Wie Passwörter kompromittiert und geknackt werden
Die Unterschiede zwischen gestohlenen Zugangsdaten, Anmeldeversuchen und Offline-Analysen.
Kurz erklärt
Angreifer können wiederverwendete Zugangsdaten aus Datenlecks testen, häufige menschliche Muster erraten oder Passwortkandidaten mit gestohlenen Hashes vergleichen. Die Methode hängt davon ab, ob ein aktiver Dienst angegriffen wird oder bereits Passwort-Hashes vorliegen.
Credential Stuffing
Beim Credential Stuffing testen Angreifer offengelegte Kombinationen aus Benutzername und Passwort bei anderen Diensten. Ein eigenes Passwort für jedes Konto verhindert, dass ein bekannt gewordenes Passwort den Zugriff auf nicht verbundene Konten ermöglicht. (OWASP: Leitfaden zur Authentifizierung)
Online-Angriffe und Offline-Analysen
Online-Versuche laufen über den Dienst und können begrenzt oder erkannt werden. Bei einer Offline-Analyse verwenden Angreifer gestohlene Passwort-Hashes und können Kandidaten testen, ohne den Dienst zu kontaktieren. Ein gesalzenes und absichtlich langsames Speicherverfahren erhöht die Kosten jedes Versuchs. (NIST: Sonderveröffentlichung 800-63B-4) (OWASP: Leitfaden zur Passwortspeicherung)
Was hilft beim Schutz von Konten?
Verwenden Sie einzigartige Passwörter, aktivieren Sie Mehr-Faktor-Authentifizierung, installieren Sie Updates und ändern Sie ein Passwort, wenn ein Dienst ein Datenleck meldet. Verwenden Sie ein Passwort nicht erneut, nur weil es kompliziert aussieht. (NIST: Sonderveröffentlichung 800-63B-4)