Was ist ein Wörterbuchangriff?

Um sich bei einer Website zu authentifizieren, müssen Sie einen Benutzernamen und ein Passwort angeben. Die Website überprüft dann die von Ihnen angegebenen Authentifizierungsdetails, indem sie sie mit den in ihrer Datenbank gespeicherten Details vergleicht. Stimmen die Angaben überein, wird der Zutritt gewährt. Stimmen die Angaben nicht überein, wird der Zugriff verweigert.

Leider kommt es relativ häufig zu Datenschutzverletzungen. Datenschutzverletzungen können ein großes Problem darstellen, da eines der am häufigsten angegriffenen Daten die Benutzerdaten sind, insbesondere die Liste der Benutzernamen und Passwörter. Wenn die Passwörter einfach so gespeichert werden, wie sie sind, im Klartext, dann kann jeder mit Zugriff auf die Datenbank auf das Konto eines beliebigen anderen Benutzers zugreifen. Es ist, als würde ihnen ein Schlüsselanhänger mit dem Schlüssel zu jeder Tür in einem Mehrfamilienhaus übergeben.

Obwohl viel Aufwand darauf verwendet wird, Datenschutzverletzungen von vornherein zu verhindern, wird eine umfassende Verteidigungsstrategie empfohlen. Insbesondere besagt der Sicherheitsratschlag, dass Passwörter gehasht werden sollten, wobei immer nur der Hash des Passworts gespeichert werden sollte. Eine Hash-Funktion ist eine Einwegfunktion, die immer die gleiche Eingabe in die gleiche Ausgabe umwandelt. Selbst eine geringfügige Änderung der Eingabe erzeugt jedoch eine völlig andere Ausgabe. Entscheidend ist, dass es keine Möglichkeit gibt, die Funktion umzukehren und den ausgegebenen Hash wieder in die ursprüngliche Eingabe umzuwandeln. Was Sie jedoch tun können, ist, eine neue Eingabe zu hashen und zu sehen, ob die Ausgabe mit dem gespeicherten Hash in der Datenbank übereinstimmt. Wenn dies der Fall ist, kennen Sie das übereinstimmende Passwort, ohne jemals das tatsächliche Passwort zu kennen.

Hilfreicherweise bedeutet dies auch, dass ein Angreifer, wenn er die Datenbank verletzt, keine Liste mit sofort nützlichen Passwörtern erhält, sondern stattdessen Hashes. Um diese Hashes verwenden zu können, müssen sie geknackt werden.

Passwort-Hashes mit Smarts knacken

Beim Knacken eines Passwort-Hashs wird herausgefunden, was das ursprüngliche Passwort ist, das der Hash darstellt. Weil es keine Möglichkeit gibt, die Hash-Funktion umzukehren und den Hash in das Passwort umzuwandeln. Die einzige Möglichkeit, einen Hash zu knacken, besteht darin, das Passwort zu erraten. Eine Methode ist die Verwendung eines Brute-Force-Angriffs. Dies beinhaltet buchstäblich das Ausprobieren aller möglichen Passwörter. Das bedeutet, beginnend mit „a“, in beiden Fällen jeden Buchstaben und jede Zahl und jedes Symbol auszuprobieren. Dann muss der Angreifer alle Zwei-Zeichen-Kombinationen, Drei-Zeichen-Kombinationen usw. ausprobieren. Die Zunahme möglicher Zeichenkombinationen ist jedes Mal exponentiell, wenn Sie ein Zeichen hinzufügen. Dies macht es schwierig, lange Passwörter effizient zu erraten, selbst wenn schnelle Hash-Algorithmen mit leistungsstarken GPU-Cracking-Rigs verwendet werden.

Etwas Aufwand kann gespart werden, indem man sich die Passwortanforderungen der Website ansieht und keine Passwörter ausprobiert, die zu kurz sind, um zugelassen zu werden, oder die beispielsweise keine Nummer enthalten. Dies würde einige Zeit sparen und passt immer noch in die Klasse eines Brute-Force-Angriffs, bei dem alle zulässigen Passwörter ausprobiert werden. Brute-Force-Angriffe sind zwar langsam, werden aber – wenn sie lange genug mit viel Rechenleistung belassen werden – schließlich jedes Passwort knacken, da alle möglichen Kombinationen ausprobiert werden.

Das Problem bei Brute-Force-Angriffen ist, dass sie nicht sehr schlau sind. Ein Wörterbuchangriff ist eine deutlich gezieltere Variante. Anstatt nur irgendein mögliches Passwort auszuprobieren, versucht es eine Liste von spezifizierten Passwörtern. Der Erfolg dieser Art von Angriff hängt von der Liste der Passwörter und dem betreffenden Wörterbuch ab.

Fundierte Vermutungen anstellen

Kennwortwörterbücher werden normalerweise aus zuvor geknackten Kennwörtern aus anderen Datenschutzverletzungen erstellt. Diese Wörterbücher können Tausende oder Millionen von Einträgen enthalten. Dies baut auf dem Konzept auf, dass Menschen schlecht darin sind, einzigartige Passwörter zu erstellen. Beweise für Datenschutzverletzungen zeigen leider auch, dass dies der Fall ist. Die Leute verwenden immer noch Variationen des Wortes „Passwort“. Andere häufige Themen sind Sportmannschaften, Namen von Haustieren, Ortsnamen, Firmennamen, Hass auf Ihren Job und Passwörter basierend auf dem Datum. Letzteres tritt insbesondere dann auf, wenn Menschen gezwungen sind, ihre Passwörter regelmäßig zu ändern.

Die Verwendung eines Passwort-Wörterbuchs reduziert im Vergleich zu einem Brute-Force-Angriff massiv die Anzahl der Vermutungen, die angestellt werden müssen. Passwortwörterbücher enthalten in der Regel sowohl kurze als auch längere Passwörter, was bedeutet, dass einige Passwörter ausprobiert werden könnten, die selbst nach Jahren oder Brute-Force-Raten nicht erreicht würden. Auch der Ansatz erweist sich als erfolgreich. Die Statistiken variieren je nach Datenpanne und Größe und Qualität des verwendeten Wörterbuchs, aber die Erfolgsraten können 70 % übersteigen.

Mit Wortverstümmelungsalgorithmen lassen sich die Erfolgsquoten noch weiter steigern. Diese Algorithmen nehmen jedes Wort im Passwortwörterbuch und modifizieren es dann ein wenig. Bei diesen Modifikationen handelt es sich in der Regel um das Ersetzen von Standardzeichen und das Hinzufügen von nachgestellten Zahlen oder Symbolen. Beispielsweise ist es üblich, den Buchstaben „e“ durch eine „3“ und ein „s“ durch ein „$“ zu ersetzen oder am Ende ein Ausrufezeichen hinzuzufügen. Wortvernichtungsalgorithmen erstellen Duplikate jedes Eintrags im Passwortwörterbuch. Jedes Duplikat hat eine andere Variation dieser Zeichenersetzungen. Dies erhöht die Anzahl der zu erratenden Passwörter erheblich und erhöht auch die Erfolgsquote, in einigen Fällen auf über 90 %.

Abschluss

Ein Wörterbuchangriff ist eine gezielte Variante eines Brute-Force-Angriffs. Anstatt alle möglichen Zeichenkombinationen auszuprobieren, wird eine Teilmenge von Zeichenkombinationen getestet. Diese Teilmenge ist eine Liste von Passwörtern, die zuvor bei früheren Datenschutzverletzungen gefunden und gegebenenfalls geknackt wurden. Dies reduziert die Anzahl der zu machenden Vermutungen massiv, während Passwörter abgedeckt werden, die zuvor verwendet und in einigen Fällen oft gesehen wurden. Ein Wörterbuchangriff hat keine so hohe Erfolgsquote wie ein Brute-Force-Angriff. Dies setzt jedoch voraus, dass Sie über unbegrenzte Zeit und Rechenleistung verfügen. Ein Wörterbuchangriff erzielt in der Regel viel schneller eine anständig hohe Erfolgsquote als ein Brute-Force-Angriff. Dies liegt daran, dass es keine Zeit mit äußerst unwahrscheinlichen Kombinationen von Zeichen verschwendet.

Eines der wichtigsten Dinge, die Sie tun sollten, wenn Sie sich ein Passwort ausdenken, ist sicherzustellen, dass es nicht auf einer Wortliste erscheint. Eine Möglichkeit, dies zu tun, besteht darin, ein komplexes Passwort zu erstellen, eine andere darin, ein langes Passwort zu erstellen. Im Allgemeinen ist es am besten, ein langes Passwort zu erstellen, das aus wenigen Wörtern besteht. Es ist nur wichtig, dass diese Wörter keine tatsächliche Phrase bilden, da dies erraten werden könnte. Sie sollten völlig unabhängig sein. Es wird empfohlen, dass Sie ein Passwort mit mehr als 10 Zeichen wählen, wobei 8 das absolute Minimum sind.