Bericht: Passwort-Kontrollmechanismen erleichtern Cracks

Die Sicherheitsfirma Praetorian kommt in einer Studie zu dem Ergebnis, dass Passwort-Kontrollmethoden diese leichter zu knacken gemacht haben. Demnach haben sie für eine große Vereinheitlichung geführt, und mehr als 50 Prozent aller Passwörter entsprechen jetzt einer von nur 13 Strukturen. Untersuchungsgrundlage waren 34 Millionen Passwörter aus Sicherheitsvorfällen etwa bei LinkedIn, phpBB und RockYou.

Websites speichern Passwörter typischerweise als Hash ab, aus dem sich das Originalpasswort im Fall eines Diebstahls nicht ableiten lässt. Allerdings ist es mit Werkzeugen möglich, diese Hashes in Klartext zu übersetzen – und wenn man die Anforderungen kennt, die eine Site an Passwörter ihrer Kunden stellt, erleichtert dies die Aufgabe deutlich. Beispielsweise geben viele Websites eine Länge von mindestens acht Zeichen und mindestens eine enthaltene Ziffer vor.

„Wenn Nutzer ein Passwort mit mindestens einem Großbuchstaben verwenden müssen, dann ist das in mehr als 90 Prozent der Fälle der erste Buchstabe“, erklärt Julian Dunning von Praetorian in einem Blogbeitrag. „Und wenn man mindestens eine Ziffer vorschreibt, verwenden die meisten User zwei Ziffern am Ende ihres Passworts.“ Diese Struktur – der erste Buchstabe ein Großbuchstabe, am Ende zwei Ziffern – war dann auch die häufigste Struktur überhaupt in der Analyse.

Die nächsthäufigsten Strukturen sind vier Ziffern am Ende, nur eine Ziffer am Ende und drei Ziffern am Ende. Dunning nennt das „schockierend“. Seiner Meinung nach müssten Entwickler diese Strukturen eigentlich blockieren, aber „ohne einfache Struktur fällt es vielen Leuten schwer, sich ihr Passwort zu merken.“

Die Passwort-Vorgaben dienen natürlich eigentlich dazu, allzu simple, leicht zu knackende Passwörter zu verhindern – etwa die auch 2014 noch beliebten Klassiker „123456“ und „password“.

Eine Lösung dieses Problems ist der Einsatz eines Passwortmanagers, der komplexe, schwer zu knackende Passwörter erstellt und speichert. Er stellt aber ein umso attraktiveres Ziel für Angreifer dar. Und soll auf die Konten mit mehreren Endgeräten zugegriffen werden, wie es heute eigentlich Standard ist, benötigt der Passwortmanager eine Cloud-Infrastruktur oder einen Verteilmechanismus – mit ihren eigenen Sicherheitsimplikationen.

Als Alternative gelten einmalige, komplexe biometrische Merkmale, vom Fingerabdruck über die Handvenenerkennung und die Iris bis zur Herzfrequenz, wie sie zuletzt etwa Paypal empfahl. Doch gerade externe biometrische Merkmale sind bisher alles andere als fälschungssicher. Und ein zweites Problem: Sollten diese „Passwörter“ beziehungsweise Merkmale gestohlen, gefälscht oder nachgeahmt worden sein, lassen sie sich nicht einfach zurücksetzen.

[mit Material von Matthew Broersma, TechWeekEurope.co.uk]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Florian Kalenda

Seit dem Palm Vx mit Klapp-Tastatur war Florian mit keinem elektronischen Gerät mehr vollkommen zufrieden. Er nutzt derzeit privat Android, Blackberry, iOS, Ubuntu und Windows 7. Die Themen Internetpolitik und China interessieren ihn besonders.

Recent Posts

Apple meldet Rekordumsatz im vierten Fiskalquartal

Die Einnahmen klettern auf fast 95 Milliarden Dollar. Allerdings belastet der Steuerstreit mit der EU…

2 Tagen ago

Microsoft steigert Umsatz und Gewinn im ersten Fiskalquartal

Das stärkste Wachstum verbucht die Cloud-Sparte. Microsoft verpasst bei der Umsatzprognose für das laufende Quartal…

2 Tagen ago

Bezahlkarten: Infineon verspricht weniger Plastikmüll

Ein Coil-on-Module-Package integriert Chip und Antenne, was den Kartenkörper fast vollständig recycelbar machen soll.

3 Tagen ago

Firefox 132 schließt elf Sicherheitslücken

Mindestens eine Anfälligkeit erlaubt das Einschleusen von Schadcode. Außerdem erweitern die Entwickler den Support für…

3 Tagen ago

Telekom nennt Termin für 2G-Ende

Zum 30. Juni 2028 soll das 2G-Netz komplett abgeschaltet werden und den Weg für schnellere…

3 Tagen ago

Alphabet übertrifft die Erwartungen im dritten Quartal

Gewinn und Umsatz legen deutlich zu. Zum Wachstum tragen auch die Sparten Cloud und Abonnements…

3 Tagen ago