Blog-Leser Tobias Schrödel hat eine Buchstaben-Häufigkeitsanalyse für Passwörter erstellt. Anders als in deutschen oder englischen Texten sind die Buchstaben X, Y und Z in Passwörtern nicht ungewöhnlich.
English version (translated with DeepL)
Dass Passwörter zu Sicherheitslücken führen, wusste man bereits in den Achtziger-Jahren. Schon die als KGB-Hacker bekanntgewordene Gruppe um Karl Koch und Markus Hess, die 1989 zerschlagen wurde, drang in viele Systeme mit einem einfachen Trick ein: Sie probierte, ob das vom Hersteller voreingestellte Standard-Passwort noch funktionierte. Oft genug war dies der Fall.
Passwort-Schwächen
Auch wenn ein Passwort aufgeschrieben wird, kann dies eine Einladung für Hacker sein. Für den Klassiker in dieser Sparte sorgte 1978 der US-Amerikaner Stanley Rifkin, als er mit einem abgelesenen Passwort 10,2 Millionen US-Dollar auf sein Konto lenkte.
Quelle/Source: Schmeh
Ein weiterer Trick ist Phishing. Hierbei wird dem Anwender vorgegaukelt, er müsse eine bestimmte Webseite aufsuchen (beispielsweise die seiner Bank) und dort sein Passwort eingeben. Die Webseite ist allerdings nicht echt und hat nur den Zweck, das Passwort abzugreifen.
Doch es geht auch noch einfacher. Manche Menschen verraten ihr Passwort, wenn man sie nett danach fragt. Der US-Comedian Jimmy Kimmel hat es ausprobiert:
Wie ich auf Cipherbrain schon mehrfach berichtet habe, kann es ein Hacker außerdem mit besonders beliebten Passwörtern versuchen. Seit Jahren steht in verschiedenen Analysen immer wieder “123456” ganz oben. Auch “12345”, “qwertz”, “hallo” oder “passwort” werden gerne genommen. Darüber hinaus kann man es mit dem Vor- oder Nachnamen eines Nutzers probieren, in manchen Fällen auch rückwärts geschrieben.
Quelle/Source: Splashdata
Brute Force
Zum Glück verwenden viele Menschen Passwörter, die nicht in einem Wörterbuch stehen und die sich nicht direkt aus der Anordnung der Buchstaben auf der Tastatur ergeben. Allerdings ist ein Hacker auch gegen solche Konstruktionen nicht völlig machtlos. Die gängigen Passwort-Rateprogramme unterstützen für diesen Zweck eine so genannte Brute-Force-Funktion. Dies bedeutet: Sie probieren alle möglichen Passwörter einer bestimmten Länge aus.
Die Brute-Force-Methode ist allerdings nicht besonders effektiv. Wenn man von 70 Zeichen ausgeht (Großbuchstaben, Kleinbuchstaben, Ziffern und ein paar Sonderzeichen), gibt es für fünfstellige Passwörter schon fast 2 Milliarden Möglichkeiten. Dies kann ein Computer zwar noch bewältigen, doch bei acht Stellen landet man bereits bei 500 Billiarden, was kaum noch realistisch ist.
Diese Zahlen sind jedoch Theorie. In der Praxis verwenden die meisten Menschen beispielsweise mehr Buchstaben als Zahlen und Sonderzeichen – “kshd24!” ist daher wahrscheinlicher als “§!&3§f”. Dies schränkt den Suchraum schon deutlich ein.
Tobias Schrödels Analyse
Tobias Schrödel, Lesern dieses Blogs unter anderem als Comedy-Hacker und Sammler verschlüsselter Postkarten bekannt, hat vor Kurzem eine Studie zur Zeichenhäufigkeit in Passwörtern veröffentlicht. Wie man es in der Kryptografie kennt, hat er entsprechende Häufigkeitsanalysen erstellt. Die Ergebnisse findet man auf seiner Web-Seite. Auch Heise hat darüber berichtet.
Quelle/Source: Schrödel
Tobias hat über 2,5 Milliarden Passwörter ausgewertet. Seine Quelle war die bigDB. Diese enthält mehrere Milliarden E-Mail-Adressen und zugehörige Passwörter, die über Jahre hinweg bei verschiedenen Sicherheitsvorfällen bekannt wurden.
Seine Ergebnisse hat Tobias nach Ländern (Top-Level-Domain) aufgeschlüsselt und in einigen Fällen mit der Buchstabenverteilung in Texten der dort gesprochenen Sprache verglichen. Mit den Resultaten lassen sich Brute-Force-Angriffe auf Passwörter deutlich beschleunigen. Hier sind ein paar Erkenntnisse aus Tobias’ Analyse:
- Der häufigste Buchstabe im Englischen und Deutschen ist das E, in Passwörtern ist es hingegen das A.
- Die Buchstaben X und Y kommen in Passwörtern bis zu 50 Mal häufiger vor, als in Texten.
- Asiaten verwenden zwei- bis dreimal mehr Ziffern in Passwörtern als der Rest der Welt.
- Das T wird in Passwörtern viel seltener genutzt als zu erwarten wäre (bis zu 50 Prozent weniger).
Unklar ist in vielen Fällen, wie diese Phänomene zustande kommen. Weiß ein Leser vielleicht, warum Asiaten so viele Ziffern verwenden?
Passwörter sind nicht mehr zeitgemäß
Tobias’ Analyse zeigt wieder einmal: Passwörter sind im Internet nicht mehr zeitgemäß und sollten durch sicherere Methoden ersetzt werden. Möglichkeiten gibt es viele. Man kann beispielsweise zusätzlich zum Passwort ein Einmal-Passwort nutzen, das dem Nutzer per SMS zugeschickt wird. Noch besser ist es, mit einer Smartcard oder einem Token zu arbeiten.
Dumm nur: All diese Maßnahmen erfordern zusätzlichen Aufwand. Bei den zahreichen Sicherheitslücken, die Passwörter verursachen, wird man um die Alternativen allerdings nicht herumkommen.
Follow @KlausSchmeh
Further reading: Serienmörder stirbt und nimmt Verschlüsselungspasswort ins Grab
Linkedin: https://www.linkedin.com/groups/13501820
Facebook: https://www.facebook.com/groups/763282653806483/
Kommentare (11)