Passwort - de.LinkFang.org

Passwort

Ein Passwort, Kennwort, auch Passphrase, Schlüsselwort,[1] Codewort (auch Kodewort), Losung, Losungswort oder Parole (von italienisch la parola ‚das Wort‘) genannt, dient zur Authentifizierung. Hierzu wird eine Zeichenfolge vereinbart und benutzt, durch die sich jemand, meist eine Person, ausweist und dadurch die eigene Identität bestätigt.

Neben der Rolle Identifizieren von Personen werden Passwörter auch dazu verwendet, um bestimmte Berechtigungen nachzuweisen: Wer das Passwort (den richtigen Code) kennt, gilt als berechtigt. Beispiele: Parole beim Militär oder ein Zugangscode zum Öffnen von Türen.

Die Authentizität des sich so Ausweisenden bleibt nur höchstens so lange gewahrt, wie das Passwort geheim bleibt, das heißt, es Dritten nicht bekannt ist. Der Zusammenhang zwischen Passwort und dessen Nutzer muss gesondert hergestellt und überprüft werden (zum Beispiel durch die Bank auf dem besonders vor Manipulation geschützten Postweg).

Eine Persönliche Identifikationsnummer (PIN) ist ein Passwort, das in der Regel ausschließlich aus Ziffern besteht.

Inhaltsverzeichnis

Einsatz von Passwörtern


Eine Parole beim Militär ist ursprünglich ein als Erkennungszeichen dienendes Wort, um bei Dunkelheit oder bei unbekannten Kombattanten Freund und Feind zu unterscheiden. Noch heute wird von nachtpatrouillierenden Soldaten bei der Wache oder auf Manövern die Frage nach der Parole gestellt. Im Laufe der Geschichte wurden manche Belagerungen durch den Verrat des Losungswortes entschieden.

Häufiger Einsatz von Passwörtern findet in der Computerwelt in Verbindung mit einem Benutzernamen statt, z. B. bei Wikipedia. Hier ist das Passwort eine vom Nutzer selbstgewählte oder eine automatisch generierte, meist alphanumerische Zeichenfolge.

Passwörter werden in zahlreichen Bereichen verwendet, zum Beispiel als Element der Kindersicherung, um Kindern den Zugriff auf Fernseher, Receiver oder ungeeignete Programminhalte zu verwehren.

Verfahren


Das einfachste Verfahren besteht darin, innerhalb einer klar definierten Gruppe von Eingeweihten ein gemeinsam bekanntes Passwort zu vereinbaren. In der IT-Technik spricht man von einem „Shared Secret“. Das Wesentliche bei diesem Verfahren ist es, dass alle Kommunikationspartner das gleiche „richtige“ Passwort kennen. Ein Nachteil dieses Verfahrens ist es, dass bei einem Passwort-Verrat alle Beteiligten gleichermaßen verdächtigt werden müssen, nicht vertraulich mit dem Passwort umgegangen zu sein. Außerdem müssen sich nach Bekanntwerden des Passworts alle Kommunikationspartner auf ein neues Passwort einigen.

Um eine höhere Sicherheit zu erreichen, wird in der IT-Technik heute zu einem Passwort ein salted kryptologischer Hash gebildet und nur dieser wird auf der prüfenden Seite gespeichert. Das Klartextpasswort ist idealerweise allein im Kopf einer einzigen Person gespeichert. Wird nun das Passwort verwendet, um einen Einlass in das System zu bekommen, wird zu dem eingegebenen Passwort wieder der Hash berechnet. Der Zugriff kann gewährt werden, wenn dieser Hash mit dem abgespeicherten Hash übereinstimmt. Der kryptologische Hash wird nach einem definierten Verfahren so gebildet, dass aus der Kenntnis des Hashes das Passwort nicht in realistischer Zeit zurückberechnet werden kann. Um zu verhindern, dass eine kompromittierte prüfende Seite alle anderen ebenfalls kompromittiert, sollte jede Seite den Hash nicht nur aus dem Passwort selbst, sondern auch einem eigenen Schlüssel (Salt) bilden, sowie, um systematisches Probieren (Brute-Force-Methode) weiter zu unterbinden, rechenintensive Passwortableitfunktionen (key stretching) verwenden.

Einmalkennwörter können nur einmal zur Authentifizierung benutzt werden und sind danach ungültig. So entsteht kein Schaden, wenn das Passwort während der Authentifizierung ausgespäht wird. Traditionell werden mehrere Einmalkennwörter auf Vorrat festgelegt und in Form einer Liste vermerkt, die sicher verwahrt werden muss. Solche Einmalkennwörter werden zum Beispiel als Transaktionsnummern (TAN) beim Online-Banking verwendet. Sie können aber auch erst kurz vor ihrer Benutzung unter Einbeziehung der Uhrzeit und einer PIN erzeugt werden und nur zur Benutzung binnen weniger Minuten geeignet sein.

Wahl sicherer Passwörter


Die Länge eines Passwortes hängt davon ab, wofür es verwendet wird. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt, für Onlinezugänge Passwörter mit mindestens zwölf Groß- und Kleinbuchstaben sowie Sonderzeichen und Ziffern zu verwenden, für WLAN-Zugänge hingegen Passwörter aus mindestens zwanzig Zeichen.[2] Dies ist insbesondere dann nötig, wenn eine unbeschränkte Anzahl von Versuchen mit verschiedenen Passwörtern einen Zugang zulässt und damit einen Angriff („Erraten“) nach der sogenannten Brute-Force-Methode ermöglicht.

Als Ausnahme gilt, dass ein solches „Erraten“ dann erheblich eingeschränkt ist, wenn es nur eine ausgesprochen beschränkte Anzahl von aufeinanderfolgenden Eingaben gibt (z. B. maximal drei Versuche, Aufruf zusätzlicher Eingaben ab einer bestimmten Anzahl Fehlversuchen usw., wie es z. B. bei den Verschlüsselungstechniken der meisten Banken angewendet wird), und danach der Eingebende ausgesperrt und auf einen nur persönlich zugängigen Schlüssel verwiesen wird. Sofern es sich nicht um extrem einfach gewählte Zahlenfolgen handelt (z. B. 1234 oder 9876), ist dieses auch heute nur durch Ausspähen effektiv zu überwinden. Gleiches gilt für die dreistelligen Verschlüsselungen an einem Koffer: Die in der Regel dreistellige Zahl bietet im Verlauf der Abfertigung nur wenige Zeit für ein Erraten und macht es dadurch sicherer: Voraussetzung ist allerdings, dass der Besitzer wenigstens die Werkseinstellung 000 vorher geändert hat.

Moderne Verschlüsselungsverfahren sind technisch so weit fortgeschritten, dass sie in der Praxis außer durch das Austesten aller möglichen Schlüssel – der Brute-Force-Methode – meist nur durch einen Wörterbuchangriff gebrochen werden können. Die Schwachstelle ist bei beiden Angriffen das vom Benutzer gewählte Passwort. Damit ein Passwort nicht unsicherer ist als die eigentliche Verschlüsselung (viele gängige Verfahren nutzen 128-Bit-Schlüssel), ist für dieses theoretisch eine Folge von etwa 20 zufälligen alphanumerischen Zeichen erforderlich. Falls das Passwort nicht aus gleichverteilt zufälligen Zeichen besteht, sind sogar deutlich längere Zeichenfolgen nötig, um die gleiche Sicherheit zu erreichen.

Im Gegensatz dazu veröffentlichte das National Institute of Standards and Technology (NIST) der USA Mitte August 2017 neue Regeln für sichere Passwörter. Den Autoren nach erzeugten viele der altbewährten Regeln – wie etwa Groß- und Kleinschreibung, Sonderzeichen, häufiges Wechseln der Passwörter –, die in den letzten Jahren als wichtige Empfehlung galten, nur wenig bis gar keine zusätzliche Sicherheit.[3]

Sicherheitsfaktoren


Die Sicherheit eines Passwortes hängt vor allem davon ab, dass es geheim bleibt.

Andere Faktoren zum Schutz des Passwortes sind z. B.:

Das passwortprüfende System sollte nur eine kleine Anzahl von Log-In-Versuchen von einer IP-Adresse in einem bestimmten Zeitraum zulassen, z. B. nur ein Passwort pro Sekunde. Ansonsten können Rate-Angriffe (Brute-Force) direkt auf das System gestartet werden.

Ungünstige Passwörter

Hierzu zählt man die leichtesten Passwörter, also Wörter die einen Sinn ergeben oder deren Verwendung als Passwörter gut dokumentiert ist. Dies ist dann möglich, wenn durch Kompromittierung von Webseiten große Mengen von Passwörtern bekannt werden. Zu diesen Passwörtern zählen nicht nur statische Begriffe, sondern auch Bildungsmuster, die vorhersehbar sind. Einige Beispiele:[4][5][6]

Diese sogenannten Trivialpasswörter können in vergleichsweise übersichtlichen Listen zusammengefasst werden und sind leicht zu recherchieren. Passwortcracker erzeugen sie seit vielen Jahren auch teilweise automatisch, daher besitzen sie keine Schutzwirkung mehr.

Generell sollte man Passwörter verwenden, die den oben vorgestellten Mustern nicht folgen. Hierbei können Programme helfen, die Passwörter erstellen (siehe unten).

Passwort-Formeln

Mit über Formeln erstellten Passwörtern bleiben Anwender von externen Anbietern unabhängig. Gleichzeitig ermöglicht dieses Prinzip beliebig hohe Sicherheit. Der Nutzer merkt sich eine für alle Passwörter geltende Formel, die in Zusammenhang mit einem variablen Faktor jeweils unterschiedliche Passwörter ergibt. Beispiele für solche variablen Faktoren sind zum Beispiel eine Internetadresse oder ein Firmenname. Der Nutzer merkt sich einzig den zur Erstellung des Passworts nötigen Chiffriercode und erhält damit individuelle und gleichzeitig sichere Passwörter. Wichtig dabei ist, dass vom erzeugten Passwort nicht auf die Formel geschlossen werden kann, damit von einem, auf einer weniger gut gesicherten Seite abgefangenen Passwort, nicht auf das anderer Seiten geschlossen werden kann.

Typischerweise wird ein konstantes Passwort genutzt und dieses zusammen mit etwas Dienstspezifischem gehashed. Es gibt diverse Programme, die dies automatisiert machen.

Beispiel

Würde das oben genannte Passwort Wa64h8NR2RKGsQbeispiel.tld auf der Webseite beispiel.tld abgefangen, könnte man recht einfach auf das Wikipedia-Passwort Wa64h8NR2RKGsQwikipedia.org schließen. Nutzt man danach aber die (base64 codierte) Kryptologische Hashfunktion sha256 würde man mFschyYz8Wzb6SEwPARAA05AFkFKdxBAxRZXeq80jvY abfangen und könnte damit nicht auf +uC4glPOcF6zhs/1Q1nbcUXeJeD5E2Qit2LWbOBAknE schließen.

Ausprobieren von Passwörtern


Die folgende Tabelle gibt die maximal benötigte Rechenzeit eines Brute-Force-Angriffs auf verschiedene Passwörter wieder. In diesem Beispiel wird eine Rechenleistung von 1 Milliarde Schlüsseln angenommen, die der Angreifer pro Sekunde durchprobieren kann. Dies entspricht ungefähr der Leistung eines modernen Standard-PCs mit leistungsfähiger Grafikkarte (z. B. Radeon HD 6770 aus dem Jahr 2011).[8] Die zugrundeliegende Formel für die Berechnung der Anzahl der maximal benötigten Versuche lautet: ZeichenraumgrößePasswortlänge, also beispielsweise bei alphanumerischen Passwörtern (62 Zeichen) mit der Länge 10 ergäben sich maximal 6210 Versuche. Des Weiteren wird für dieses Beispiel angenommen, dass das Passwort als md5-hash, vorliegt. Es ist zu beachten, dass die Werte dieser Tabelle nur ein Beispiel darstellen und sich in der Praxis auch sehr deutlich davon unterscheiden können:[9][10]

Maximale Rechenzeit eines Brute-Force-Angriffs bei 1 Milliarde Schlüsseln pro Sekunde
  Passwortlänge
Zeichenraum 4 Zeichen 5 Zeichen 6 Zeichen 7 Zeichen 8 Zeichen 9 Zeichen 10 Zeichen 11 Zeichen 12 Zeichen
10 [0–9] <1 ms <1 ms 1 ms 10 ms 100 ms 1 Sekunde 10 Sekunden 2 Minuten 17 Minuten
26 [a–z] <1 Sekunde <1 Sekunde <1 Sekunde 8 Sekunden 4 Minuten 2 Stunden 2 Tage 42 Tage 3 Jahre
52 [A–Z; a–z] <1 Sekunde <1 Sekunde 20 Sekunden 17 Minuten 15 Stunden 33 Tage 5 Jahre 238 Jahre 12.400 Jahre
62 [A–Z; a–z; 0–9] <1 Sekunde <1 Sekunde 58 Sekunden 1 Stunde 3 Tage 159 Tage 27 Jahre 1.649 Jahre 102.000 Jahre
96 (+Sonderzeichen) <1 Sekunde 8 Sekunden 13 Minuten 21 Stunden 84 Tage 22 Jahre 2.108 Jahre 202.000 Jahre 19 Mio Jahre

Alternativen


Anstatt Passwörter manuell eingeben zu lassen, können Schlüssel auch in einer Schlüsseldatei abgelegt werden. Bei Anwendungen wie beispielsweise SSH kann neben der Authentifizierung mit einem Passwort auch ein Public-Key-Verfahren eingesetzt werden. Der Vorteil ist dabei, dass die Gegenstelle den geheimen privaten Schlüssel nicht zu sehen bekommt. Auch hier wird der private Schlüssel in einer Datei gehalten und kann gegen unbefugtes Auslesen mit einem Passwort geschützt werden.

Die Zugangskontrolle kann auch durch eine Identifizierung der Person anhand (fast) einmaliger persönlicher Merkmale wie Fingerabdrücke oder das Irismuster erfolgen. Mittlerweile lassen sich solche Merkmale jedoch fälschen, weshalb biometrische Authentifizierungsmethoden nicht für sensible Daten verwendet werden sollten.[11] Zudem kann bei biometrischen Verfahren der Zugriff durch Behörden oder andere dritte Personen erzwungen werden.[12]

Eine andere Alternative für eine Zugangskontrolle ist, statt die Kenntnis eines Passwortes vorauszusetzen, den Besitz eines einmaligen Objektes zu verlangen. Dieses Objekt, das man Security-Token nennt, kann beispielsweise eine Chipkarte sein oder ein besonderer USB-Stick. Token wurden und werden im Eisenbahnwesen verwendet um sicherzustellen, dass sich auf einer eingleisigen Strecke nur ein Zug bewegt. Um den modernen Token vor Missbrauch zu schützen, wird er oft zusätzlich durch ein Passwort geschützt. Man spricht dann von einer Zweifaktor-Authentifizierung, da zur Authentifizierung sowohl der „Besitz eines Objektes“ erforderlich ist als auch die „Kenntnis eines Geheimnisses“.

Siehe auch


Weblinks


WiktionaryWiktionary: Passwort – Bedeutungserklärungen, Wortherkunft, Synonyme, Übersetzungen

Einzelnachweise


  1. Passwort in duden.de, abgerufen am 2017-04-17
  2. Empfehlung des BSI zur Passwortwahl
  3. Sichere Passwörter: Viele der herkömmlichen Sicherheitsregeln bringen nichts . heise.de. Abgerufen am 14. August 2017.
  4. Passwortdaten von Flirtlife.de kompromittiert . In: Heise online. 22. Juni 2006.
  5. Bruce Schneier: MySpace Passwords Aren’t So Dumb . In: Wired. 14. Dezember 2006.
  6. 10 Most Common Passwords . In: PC Magazin. 18. April 2007.
  7. PwdHash (englisch) Problembeschreibung Mehrfachnutzung von Passwörtern. Abgerufen am 4. Januar 2014
  8. hashcat.net (Memento vom 9. Oktober 2010 im Internet Archive). Abgerufen am 23. August 2011
  9. Thor’s Password Strength Checker . Abgerufen am 16. August 2011
  10. Password Recovery Speeds . Abgerufen am 13. Dezember 2012
  11. http://www.ccc.de/de/updates/2014/ursel
  12. http://mashable.com/2014/10/30/cops-can-force-you-to-unlock-phone-with-fingerprint-ruling/



Kategorien: Kennzeichen | IT-Sicherheit | Bankwesen | Kryptologie | Benutzerverwaltung


Quelle: Wikipedia - https://de.wikipedia.org/wiki/Passwort (Autoren [Versionsgeschichte])    Lizenz: CC-by-sa-3.0

Veränderungen: Alle Bilder und die meisten Designelemente, die mit ihnen in Verbindung stehen, wurden entfernt. Icons wurden teilweise durch FontAwesome-Icons ersetzt. Einige Vorlagen wurden entfernt (wie „Lesenswerter Artikel“, „Exzellenter Artikel“) oder umgeschrieben. CSS-Klassen wurden zum Großteil entfernt oder vereinheitlicht.
Wikipedia spezifische Links, die nicht zu Artikeln oder Kategorien führen (wie „Redlink“, „Bearbeiten-Links“, „Portal-Links“) wurden entfernt. Alle externen Links haben ein zusätzliches FontAwesome Icon erhalten. Neben weiteren kleinen Designanpassungen wurden Media-Container, Karten, Navigationsboxen, gesprochene Versionen & Geo-Mikroformate entfernt.


Stand der Informationen: 19.10.2019 11:42:54 CEST - Wichtiger Hinweis Da die gegebenen Inhalte zum angegebenen Zeitpunkt maschinell von Wikipedia übernommen wurden, war und ist eine manuelle Überprüfung nicht möglich. Somit garantiert LinkFang.org nicht die Richtigkeit und Aktualität der übernommenen Inhalte. Sollten die Informationen mittlerweile fehlerhaft sein oder Fehler in der Darstellung vorliegen, bitten wir Sie darum uns per zu kontaktieren: E-Mail.
Beachten Sie auch : Impressum & Datenschutzerklärung.