Passwortsicherheit. vom sicheren Umgang mit Passwörtern. Helmut Schweinzer Erlanger Linuxtag

Transkript

1 Passwortsicherheit vom sicheren Umgang mit Passwörtern Helmut Schweinzer Erlanger Linuxtag

2 Passwörter braucht jeder Real-Life (Fahrradschloss, Anrufbeantworter, Tresor,...) Rechnerzugang (Anmeldung, DSL-Account, WLAN, BIOS,...) Onlineshopping (ebay, amazon und unzählige andere) Mailaccount (Google, web.de, gmx, yahoo, t-online, ) Soziale Netze (Facebook, Google+, Xing,...) PINs (EC/Kreditkarten, Autoradio, Handy, Digital-Receiver, ) Onlinebanking (PIN/TAN, HBCI, SecureCode, Paypal,...) Kommunikation (ICQ, MSN, Jabber, Skype, Sip, ssh, vpn, ) Verschlüsselung (pgp, luks, x509, ) Office-Dokumente, Zip-Dateien, Datenbank, Cloudzugang Masterpasswörter (Browser, Passwortsafe, OpenID, ) Elektronischer Personalausweis (eid-pin) Blogs, Foren, Wikis Online-Hobbies (Geocaching, Games,...)

3 Beispiele Das häufigste Passwort: password1 Das sicherste Passwort: Jetzt leider nicht mehr, denn jetzt kennen es ja schon einige :-( Die wichtigsten Passwörter: - Online-Banking - ID-Passwörter (npa, pgp, OpenID,...) - Masterpasswort - -Account

4 Angriffe auf Passwörter Shoulder-Surfen (auch mit versteckter Kamera) Offene PC-/Browser-Sitzung (z.b. mit autocomplete) Social Engineering, Phishing, (geheime Fragen) Malware, Trojaner, Keylogger Packet-Sniffer (im Internet oder auch nur im WLAN) Rechnereinbruch in Server (SQL-Injection, Exploits,...) Online Ausprobieren (evtl. per Script) Offline-Attacken auf Hashwerte (z.b. aus Passwortdatei) Dictionary, Brute-Force, Rainbow-Tables, Hybrid-Angriffe Passwortlisten von erfolgten Einbrüchen Festplattenanalyse, Gewalt, Tempest

5 Was ist ein sicheres Passwort? Das kommt darauf an: Wofür wird es verwendet? Wie wertvoll sind die Daten, die damit geschützt werden? Wie wahrscheinlich ist ein Angriff auf das Passwort? Wie leicht ist ein Angriff auf das Passwort? Wie schwer ist das Passwort zu erraten/knacken? Wie oft verwendet man das Passwort? Wie lange soll das Passwort sicher sein? Kriterien sind: Zeichensatz (Buchstaben groß und klein, Ziffern, Sonderzeichen) Länge Merkbarkeit? Entropie (Informationsgehalt) Passwort-Checker (nur lokal!)

6 Wie kommt man zu einem geeigneten Passwort? (1) Ausdenken - direkt. welchen Zeichenvorrat? A-Z,a-z,0-9,Sonderzeichen. Passphrase (nichtnureineinfacheswort). Anfangsbuchstaben eines Satzes (2BontB,ttQ). Fremdsprachen verwenden - verändern. GrOsS/kLeIn. verzahnen (m9e8i7n6p5a4s3s2w1o2r3t). Leet (a->@, E->3, 1->, s->5 z.b. P@55vv0rt). streawkceur. Grundpasswort mit Anhang (A7$2hnebay,A7$2hngmx). Ziffern und Sonderzeichen einfügen (e7le5fa=nt) Nowadays a short password is no longer strong no matter what you do to it!

7 Wie kommt man zu einem geeigneten Passwort? (2) Tools - Random-Generator (z.b. in Javascript) - pwgen - PasswordMaker - keepass, - Würfel, diceware Sei kreativ und individuell

8 Diceware Zufällige Passwort-Sätze mit Würfel erzeugen Aus Liste mit 7776 Wörtern (5 Würfel pro Wort) wird zu acht, zu faden Je Wort ergeben sich 12,9 Bit Entropie Für gute Sicherheit sollte man 5 Wörter verwenden Bei 5 Wörtern gibt es 2,8 * Möglichkeiten Beispiel: unfein mus pause kilo rakete Passwortsatz: unfein mus pause kilo rakete

9 Wo speichert man Passwörter? Passwörter niemals unverschlüsselt auf einem Rechner oder gar USB-Stick ablegen! Verschlüsselte Datei (z.b. vim -x, pgp,...) Verschlüsselter Datei-Container (Loop-Device, TrueCrypt, ), Cryptostick Zettel an Monitor, unter Tastatur, im Geldbeutel Passwort-Karte Secret-Sharing Passwort-Safe (keepass, ) Passwort-Manager (Browser, Kennwortspeicher, Wallet,...) Online-Passwort-Manager (LastPass,...) Oder gar nicht (merken Gehirngymnastik) PasswordMaker

10 Passwortkarte Eine Passwortkarte enthält Passwörter, an die man nur rankommt, wenn man weiß, wie Zeilenweise mit Master-Passwort verwürfelt Startposition + Lesemethode ergibt Passwort Eigene Lesemethode wählen (z.b. nur nach rechts) Individuelle Karte und Startposition bei Login OTP Challenge-Response (Grid Authentication) Grundpasswort + Passwortteil von Passwortkarte Jede Karte hat eigene ID Zufallspasswortkarte als Passwortgenerator

11 Secret-Sharing Passwort zur Sicherheit aufschreiben und an einem sicheren Ort aufbewahren oder einer Vertrauensperson mitteilen: Passwort Teile des Passwortes an verschiedene Personen/Stellen geben: Pass Person 1, wort Person 2 Shamir's Secret Sharing Scheme (ssss) ssss(5,8): 1-6f1e2d6af2ca7b11 5-a23359da3d642cfa 2-baae795fed6c978c 6-2fa bec e2f25ef7d1c7f 7-a27ed5d95262b adc94d718ef bc3b02c8 an 8 Stellen/Personen verteilen. Jeweils beliebige 5 der 8 Codes genügen, um das Wort Passwort zu rekonstruieren

12 Keepass(x) Passwort-Safe Der komplette Passwort-Safe wird verschlüsselt abgespeichert Zugangssicherung durch Passwort und/oder Keyfile Plattformübergreifend (Windows, Mac, Linux, Android) Beliebige Daten speicherbar (z.b. ssh-key, ) Automatisches Ausfüllen von Formularen Eingebauter Passwort-Generator Memory-Protection und andere Schutzmechanismen

13 PasswordMaker Passwörter gar nicht speichern: Firefox-AddOn, auch als Webseite mit Javascript Passwörter werden anhand der URL einer Login-Seite und einiger anderer Details und Voreinstellungen erzeugt. Passwörter werde nie gespeichert, sondern jedesmal neu berechnet und in Formulare gefüllt. Benötigt wird ein Masterpasswort

14 Als User: Angriffe verhindern oder wenigstens (erheblich) erschweren Gutes Passwort wählen (eh klar) Dasselbe Passwort nie für verschiedene Zwecke verwenden Niemals Passwörter unverschlüsselt speichern Akzeptabel maximale Länge für Passwörter (z.b. WLAN) Keine persönlichen Daten für Passwörter verwenden (Kosenamen, Geburtsdatum, Autokennzeichen, ) Keine Wörter verwenden, die in einem Wörterbuch vorkommen (mindestens abwandeln oder kombinieren) Passwort öfter ändern (?), bei Missbrauch auf jeden Fall Geöffnete Anwendungen nicht unbeaufsichtigt lassen Passwortmanager verwenden Komplexes Masterpasswort gut merken (Backup) Add-Ons: Keylogger Beater oder Secure Login

15 Angriffe verhindern oder wenigstens (erheblich) erschweren Auf Serverseite in Anwendungen (1): Passwörter nie im Klartext speichern auch nicht nur leicht gehasht (kein MD5, besser SHA2) Gesalzene Hashes gegen Rainbowangriffe Mehrfach Hashung als Bremse (z.b. PBKDF2, scrypt) Policies, z.b. keine unsicheren Passwörter akzeptieren (Policies dürfen aber nicht gängeln) SSL verwenden, Session-Cookies als https-only anlegen One-Time-Password (OTP) verwenden Neue Accounts mit sicherem individuellem Passwort versehen (nicht immer nur changeme ) Grafische Eingabe (auf Buchstabengrafiken klicken) Passwörter nie in Logfiles schreiben

16 Angriffe verhindern oder wenigstens (erheblich) erschweren Auf Serverseite in Anwendungen (2): Anzahl Fehlversuche begrenzen (siehe PIN) Locken nach User oder Source-IP (Achtung DOS-Gefahr) Einengen der Eingabemöglichkeit (nur lokale, oder nur deutsche IP-Adressen, ) Anmeldehistorie anzeigen Geeignete Reset-Prozeduren (Passwort nicht im Klartext per verschicken sondern Einmal-Link zur Passwortneuvergabe https) Passwortchecker bei Passwortneueingabe anbieten

17 Regeln Lange und einzigartige Passwörter verwenden Auf dem Laufenden bleiben Software aktualisieren Nicht zu vertrauensselig sein

18 Ausblick / Alternativen Mehrfaktor: - was man weiß (Passwort, Pin) - was man hat (Token, Smartcard, Smartphone) - was man ist (Biometrie) (Fingerabdruck, Tippverhalten, Stimme, Gesichtserkennung, Irisscan,...) Single-Sign-On - OpenID - Personas (Mozilla) -...

19 Fragen? Helmut Schweinzer PGP: 0x Fingerprint: C6D3 B58F 7E3A C251 A5C5 2F89 E