Ein Durchprobierangriff testet viele Rateversuche gegen ein Geheimnis wie ein Passwort oder einen Schlüssel, bis ein Versuch gelingt oder das Raten endet.
Er erzeugt die Kandidaten erst dabei und unterscheidet sich vom erneuten Verwenden bereits anderswo gestohlener Namens- und Passwortpaare.
So funktioniert es
Die praktische Grenze sind die Kosten: Kurze Geheimnisse und fehlende Verzögerung machen sehr viele Versuche billig, während lange Geheimnisse und zusätzliche Prüfungen sie unwirtschaftlich machen.
Raten gegen einen laufenden Dienst zeigt sich dort, während Raten an einer gestohlenen Datei mit verwürfelten Geheimnissen der nutzenden Person verborgen bleiben kann.
Viele denken nur an Passwortformulare, doch dieselbe Idee gilt für Wiederherstellungscodes, Schlüssel und andere kurze Geheimnisse.
Die Abwehr sollte jede Stelle umfassen, an der ein Versuch geprüft wird, auch vergessene Passwortwege, die leiser sind als die Hauptanmeldung.
Konkrete Beispiele
- Eine Anmeldeseite erhält in einer einzigen Nacht tausende Passwortrateversuche für ein Leitungsaccount.
- Eine gestohlene Datei mit verwürfelten Passwörtern wird auf einem anderen Rechner geprüft, bis ein kurzes Geheimnis lesbar wird.
- Wiederherstellungscodes aus nur wenigen Ziffern werden ausgeschöpft, weil der Raum möglicher Werte klein ist.
Schutzmaßnahmen
- Verlangen Sie lange eindeutige Geheimnisse und einen zweiten Faktor für Post, Fernzugriff und jedes System, das Geld bewegen kann.
- Verlangsamen oder halten Sie wiederholte Fehlversuche zum selben Konto und zur selben Quelle, ohne eine ganze Stadt auszusperren.
- Überwachen Sie Passwortrücksetzung und Wiederherstellung mit derselben Sorgfalt wie die Hauptanmeldung, weil Ratende die leisere Tür suchen.
- Speichern Sie Passwörter nur in stark verwürfelter Form, damit eine kopierte Datei keine fertige Liste von Geheimnissen ist.
Wie CDPCaptcha hilft
Ein Rechennachweis im Browser zwingt jeden automatisierten Rateversuch zu zusätzlicher Rechenarbeit und erhöht so die Kosten für sehr viele Geheimnisse.
CDPCaptcha ist eine selbst gehostete Proof-of-Work-Prüfung im Browser, ohne Cookies, ohne Tracking und ohne Bilderrätsel.
Entwickelt und gehostet in der EU, in Deutschland, wird der Dienst unter https://cdpcaptcha.com/ beschrieben.