RSA-Entwickler: Mit Honeywords gegen Passwortklau
Passwortdatenbanken sollen mit Honigwörtern abgesichert werden. (Bild: David Silverman/Getty Images)

RSA-Entwickler Mit Honeywords gegen Passwortklau

Um geklaute Passwörter und deren Nutzung zu entdecken, schlagen Ari Juels und Ronald Rivest die Nutzung von Honeywords vor. Ein Angreifer kann diese nicht von den eigentlichen Passwörtern unterscheiden und geht bei der Benutzung in eine Falle, die einen Alarm auslösen kann.

Anzeige

Ari Juels von den RSA Labs und Ronald Rivest, einer der Erfinder von RSA, schlagen Serverbetreibern die Nutzung sogenannter Honeywords vor. Honeywords heißen so in Anlehnung an den Begriff Honeypot (Honigtopf) und sollen Angriffe aufdecken, ohne dass der Angreifer das bemerkt. In einem Research Paper, über das Ars Technica berichtet, wird der Ansatz detailliert beschrieben.

Einem Nutzerzugang soll nicht nur ein Passwort zugeordnet werden, sondern mehrere. Neben dem echten Passwort existiert in der Datenbank also auch ein Honeyword. Nicht nur ausgewählte Zugänge sollen mit einem oder mehreren Honeywords ausgestattet werden. Die Forscher setzen darauf, dass sämtliche Zugänge mit so einem falschen Passwort präpariert sind. Einem Angreifer soll es dabei nicht gelingen, ein Honeyword von einem Passwort zu unterscheiden.

Sugarword, Honeywords und die Tough Nut

In der Liste der Passwörter befinden sich neben dem echten Passwort (Sugarword) eine Reihe von Honeywords sowie eine Tough Nut, die schwer zu knackende Nuss. Letzteres ist ein schwer zurückrechenbares Passwort und kann auch das echte Passwort sein.

Die Passwörter werden idealerweise während der Erzeugung des Sugarwords erzeugt und dann in zufälliger Reihenfolge abgelegt. Hier sehen Juels und Rivest allerdings auch eine Schwachstelle. Der Algorithmus zur Erzeugung der Honeywords sollte so gut sein, dass ein Angreifer nicht durch eine Analyse herausfinden kann, wie diese generiert werden. Die gestohlene Datenbank könnte sonst von den Honeywords bereinigt werden.

Diebe erlangen Kenntnis über Salt- und Hash-Parameter 

posix 20. Mai 2013

Nein es liegt nichts im Klartext vor, du hast dich nie mit diesem Programm eingehend...

me2 09. Mai 2013

Jein. Eine Benutzer-Passwort-Kombination kann mehr wert sein, als nur eine...

a user 08. Mai 2013

jain. die definition eines hashes ist natürlich, dass er einfach für eine eingabe zu...

a user 08. Mai 2013

nein, würde es nicht. 1. "random" darf das nicht sein, sonst können bei der...

Endwickler 08. Mai 2013

Ja, der Titel kam mir auch so in den Sinn. Das erste mal, dass ich so etwas implementiert...

Kommentieren



Anzeige

  1. Spezialist (m/w) für klinische Postprocessing Applikationen und Algorithmen
    Siemens AG, Forchheim
  2. Software-System-Architekt & -Entwickler (m/w) für komplexe Server-Lösungen
    CeTEC GmbH & Co KG, Oberhaching (München-Süd) oder Rosenheim (Oberbayern)
  3. Java-Profi - Senior Java / Java EE Softwareentwickler / Consultant (m/w)
    GEBIT Solutions GmbH, Berlin, Düsseldorf und Stuttgart
  4. Application Engineer Test Systems (m/w)
    MAHLE Powertrain GmbH, Stuttgart

 

Detailsuche


Folgen Sie uns
       


  1. Android

    Zertifikatskette wird nicht geprüft

  2. Spielemesse

    Gamescom fast ausverkauft

  3. Secusmart

    Blackberry übernimmt Merkel-Handy-Hersteller

  4. NSA-Affäre

    Bundesjustizminister wegen Empfehlung an Snowden kritisiert

  5. Playstation 4

    Firmware-Update ermöglicht 3D-Blu-ray

  6. Terraform

    Infrastruktur über Code verwalten

  7. Test The Last of Us Remastered

    Endzeit in 60 fps

  8. Security

    Antivirenscanner machen Rechner unsicher

  9. Samsung

    Update für Galaxy Note 3 erreicht Geräte in Deutschland

  10. Tracking.js

    Maschinelles Sehen mit Javascript im Browser



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
LG 34UM95 im Test: Ultra-Widescreen-Monitor für 3K-Gaming
LG 34UM95 im Test
Ultra-Widescreen-Monitor für 3K-Gaming
  1. Free-Form Display Sharp zeigt LCD mit kurvigem Rahmen
  2. Eizo Foris FS2434 IPS-Display mit schmalem Rahmen für Spieler
  3. Philips 19DP6QJNS Klappmonitor mit zwei IPS-Displays

Privacy: Unsichtbares Tracking mit Bildern statt Cookies
Privacy
Unsichtbares Tracking mit Bildern statt Cookies
  1. Passenger Name Record Journalist findet seine Kreditkartendaten beim US-Zoll
  2. Android Zurücksetzen löscht Daten nur unvollständig
  3. Privatsphäre Bundesminister verlangt Datenschutz beim vernetzten Auto

PC-Spiele mit 4K, 6K, 8K, 15K: "Spielen mit Downsampling schlägt Full-HD immer"
PC-Spiele mit 4K, 6K, 8K, 15K
"Spielen mit Downsampling schlägt Full-HD immer"
  1. Transformers Ära des Untergangs - gefilmt mit Sensoren im Imax-Format
  2. Intel-Partnerschaft mit Samsung 4K-Monitore sollen unter 400 US-Dollar gedrückt werden
  3. Asus ROG Kleine Gaming-PCs im Konsolendesign mit Desktophardware

    •  / 
    Zum Artikel