Ein Passwortangriff versucht, ein Geheimnis zu erfahren oder zu erraten, um sich als rechtmäßiger Kontoinhaber anzumelden.
Das Ziel ist das Geheimnis oder eine gelungene Anmeldung, und das ist etwas anderes, als eine zweite Prüfung zu umgehen, nachdem eine Anmeldung schon fertig ist.
So funktioniert es
Häufige Muster sind viele Versuche gegen ein Konto, das Ausprobieren eines Geheimnisses, das von einer anderen Seite abgeflossen ist, und der Diebstahl einer gespeicherten Passwortdatei von einem Server.
Diese Seite benennt diese Muster und den Schaden und liefert keine Ratelisten, keine Knackschritte und keine Befehle.
Menschen, die ein kurzes Geheimnis über Seiten hinweg wiederverwenden, machen die abgeflossene Liste eines Vorfalls zum Schlüssel für einen anderen.
Die Abwehr bevorzugt deshalb einzigartige Geheimnisse, einen langsamen gesalzenen Passwort Hash auf dem Server, Grenzen für wiederholte Fehlschläge und eine zweite Prüfung, die hält, wenn das Geheimnis abfließt.
Konkrete Beispiele
- Ein Postfach wird übernommen, weil sein Passwort mit einem identisch war, das bei einem Einbruch in ein unabhängiges Forum offengelegt wurde.
- Eine Anmeldeseite sperrt eine Kundin nach einer Welle falscher Versuche aus, was laut ist, aber zeigt, dass das Konto gezielt wurde.
- Eine gestohlene Sicherung einer Passwortdatenbank wird ernst, weil die Hashes schnell und ungesalzen waren, sodass viele Geheimnisse abseits des Netzes wiederhergestellt werden.
Schutzmaßnahmen
- Verlangen Sie lange einzigartige Geheimnisse und geben Sie Menschen einen Weg zu einem Passwortmanager, damit Wiederverwendung nicht die leichte Wahl ist.
- Speichern Sie Passwörter nur als langsame gesalzene Hashes, die für Passwörter gedacht sind, und schützen Sie die Datenbank, die sie hält.
- Verlangsamen oder stoppen Sie wiederholte Fehlschläge gegen ein Konto und gegen eine Adresse, ohne Angreifenden Ihre genaue Grenze zu nennen.
- Ergänzen Sie eine zweite Anmeldeprüfung, damit ein abgeflossenes Geheimnis nicht genügt, um Post, Zahlungen oder Verwaltung zu betreten.