Kennwort-Keynote auf der IT-Security Management & Technology Conference 2014

Zeit für ein sicheres Passwort!

Seite: 2/3

Firmen zum Thema

Passwort-Recycling ist das größte Sicherheitsproblem

Die Linie zwischen Grau, Schwarz und Weiß ist fließend beim Knacken von Hashes. Oftmals stammen die beispielsweise täglich zu tausenden auf Pastebin veröffentlichten Hashes aus illegalen Hacks und somit aus dem Untergrund. Ziel der Kriminellen ist es wahrscheinlich nicht, alle Passwörter einer geklauten Login-Datenbank zu entschlüsseln. Sie machen sich vielmehr die Bequemlichkeit der Anwender zu nutze: Einer Studie zufolge schützt ein durchschnittlicher Internetnutzer insgesamt 25 Logins für Online-Dienste mit nur sechseinhalb Passwörtern.

Die Kennwörter werden also wieder verwendet. Von daher genügt den auf finanziellen Profit konzentrierten Cyber-Kriminellen ein Schwung dekodierter Hashes, wenn gleichzeitig die E-Mail-Adresse des betroffenen Nutzers bekannt ist. Mit diesen Informationen können sie sich sehr wahrscheinlich Zugriff auf andere Online-Konten des Opfers verschaffen. „Passwort-Recycling dürfte das größte, von Anwendern wissentlich ignorierte Sicherheitsloch sein“, so Steube.

Bildergalerie

Die Qualität der mit Hashcat erfolgreich aus Hash-Leaks dekodierten Passwörter ähnelt sich stark – ganz egal, ob ein Pentrationstester in einem kleinen oder großen Unternehmen ans Werk geht, oder im Netz kursierende Hash-Leaks geknackt werden. Die legalen Cracker finden in aller Regel die immer gleichen Mutationen, die beispielsweise Buchstaben durch Leet-Speak-Ersetzungen austauschen. Beim seit Jahren bekannten Leet-Speak werden Buchstaben durch Ziffern oder Sonderzeichen ersetzt. So wird aus dem von „Elite“ abgewandelten Wort „leet“ die Ziffernfolge „1337“, aus „SecurePass" wird ".S3KuReP4S$".

Nicht jeder Sicherheitstipp ist wirklich gut

Steube hält nicht sehr viel davon, Lied- oder Romanzeilen als Kennwort zu verwenden. Werde ein Satz unverändert übernommen, habe ein Cracker gute Chancen. Denn früher oder später landen gängige Sentenzen in den Wörterbüchern. Entweder, weil ein Tool beispielsweise Romane analysiert. Oder weil der Satz irgendwo anders schon einmal geknackt wurde und damit in Cracker-Kreisen kursiert.

Entscheidenden Einfluss auf die Qualität herkömmlicher, von normalen Anwendern verwendeter Passwörter haben die bereits erwähnten Passwort-Policies. Geben sie eine Mindestlänge von beispielsweise zehn Zeichen vor, tun sich die Knacker schwer(er). Wenngleich die heute gängigen Passwort-Vorgaben eher zum Vorteil für die Angreifer wurden: Die Regeln sind den Angreifern hinlänglich bekannt.

Das führt somit zu schnelleren Erfolgen. Denn wenn erst einmal einige (schwache) Kennwörter aus einer Hash-Sammlung erfolgreich geknackt wurden, finden Analysetools wie Passpal oder dessen Vorgänger Pipal schnell Muster in den entschlüsselten Passwörtern. Diese Muster lassen Rückschlüsse auf die verwendete Passwort-Policy zu. Steht beispielsweise am Anfang des Kennworts immer ein Großbuchstabe, können die Cracker den von ihren Tools verwendeten Keyspace bei den folgenden Durchläufen entsprechend einschränken und auf das Testen von Kleinbuchstaben, Sonderzeichen und Ziffern an dieser Stelle verzichten.

(ID:42699108)