Das Gedächtnis: Der Feind der Sicherheit

Inzwischen ist vor allem die immer schneller werdende Hardware ein Riesenproblem für die IT-Sicherheit. Die eher kurzen Standardkennwörter mit maximal neun Zeichen sind extrem unsicher, denn sie sind in Rekordzeit zu knacken. Sie erzeugen also eher eine Scheinsicherheit.

Vor allem Unternehmen in sicherheitskritischen Bereichen sollten deshalb die bisherigen Kennwortregeln ersetzen: Durch leicht zu merkende, aber wegen ihrer Länge sehr schwer zu knackende "Passwortsätze". Ein sehr sicheres Kennwort ist demnach eine Folge aus vier zufällig gewählten Wörtern, die zusammen etwa 30-40 Zeichen inklusive der Leerzeichen lang sind.

Ein typisches Kennwort dieser Art wäre "Grünkohl Schwerlastverkehr schwimmen Ende". Mit der daraus folgenden, sehr hohen Zeichenzahl sind Brute-Force-Attacken praktisch unmöglich. Wenn da nicht die Macht der Gewohnheit wäre.

Joseph Bonneau und Ekaterina Shutova vom Computerlabor der Universität Cambridge haben das Nutzerverhalten bei der Auswahl von längeren Kennwortsätzen ("Passphrases") untersucht. Das Ergebnis in Kürze: Menschen bevorzugen leicht zu erinnernde Kennwortsätze, deren Aufbau und Vokabular der natürlichen Sprache entspricht und die somit leicht mit einer Wörterbuchattacke zu knacken sind.

Die Forscher aus Cambridge haben dies anhand von hunderttausend durch reine Kombinatorik erzeugten Kennwortsätzen aus zwei Wörtern ermittelt. Sie nutzten dafür einen nicht mehr genutzten Datenbestand von Amazon UK, bei der eine inzwischen eingestellte Checkout-Funktion Kennwortsätze genutzt hatte.

Mit einem Skript testeten die Forscher die bereits vergebenen Kennwortsätze, da das System beim Anlegen eines neuen Kontos bereits vorhandene Kennwortsätze zurückwies. So konnten sie an dem nicht mehr offiziell genutzten System relativ leicht die tatsächlich genutzten Wortkombinationen ermitteln.

Das verblüffende Ergebnis: Die Versuchspersonen wählten überwiegend sinntragende Kombinationen aus der Alltagssprache wie "operation room" oder "send immediately". Solche Sätze sind natürlich sehr leicht zu merken. Joseph Bonneau bezeichnete die Ergebnisse als entmutigend für den Praxiseinsatz. "Obwohl Passphrasen sicherer sind als Standardkennwörter, bieten sie keine besonders hohe Sicherheit bei einem Offline-Angriff."

Wenn ein Krimineller als mit Passphrasen geschützte Dateien hat, kann er in aller Ruhe eine Wörterbuchattacke fahren. Die Autoren leiten daraus eine Handlungsempfehlung für T-Verantwortliche ab: Wenn Kennwortsätze sicher sein sollen, müssen die Sätze automatisch erzeugt werden und mindestens aus vier oder fünf zufällig gewählten Wörtern bestehen.

Bildquelle: Gerd Altmann / pixelio.de