Passwörter Flashcards
Passwörter
- Authentifizierung über Wissen (geheimes Wort, Phrase)
- häufig in Kombination mit kryptographischen Verfahren (Passwort als symmetrischer Schlüssel oder schützt privaten Schlüssel)
Funktionsweise Passwörter
1) Nutzer sendet Identität und Passwort
2) Computer sucht Identität und vergleicht Passwort in DB
Probleme mit Passwörtern
- Passwort erschnüffeln (mitlesen im Netzwerk, Speichermedien kompromittieren)
- Passwort erraten oder knacken
- Faktor Mensch (einfach, auf Zetteln)
Passwörter: Grundlegende Schutzmaßnahmen
- nie im Klartext kommunizieren oder speichern
- nicht leicht zu erraten
- Technik soll menschlichen Faktor ausgleichen
One-Way Function (OWF)
- y = OWF(x) effizient berechenbar und unmöglich x zu bestimmen
- kryptographische Hash-Funktionen
- Message Authentication Codes (MACs) werden auch als Hash-Funktionen mit Schlüssel (Keyed Hash Functions) bezeichnet
Passwortverwaltung und -überprüfung
- OWF (Passwort) oder MAC (Passwort, Konstante) im System gespeichert
- Überprüfung: Eingabepasswort (Konstante) vs. Passwort (Konstante)
Wörterbuchangriff
- für alle Wörterbucheinträge w OWF(w) berechnen und in Rainbow Table speichern, dann abgleichen
Salt
- Passwörter vor Hashen erweitern
- Salt zufällig oder Tageszeit-abhängig
- Speichern des Paares (Salt, OWF (Passwort | Salt)]
- erhöhter Speicher- und Rechenaufwand bei Wörterbuchangriff
Wie gelangen Angreifer an Passwörter?
- Social Engineering (Überredung)
- Shoulder surfing (Sichtkontakt)
- Keylogger (auch Software, mobile Endgeräte)
- Abhören im Netz (Sniffer)
- Trojaner (Login-Programm, Rootkit)
- systematisches Raten (online, offline) -> cracking, grinding
Brute Force
- Aufzählen des Suchraums
- Ratewahrscheinlichkeit p = (L * R) / A^M
L = Lebensdauer; R = Passwortvergleichsrate; A = Alphabetgröße; M = Passwortlänge
Passwörter erraten Online
Online: nutzt Login-Methode des Zielsystems –> nicht vollständig verhinderbar, Angreifer kann verlangsamt werden (inkrementelles Back-off, Verbindung kappen)
Passwörter erraten Offline
Simuliert das Authentisierungsverfahren des Zielsystems. Benötigt Passwort-Hashes des Zielsystems –> Durch Schutz der Authentisierungsdaten zu verhindern, Angreifer verlangsamen durch Vergrößerung des Suchraums
Proaktive Maßnahmen Passwortsicherheit
- technische Regeln durchsetzen (Länge, Ziffern..)
- Passwortalterung
- Inkrementelles Back-off nach falscher Eingabe
- Konto blockieren nach x falschen Passwörtern
Reaktive Maßnahmen Passwortsicherheit
- Regelmäßig Passwörter der Nutzer auf Stärke prüfen / brechen
Phishing
- Passwortdiebstahl über vorgetäuschte Login-Seiten oder Formulare
- Mischform aus Social-Engineering und technischen Tricksereien
