheit, um sich fremder Konten bei allen möglichen Diensten zu bemächtigen. Aber auch Zeitgenossen wie Jens „atom“ Steube interessieren sich für die geleakten Daten – zumindest für einen Teil der Datensätze.

Steube richtet sein Augenmerk nämlich ausschließlich auf die gespeicherten Hashwerte der Passwörter. Sein Ziel ist es, aus dem kryptischen Hash das zugrundeliegende Kennwort zu machen. Nicht, um sich persönlich zu bereichern oder mit den gewonnenen Informationen digitale Identitäten zu rauben. Sondern nur um der Herausforderung willen. Gelangt er ans Ziel, fördert er auf den ersten Blick sichere Kennwörter wie „thatsthewayilikeitbabyidontwannaliveforever", „poIU09*&l1nk3d1n", „qwertzuiopüasdfghjklöäyxcvbnm,.-“ oder „script>alert(document.cookie);</script>“ zutage.

Hash-Cracking legt Anwenderfehler offen

Jens Steube ist der Entwickler der populären Hashcracking-Tools Hashcat (CPU-basiert) und oclHashcat (GPU-basiert). Neben dem aus dem Unix-Umfeld stammenden Passwortcracker John the Ripper ist Hashcat zum Standardwerkzeug von Hash-Knackern weltweit geworden. Wie gut die Spezialisten mit den Tools umgehen können, beweisen sie jährlich in verschiedenen (legalen) Wettbewerben.

Einer der Wettkämpfe trägt den Titel „Crack me if you can“ und findet seit 2010 im Rahmen der Hackerkonferenz Defcon in Las Vegas statt. Organisator ist der IT-Sicherheitsdienstleister KoreLogic Security. Von solchen Wettbewerben profitieren laut Steube die Veranstalter, die von den Teilnehmern das Offenlegen aller verwendeten Tools und auch der jeweiligen Finessen beim Einsatz dieser Werkzeuge fordern. Auf diese Weise könne KoreLogic bei Penetrationstests mit praxisnahen Techniken unsichere Passwörter der Mitarbeiter des Auftraggebers aufspüren. Letztendlich diene dies zum Verbessern der Passwortsicherheit des Kunden.

Zum anderen profitiere aber auch die Gemeinde der Hashcracker. Denn durchs Aufdecken der Klartext-Passwörter stoßen die freundlichen Cracker auch auf alle Mutationen, die Menschen beim Erzeugen der Kennwörter erdenken, um die in Unternehmen gängigen Passwort-Vorgaben auszutricksen. In der Regel wählen die Anwender ein Basispasswort und ändern es dann immer wieder ab, damit es die Vorgaben wie Mindestlänge oder Verwenden von Sonderzeichen erfüllt. Dieses Wissen rund um die (endlichen) Mutationen fließe dann in die Entwicklung neuer, besserer Vorgaben ein.

Der Hashcat-Entwickler ist sich dessen bewusst, dass sein Werkzeug prinzipiell auch für Illegales verwendet werden kann. Er hält jedoch nichts davon, Tools wie Hashcat unter Verschluss zu halten. „Was wir herausfinden, kann doch von jedem anderen Programmierer auch entdeckt werden. Von daher ist das Offenlegen des Wissens der bessere Weg. Denn so weiß jeder um Möglichkeiten sowie Schwächen und kann alarmieren beziehungsweise sein eigenes Verhalten anpassen“, sagt der Programmierer.

(ID:42699108)