So verstehen Sie einen Wörterbuchangriff

Über Passwortauthentifizierung zu sprechen ist zwar langweilig, aber extrem wichtig, insbesondere angesichts der Häufigkeit von Datendiebstählen. Sie haben wahrscheinlich schon Warnungen über gehackte Websites gesehen, bei denen Benutzerinformationen – insbesondere Benutzernamen und Passwörter – offengelegt wurden. Das ist ein großes Problem, denn wenn sie im Klartext gespeichert sind, kann jeder mit Zugriff auf die Datenbank diese Anmeldeinformationen einfach abgreifen und verwenden. Nicht gerade ideal. Wenn Sie also verstehen, was tatsächlich hinter den Kulissen vor sich geht, können Sie Ihre Anmeldesysteme deutlich sicherer machen oder zumindest wissen, wie Sie Ihre eigenen Konten besser schützen können.

Der springende Punkt ist: Gute Sicherheitspraktiken empfehlen, eine gehashte Version von Passwörtern zu speichern – nicht die Originale. Hashing ist wie das Ausführen eines Passworts durch eine Einbahnstraße: Sie erhalten einen Hash, können das ursprüngliche Passwort aber nicht so einfach zurückerhalten. Wenn sich jemand anmeldet, hasht das System die eingegebenen Daten und vergleicht sie mit dem gespeicherten Hash. Stimmen sie überein, ist das Passwort korrekt. Gelingt es Hackern dennoch, in die Datenbank einzudringen, erhalten sie nur Hashes, die, sofern sie nicht geknackt werden, nahezu nutzlos sind. Der Haken dabei ist jedoch: Hashes sind nicht völlig unknackbar, insbesondere wenn sie nicht richtig gehasht werden oder schwache Algorithmen verwendet werden. Deshalb hängt die Hauptarbeit maßgeblich davon ab, wie diese Passwörter gehasht werden – und vom Angreifer, ob er versucht, diese Hashes zu knacken oder nicht.

Passwort-Hashes clever knacken

Das Knacken eines Hashs ist etwas merkwürdig, da man einen Hash technisch gesehen nicht direkt in das ursprüngliche Passwort umwandeln kann. Stattdessen versuchen Angreifer, Passwörter zu erraten, bis ihr Hash mit dem gespeicherten übereinstimmt. Im Grunde probiert man jeden Schlüssel aus, bis einer das Schloss öffnet. Dies kann ein Brute-Force-Angriff sein – man probiert alle möglichen Passwörter aus, von „a“ bis „zzz“, einschließlich Zahlen und Sonderzeichen. Da die möglichen Kombinationen mit zunehmender Passwortlänge exponentiell ansteigen, ist das Knacken langer, komplexer Passwörter mit Brute-Force sehr langsam. GPUs beschleunigen den Vorgang, aber selbst dann sind sehr lange Passwörter noch ziemlich sicher.

Um das Rätselraten zu verkürzen, werfen Angreifer oft einen Blick auf die Passwortregeln einer Website. Wenn eine Website eine Mindestlänge vorschreibt oder Zahlen und Großbuchstaben erfordert, versuchen sie es nicht mit „Passwort“, sondern direkt mit gängigen Passwörtern, die diesen Regeln entsprechen. Brute-Force-Angriffe sind jedoch langsam, insbesondere bei stärkeren Passwörtern. Eine andere Methode sind Wörterbuchangriffe. Anstatt alles auszuprobieren, verwenden sie Listen mit gängigen Passwörtern – eine clevere Methode. Diese Listen, sogenannte Wörterbücher, werden aus geleakten Passwörtern erstellt und enthalten daher oft „password123“, „qwerty“ oder „letmein“.Wenn Ihr Passwort in einer dieser Listen steht, ist es wahrscheinlich hinüber.

Ein Trick, der Wörterbuchangriffe erfolgreicher macht, ist die Wortverfälschung – das Ersetzen von Buchstaben durch Sonderzeichen (z. B.„e“ durch „3“), das Anhängen von Zahlen an das Ende oder das Vertauschen von Buchstaben. Diese kleinen Änderungen können die Erfolgsquote auf über 70 %, manchmal sogar über 90 % steigern, insbesondere wenn der Angreifer ein gutes Wörterbuch mit integrierten Verfälschungsalgorithmen verwendet. Wenn Ihr Passwort also aus einem einfachen Wort oder einer einfachen Phrase besteht, kann es anfällig sein – diese Taktiken sind wie Cheat-Codes zum Knacken von Passwörtern.

Fundierte Vermutungen anstellen

Hier spielen die Gewohnheiten der Nutzer eine Rolle. Menschen neigen dazu, Passwörter für mehrere Websites zu verwenden und wählen dabei oft Dinge aus, die mit ihrem Leben zu tun haben – Haustiere, Geburtstage, Lieblingssportarten oder gängige Wörter wie „Passwort“.Angreifer nutzen dies aus, indem sie lange Listen mit häufigen Passwörtern oder Sicherheitslücken verwenden, um ihre Wörterbücher aufzubauen. Es ist ziemlich beunruhigend, aber die meisten Passwörter sind erratbar, wenn sie typischen Mustern folgen oder in der Liste enthalten sind. Deshalb ist es wichtig, Passwörter zu erstellen, die unvorhersehbar sind und nicht mit Ihren persönlichen Daten verknüpft sind.

Variationen – wie das Ersetzen von Buchstaben durch Zahlen oder Sonderzeichen – sind Standard. So wird beispielsweise aus „Passwort“ „p@ssw0rd!“ und so weiter. Diese kleinen Änderungen machen es für herkömmliche Wörterbuchangriffe schwieriger, aber nicht unmöglich, das Passwort zu knacken. Länge und Unvorhersehbarkeit sind die besten Kombinationen. Ein Passwort mit mehr als 10 Zeichen und zufälligen Wörtern (keine richtigen Phrasen, sondern eher zusammengewürfelte, nicht zusammenhängende Wörter) ist eine gute Faustregel. Im Wesentlichen sollten Sie auf Wörter abzielen, die nicht auf einer Liste stehen würden, idealerweise länger und wirklich zufällig. Denn letztendlich gilt: Je länger und komplexer, desto geringer die Wahrscheinlichkeit, dass das Passwort schnell geknackt wird.

Abschluss

Der Kernpunkt? Wörterbuchangriffe sind intelligenter als Brute-Force-Angriffe, da sie zielgerichtet sind. Sie basieren auf Vermutungen aus früheren Lecks oder Listen gängiger Passwörter und sind daher schneller und wirkungsvoller – sofern Ihr Passwort auf der Liste steht oder vorhersehbaren Mustern folgt. Um sich zu schützen, sollten Sie lange, unabhängige Passwörter erstellen, die in keiner Datenbank mit gängigen Passwörtern vorhanden sind. Passwortmanager helfen dabei, da sie komplexe, einzigartige Passwörter für jede Website generieren und speichern können – so müssen Sie sich das alles nicht merken.

Überprüfen Sie außerdem immer die Sicherheitseinstellungen Ihrer Website. Nutzen Sie die Zwei-Faktor-Authentifizierung, wenn verfügbar, und ziehen Sie Hashing-Algorithmen für Passwörter wie bcrypt oder Argon2 anstelle der veralteten MD5- oder SHA-1-Algorithmen in Betracht. Natürlich muss Windows es Ihnen manchmal schwerer machen als nötig, aber auf Ihrer Seite können intelligente Passwörter und bewährte Vorgehensweisen einen echten Unterschied machen.

Zusammenfassung

• Passwörter sollten mit einem starken, langsamen Algorithmus (wie bcrypt) gehasht werden.
• Verwenden Sie lange, nicht zusammenhängende und komplexe Passwörter – wenn möglich mit mehr als 10 Zeichen.
• Vermeiden Sie es, sich an gebräuchliche Wörter oder Ausdrücke zu halten, die in einem Wörterbuch stehen könnten.
• Nutzen Sie Passwortmanager, um knifflige Passwörter zu generieren und zu speichern.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung, sofern verfügbar, um eine weitere Sicherheitsebene hinzuzufügen.

Zusammenfassung

Hoffentlich verdeutlicht dies, warum das Knacken von Passwörtern nicht so einfach ist, wie es aussieht, und warum gute Gewohnheiten wichtig sind. Letztendlich geht es darum, die Dinge so schwierig zu gestalten, dass Angreifer sich langweilen oder weiterziehen. Hier sind ein paar Tipps, die bei einigen Setups funktioniert haben – wir drücken die Daumen, dass es hilft und vielleicht jemandem später Kopfschmerzen erspart.