Die Sicherheitsfirma Praetorian kommt in einer Studie zu dem Ergebnis, dass Passwort-Kontrollmethoden diese leichter zu knacken gemacht haben. Demnach haben sie für eine große Vereinheitlichung geführt, und mehr als 50 Prozent aller Passwörter entsprechen jetzt einer von nur 13 Strukturen. Untersuchungsgrundlage waren 34 Millionen Passwörter aus Sicherheitsvorfällen etwa bei LinkedIn, phpBB und RockYou.
Websites speichern Passwörter typischerweise als Hash ab, aus dem sich das Originalpasswort im Fall eines Diebstahls nicht ableiten lässt. Allerdings ist es mit Werkzeugen möglich, diese Hashes in Klartext zu übersetzen – und wenn man die Anforderungen kennt, die eine Site an Passwörter ihrer Kunden stellt, erleichtert dies die Aufgabe deutlich. Beispielsweise geben viele Websites eine Länge von mindestens acht Zeichen und mindestens eine enthaltene Ziffer vor.
„Wenn Nutzer ein Passwort mit mindestens einem Großbuchstaben verwenden müssen, dann ist das in mehr als 90 Prozent der Fälle der erste Buchstabe“, erklärt Julian Dunning von Praetorian in einem Blogbeitrag. „Und wenn man mindestens eine Ziffer vorschreibt, verwenden die meisten User zwei Ziffern am Ende ihres Passworts.“ Diese Struktur – der erste Buchstabe ein Großbuchstabe, am Ende zwei Ziffern – war dann auch die häufigste Struktur überhaupt in der Analyse.
Die nächsthäufigsten Strukturen sind vier Ziffern am Ende, nur eine Ziffer am Ende und drei Ziffern am Ende. Dunning nennt das „schockierend“. Seiner Meinung nach müssten Entwickler diese Strukturen eigentlich blockieren, aber „ohne einfache Struktur fällt es vielen Leuten schwer, sich ihr Passwort zu merken.“
Die Passwort-Vorgaben dienen natürlich eigentlich dazu, allzu simple, leicht zu knackende Passwörter zu verhindern – etwa die auch 2014 noch beliebten Klassiker „123456“ und „password“.
Eine Lösung dieses Problems ist der Einsatz eines Passwortmanagers, der komplexe, schwer zu knackende Passwörter erstellt und speichert. Er stellt aber ein umso attraktiveres Ziel für Angreifer dar. Und soll auf die Konten mit mehreren Endgeräten zugegriffen werden, wie es heute eigentlich Standard ist, benötigt der Passwortmanager eine Cloud-Infrastruktur oder einen Verteilmechanismus – mit ihren eigenen Sicherheitsimplikationen.
Als Alternative gelten einmalige, komplexe biometrische Merkmale, vom Fingerabdruck über die Handvenenerkennung und die Iris bis zur Herzfrequenz, wie sie zuletzt etwa Paypal empfahl. Doch gerade externe biometrische Merkmale sind bisher alles andere als fälschungssicher. Und ein zweites Problem: Sollten diese „Passwörter“ beziehungsweise Merkmale gestohlen, gefälscht oder nachgeahmt worden sein, lassen sie sich nicht einfach zurücksetzen.
[mit Material von Matthew Broersma, TechWeekEurope.co.uk]
Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Neueste Kommentare
3 Kommentare zu Bericht: Passwort-Kontrollmechanismen erleichtern Cracks
Kommentar hinzufügenVielen Dank für Ihren Kommentar.
Ihr Kommentar wurde gespeichert und wartet auf Moderation.
Man kann eigentlich nicht genug dazu schreiben. Andererseits sehe ich ebenfalls eine gewisse Sorglosigkeit und psychologische Sperren. Die Einrichtung technischer Passwortregeln und die Vorgabe eines sechswöcchigen Wechsels haben beim überwiegenden Teil der Beschäftigten Unverständnis und Ablehnung hervorgerufen. Jetzt müssen Sie zumindest einmal im Vierteljahr das Passwort ändern inklusive Groß- und Kleinschreibung, Sonderzeichen und vorgegebener Passwortlänge. Hilfestellungen habe ich genug gegeben, einschließlich absurder Sätze. Der Mensch sperrt sich gegen Gedächtnisleistungen im App-Zeitalter. Außerdem ist da doch nichts geheim, kann doch jeder lesen ist die gängige Ausrede. Auch diesen Beitrag werde ich wieder zum Anlass für eine Auswertung und Belehrung nehmen. Viel schlimmer ist leider immer noch die unsägliche Angewohnheit der Passwortweitergabe an Kolleginnen und Kollegen.
Ja, die Ausrede mit „kann doch eh jeder lesen“ kenne ich auch, doch denke ich, selbst wenn das so ist bzw. jedes Passwort früher oder später knackbar ist, dann ist später besser als früher…und falls Geheimdienste wirklich alles haben, dann hält man sich wenigstens den Ärger durch andere Gruppierungen vom Leibe.
Gerne gesagt wird auch „ich hab nichts zu verbergen“, was ja schön ist, aber darauf antworte ich meist „wenn jemand Deine Daten lesen kann, dann kann er sie evtl. auch manipulieren, und DAS ist das wirklich schlimme oder gefährliche. Lesen ist das eine, aber wenn es z.B möglich ist, in Dein Leben einzugreifen, weil z.B. Emails abgefangen, verändert, und in Deinem Namen weitergeschickt werden, dann ist Schluß mit lustig…spätestens wenn Dein erster Großkunde abspringt, weil „Du“ ihn per Email beleidigt hast…oder wenn Du nach zwei Jahren merkst, wenn Du ein Backup wichtiger Daten nach einem Systemcrash zurückspielen willst, dass die Dateien zwar da sind, aber der Inhalt durch fremden Eingriff ein anderer wurde“.
Man könnte es weiterspinnen…man kann Menschen umso besser manipulieren, je mehr man von ihnen weiß, ohne dass sie es wissen…wer will das wirklich?…versucht man doch zumindest so schwer wie möglich (bei vertretbarem Aufwand) zu machen.
„Websites speichern Passwörter typischerweise als Hash ab, aus dem sich das Originalpasswort im Fall eines Diebstahls nicht ableiten lässt. Allerdings ist es mit Werkzeugen möglich, diese Hashes in Klartext zu übersetzen“
->stimmt so, zumindest nach meinem Wissen, nicht, denn ein Hash ist, nach derzeitigem mathematischem Stand :-), eine „Einbahnstraße“.
Was hier vermutlich gemeint ist, ist, dass man mit Werkzeugen, sprich den Passwort Regeln, den Hash dann versuchen kann nachzubilden, durch Ausprobieren verschiedener Passwörter, wobei die Anzahl der möglichen Kombinationen durch die Passwortregeln etwas verkleinert wird.
P.S.: Empfehle PWGen.