starke Paßwörter ./. Benutzersperre

30. Juni 2011 in IT-Sicherheit, JB, ToP

© Stefan Redel - Fotolia.com

Die c’t hat in einer ihrer letzten Ausgaben die Möglichkeiten von brute-force Angriffen auf Paßwörter verschiedener Stärke dargestellt. Ein Leserbrief fordert, statt den Nutzer mit Paßwortanforderungen zu quälen, doch nach einer bestimmten Zahl von Fehlversuchen das Nutzerkonto zu sperren.

Der Vorschlag ist sicher im Unternehmensumfeld gut, in den meisten Fällen bringt er jedoch wenig:

• Häufig braucht der Hacker nicht ein bestimmtes Konto. Für den Spamversand reicht es aus, ein beliebiges Konto zu kapern. D.h. man probiert nicht verschiedene Paßwörter für ein Konto aus (was die Sperre auslöst), sondern für ein populäres Paßwort (z.B. Passwort, geheim, sex) verschiedene UserID’s. Damit bleibt man bei den meisten Systemen unter dem Radar der Sperre.
• Wer kann die Sperre zurücksetzen? Eine Zeitsperre (“bitte warten Sie 5 Minuten”) verlängert zwar die Zeit, verhindert den Angriff aber nicht. Zumal man es ja bei verschiedenen Konten parallel probieren kann.
  Eine “harte” Sperre, die nur vom Administrator zurückzusetzen ist, ist äußerst kundenunfreundlich. Ein mir bekannter Mailanbieter verlangt nach einer Vielzahl von Fehlversuchen einen Anruf beim Kundenservice, unter einer 0900-Nummer. Wenn ich jeden Morgen eine solche Nummer anrufen muss, nur weil in der Nacht ein Hacker etwas rumgespielt hat, bleibe ich nicht lange Kunde.
• Und zu guter Letzt die normalen Passwort-Recovery-Probleme. Wie will ein Internet-Anbieter, der häufig nicht mehr von mir in der Hand hat als eine Mailadresse und einen Namen mich sicher identifizieren?

Als Beleg, dass schwache Paßwörter und schnelles Sperren funktioniert werden die Bank-PIN’s angeführt. Dort seien keine Mißbrauchsfälle bekannt. Der Vergleich hinkt aber: Beim Online-Banking entsteht der Schaden erst mit der TAN, und wenn ich die rausbekomme, besorge ich die PIN einfach auf gleichem Weg. Und wer bekommt es mit, dass jemand sein Konto anschaut – aber keine Überweisung tätigt.

Genauso interessant:

• Passwörter
• Gewaltenteilung in der IT-Sicherheit

Tags: Passwort