Passwortdatenbanken sollen mit Honigwörtern abgesichert werden.
Passwortdatenbanken sollen mit Honigwörtern abgesichert werden. (Bild: David Silverman/Getty Images)

RSA-Entwickler Mit Honeywords gegen Passwortklau

Um geklaute Passwörter und deren Nutzung zu entdecken, schlagen Ari Juels und Ronald Rivest die Nutzung von Honeywords vor. Ein Angreifer kann diese nicht von den eigentlichen Passwörtern unterscheiden und geht bei der Benutzung in eine Falle, die einen Alarm auslösen kann.

Anzeige

Ari Juels von den RSA Labs und Ronald Rivest, einer der Erfinder von RSA, schlagen Serverbetreibern die Nutzung sogenannter Honeywords vor. Honeywords heißen so in Anlehnung an den Begriff Honeypot (Honigtopf) und sollen Angriffe aufdecken, ohne dass der Angreifer das bemerkt. In einem Research Paper, über das Ars Technica berichtet, wird der Ansatz detailliert beschrieben.

Einem Nutzerzugang soll nicht nur ein Passwort zugeordnet werden, sondern mehrere. Neben dem echten Passwort existiert in der Datenbank also auch ein Honeyword. Nicht nur ausgewählte Zugänge sollen mit einem oder mehreren Honeywords ausgestattet werden. Die Forscher setzen darauf, dass sämtliche Zugänge mit so einem falschen Passwort präpariert sind. Einem Angreifer soll es dabei nicht gelingen, ein Honeyword von einem Passwort zu unterscheiden.

Sugarword, Honeywords und die Tough Nut

In der Liste der Passwörter befinden sich neben dem echten Passwort (Sugarword) eine Reihe von Honeywords sowie eine Tough Nut, die schwer zu knackende Nuss. Letzteres ist ein schwer zurückrechenbares Passwort und kann auch das echte Passwort sein.

Die Passwörter werden idealerweise während der Erzeugung des Sugarwords erzeugt und dann in zufälliger Reihenfolge abgelegt. Hier sehen Juels und Rivest allerdings auch eine Schwachstelle. Der Algorithmus zur Erzeugung der Honeywords sollte so gut sein, dass ein Angreifer nicht durch eine Analyse herausfinden kann, wie diese generiert werden. Die gestohlene Datenbank könnte sonst von den Honeywords bereinigt werden.

Diebe erlangen Kenntnis über Salt- und Hash-Parameter 

posix 20. Mai 2013

Nein es liegt nichts im Klartext vor, du hast dich nie mit diesem Programm eingehend...

me2 09. Mai 2013

Jein. Eine Benutzer-Passwort-Kombination kann mehr wert sein, als nur eine...

a user 08. Mai 2013

jain. die definition eines hashes ist natürlich, dass er einfach für eine eingabe zu...

a user 08. Mai 2013

nein, würde es nicht. 1. "random" darf das nicht sein, sonst können bei der...

Endwickler 08. Mai 2013

Ja, der Titel kam mir auch so in den Sinn. Das erste mal, dass ich so etwas implementiert...

Kommentieren



Anzeige

  1. Inhouse Consultant IT-Infrastructure (m/w)
    SupplyOn AG, Hallbergmoos Raum München
  2. Softwareentwickler (m/w)
    PES-Ingenieurgesellschaft mbH, Hösbach
  3. (Senior) Product Manager E-Commerce / (Senior) Product Owner E-Commerce (m/w)
    HOTEL DE AG, Nürnberg
  4. Treasury Controller/-in für Treasury Reporting & Data Management
    Daimler AG, Stuttgart

 

Detailsuche


Blu-ray-Angebote
  1. VORBESTELLBAR: Jurassic World [Blu-ray]
    21,99€ (Vorbesteller-Preisgarantie)
  2. GÜNSTIGER: Breaking Bad - Die komplette Serie (Digipack) [Blu-ray]
    74,97€
  3. Rubbeldiekatz [Blu-ray] [Limited Collector's Edition]
    7,97€

 

Weitere Angebote


Folgen Sie uns
       


  1. The Elder Scrolls Online

    Zenimax sperrt mutmaßlich illegale Nutzerkonten

  2. Sony

    Xperia Z4 erscheint in Deutschland als Xperia Z3+

  3. LTE Advanced Cat 6

    Vodafone bietet 225 MBit/s im LTE-Netz

  4. Google

    Chrome für Android ist nahezu Open Source

  5. Firefox OS

    Für Mozilla ist billig nicht mehr alles

  6. Mozilla

    Beta von Firefox für iOS geplant

  7. Soziales Netzwerk Sociax

    Das Facebook mit mehr Privatsphäre

  8. Velociroach

    Der Roboter mit den schnellsten Schritten

  9. Steuertricks

    Amazon.de will Gewinne in Deutschland versteuern

  10. League of Legends

    Halbautomatische Schnellstrafen für Rassisten



Haben wir etwas übersehen?

E-Mail an news@golem.de



Parrot Bebop im Test: Die Einstiegsdrohne
Parrot Bebop im Test
Die Einstiegsdrohne
  1. Hycopter Wasserstoffdrohne soll vier Stunden fliegen
  2. Drohne Der Origami-Copter aus der Schweiz
  3. Filmindustrie James Cameron unterstützt Drohnenwettbewerb

Angriff auf kritische Infrastrukturen: Bundestag, bitte melden!
Angriff auf kritische Infrastrukturen
Bundestag, bitte melden!
  1. Umfrage US-Bürger misstrauen Regierung beim Umgang mit Daten
  2. Spionage NSA wollte Android-App-Stores für Ausspähungen nutzen
  3. Cyberangriff im Bundestag Ausländischer Geheimdienst soll Angriff gestartet haben

BND-Selektorenaffäre: Die stille Löschaktion des W. O.
BND-Selektorenaffäre
Die stille Löschaktion des W. O.
  1. Freedom Act US-Senat lehnt Gesetz zur NSA-Reform ab
  2. BND-Chef Schindler "Wir sind abhängig von der NSA"
  3. BND-Metadatensuche "Die Nadel im Heuhaufen ist zerbrochen"

  1. Re: LoL und Verwarnungen/Banns...

    windermeer | 15:40

  2. Re: Digitalen "Diebstahl" sollte man auch Online...

    plutoniumsulfat | 15:40

  3. Re: Also ist die Lösung doch einfach diese:

    nykiel.marek | 15:39

  4. Re: "Wie knackt man lange Passwörter"

    Moe479 | 15:38

  5. Re: ~92$ pro spender

    vulkman | 15:35


  1. 15:22

  2. 13:57

  3. 13:45

  4. 13:13

  5. 12:54

  6. 12:31

  7. 12:07

  8. 12:05


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel