Passwortdatenbanken sollen mit Honigwörtern abgesichert werden.
Passwortdatenbanken sollen mit Honigwörtern abgesichert werden. (Bild: David Silverman/Getty Images)

RSA-Entwickler Mit Honeywords gegen Passwortklau

Um geklaute Passwörter und deren Nutzung zu entdecken, schlagen Ari Juels und Ronald Rivest die Nutzung von Honeywords vor. Ein Angreifer kann diese nicht von den eigentlichen Passwörtern unterscheiden und geht bei der Benutzung in eine Falle, die einen Alarm auslösen kann.

Anzeige

Ari Juels von den RSA Labs und Ronald Rivest, einer der Erfinder von RSA, schlagen Serverbetreibern die Nutzung sogenannter Honeywords vor. Honeywords heißen so in Anlehnung an den Begriff Honeypot (Honigtopf) und sollen Angriffe aufdecken, ohne dass der Angreifer das bemerkt. In einem Research Paper, über das Ars Technica berichtet, wird der Ansatz detailliert beschrieben.

Einem Nutzerzugang soll nicht nur ein Passwort zugeordnet werden, sondern mehrere. Neben dem echten Passwort existiert in der Datenbank also auch ein Honeyword. Nicht nur ausgewählte Zugänge sollen mit einem oder mehreren Honeywords ausgestattet werden. Die Forscher setzen darauf, dass sämtliche Zugänge mit so einem falschen Passwort präpariert sind. Einem Angreifer soll es dabei nicht gelingen, ein Honeyword von einem Passwort zu unterscheiden.

Sugarword, Honeywords und die Tough Nut

In der Liste der Passwörter befinden sich neben dem echten Passwort (Sugarword) eine Reihe von Honeywords sowie eine Tough Nut, die schwer zu knackende Nuss. Letzteres ist ein schwer zurückrechenbares Passwort und kann auch das echte Passwort sein.

Die Passwörter werden idealerweise während der Erzeugung des Sugarwords erzeugt und dann in zufälliger Reihenfolge abgelegt. Hier sehen Juels und Rivest allerdings auch eine Schwachstelle. Der Algorithmus zur Erzeugung der Honeywords sollte so gut sein, dass ein Angreifer nicht durch eine Analyse herausfinden kann, wie diese generiert werden. Die gestohlene Datenbank könnte sonst von den Honeywords bereinigt werden.

Diebe erlangen Kenntnis über Salt- und Hash-Parameter 

posix 20. Mai 2013

Nein es liegt nichts im Klartext vor, du hast dich nie mit diesem Programm eingehend...

me2 09. Mai 2013

Jein. Eine Benutzer-Passwort-Kombination kann mehr wert sein, als nur eine...

a user 08. Mai 2013

jain. die definition eines hashes ist natürlich, dass er einfach für eine eingabe zu...

a user 08. Mai 2013

nein, würde es nicht. 1. "random" darf das nicht sein, sonst können bei der...

Endwickler 08. Mai 2013

Ja, der Titel kam mir auch so in den Sinn. Das erste mal, dass ich so etwas implementiert...

Kommentieren



Anzeige

  1. Softwareentwickler (.NET) (m/w)
    dawin GmbH, Troisdorf
  2. EDI-Spezialist (m/w)
    KNV Logistik GmbH, Erfurt
  3. PDM Consultant (m/w)
    Robert Bosch GmbH, Stuttgart-Feuerbach
  4. Elektronikerin / Elektroniker für die Qualitätssicherung
    VITRONIC Dr.-Ing. Stein Bildverarbeitungssysteme GmbH, Wiesbaden

 

Detailsuche


Blu-ray-Angebote
  1. Gravity - Diamond Luxe Edition [Blu-ray] [Limited Edition]
    12,99€ - Release 26.03.
  2. NUR NOCH HEUTE: 3 Blu-rays für 12 EUR
    (u. a. Die Nacht der Jäger, Born to race, Wilder Ozean, Immortal)
  3. Prestige - Die Meister der Magie (Steelbook) (exklusiv bei Amazon.de) [Blu-ray] [Limited Edition]
    14,99€ (Release 31.3.)

 

Weitere Angebote


Folgen Sie uns
       


  1. Galaxy S6 und Edge-Variante

    Samsungs neue Top-Smartphones im Glaskleid

  2. Smart Home

    D-Link will Z-Wave-Funk in seine Router integrieren

  3. Vive

    Valves VR-Brille kommt von HTC

  4. Huawei Watch im Hands On

    Kompakte Smartwatch mit rundem Saphirglas

  5. One M9 im Hands on

    HTCs Lollipop-Smartphone hat ein Zusatzknöpfchen

  6. Watch Urbane LTE im Hands On

    LGs Edelstahl-Uhr für geduldige Golfer

  7. Qi Wireless Charging

    Ikea-Möbel laden schnurlos Akkus

  8. Linux-Desktops

    Xfce 4.12 ist endlich fertig

  9. Fahrerdienst

    Uber verschweigt monatelang einen Server-Einbruch

  10. Linux 4.0

    Streit um das Live-Patching entbrennt



Haben wir etwas übersehen?

E-Mail an news@golem.de



Raspberry Pi 2: Die Feierabend-Maschine
Raspberry Pi 2
Die Feierabend-Maschine
  1. Raspberry Pi 2 Fotografieren nur ohne Blitz
  2. Raspberry Pi 2 ausprobiert Schnell rechnen, langsam speichern
  3. Internet der Dinge Windows 10 läuft kostenlos auf dem Raspberry Pi 2

Zertifizierungspflicht: Die Übergangsfrist für ISO 27000 läuft ab
Zertifizierungspflicht
Die Übergangsfrist für ISO 27000 läuft ab
  1. Netgear WLAN-Router aus der Ferne angreifbar
  2. Datenschützer Private Überwachungskameras stark verbreitet
  3. Play Store Weit verbreitete Apps zeigen Adware verzögert an

Fertigungstechnik: Der 14-Nanometer-Schwindel
Fertigungstechnik
Der 14-Nanometer-Schwindel
  1. Ezchip Tilera Tile-Mx100 Der 100-ARM-Netzwerkprozessor
  2. Britischer Röhrencomputer EDSAC Seltenes Bauteil in den USA gefunden
  3. Prozessor AMDs Zen soll acht Kerne in 14-nm-Technik bieten

  1. Re: Ein Gigant begeht Selbstmord

    Tzven | 21:46

  2. Re: Alternative? Wer hätte da eine Empfehlung

    KingFisherMacD | 21:45

  3. LG G3

    KingFisherMacD | 21:45

  4. Re: runde Smart-Uhren sind uncool

    BabbelNet | 21:43

  5. Re: *schüttel*

    morningstar | 21:41


  1. 19:36

  2. 17:29

  3. 17:20

  4. 17:16

  5. 17:00

  6. 15:39

  7. 13:23

  8. 13:12


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel