Studie: Namhafte Content-Management-Systeme nutzen unsicheres Passwort-Hashing

Ein Viertel der am häufigsten genutzten Content-Management-Systeme (CMS) setzten ab Werk auf veraltete und inzwischen als unsicher eingestufte Hashfunktionen wie MD5, um Passwörter von Nutzern zu schützen. Dazu gehören WordPress, osCommerce, SuiteCRM, Simple Machines Forum, miniBB, MyBB, SugarCRM, CMS Made Simple, Phorum, Observium, X3cms und Composr.

Das ist das Ergebnis einer Studie von Forschern der University of Piraeus in Griechenland. Sie beschäftigten sich mit den voreingestellten Mechanismen zur Passwortspeicherung von 49 weit verbreiteten CMS und 47 Web Application Frameworks.

Hashing wird in der Regel benutzt, um Passwörter von Nutzern nicht im Klartext speichern zu müssen. Der Betreiber einer Website oder eines Forums hinterlegt in seinem System also nicht das eigentliche Kennwort des Nutzers, sondern eine daraus generierte zufällige Zeichenfolge. Diese Zeichenfolge basiert auf Algorithmen beziehungsweise kryptografischen Funktionen wie MD5, SHA1, SHA512, Bcrypt oder PBKDF2.

Allerdings werden nicht mehr alle gebräuchlichen Algorithmen als sicher angesehen. Dazu zählen MD5 und SHA1. Sie werden inzwischen durch neuere und komplexere Systeme wie Bcrypt, Scrypt und Argon2 abgelöst.

Der Studie zufolge setzen jedoch fast 60 Prozent der getesteten CMS weiter auf schwache Hashing-Funktionen oder solche, die dank spezieller Hardware für Parallel Computing für Passwort-Angriffe anfällig sind. Bei 40,82 Prozent war indes eine sichere Funktion voreingestellt, und zwar bei allen Bcrypt. Als Beispiele nannte die Studie Joomla, phpBB, Vanilla Forums, vBulletin und SilverStripe.

Das ebenfalls als sicher geltende Scrypt wird nach Ansicht der Forscher nicht eingesetzt, weil es dafür keine native PHP-Bibliothek gibt. Die meisten CMS-Projekte, die auf PHP basieren, unterstützen Scrypt deswegen nicht. Argon2 wiederum ist erst seit Version 7.2 in PHP enthalten. Viele Webserver basieren jedoch noch auf älteren PHP-Versionen inklusive PHP 5.x.

Die Studie deckte außerdem auf, dass 38,78 der getesteten CMS auf eine Mindestpasswortlänge verzichten. So akzeptiert WordPress und auch Drupal in der Vorsteinstellung einzelne Zeichen als Passwörter. Auch das Salting, das die Sicherheit gehashter Passwörter verbessert, ist kein Standard und kam nur bei rund 85 Prozent der CMS zum Einsatz.