Passwortdatenbanken sollen mit Honigwörtern abgesichert werden.
Passwortdatenbanken sollen mit Honigwörtern abgesichert werden. (Bild: David Silverman/Getty Images)

RSA-Entwickler Mit Honeywords gegen Passwortklau

Um geklaute Passwörter und deren Nutzung zu entdecken, schlagen Ari Juels und Ronald Rivest die Nutzung von Honeywords vor. Ein Angreifer kann diese nicht von den eigentlichen Passwörtern unterscheiden und geht bei der Benutzung in eine Falle, die einen Alarm auslösen kann.

Anzeige

Ari Juels von den RSA Labs und Ronald Rivest, einer der Erfinder von RSA, schlagen Serverbetreibern die Nutzung sogenannter Honeywords vor. Honeywords heißen so in Anlehnung an den Begriff Honeypot (Honigtopf) und sollen Angriffe aufdecken, ohne dass der Angreifer das bemerkt. In einem Research Paper, über das Ars Technica berichtet, wird der Ansatz detailliert beschrieben.

Einem Nutzerzugang soll nicht nur ein Passwort zugeordnet werden, sondern mehrere. Neben dem echten Passwort existiert in der Datenbank also auch ein Honeyword. Nicht nur ausgewählte Zugänge sollen mit einem oder mehreren Honeywords ausgestattet werden. Die Forscher setzen darauf, dass sämtliche Zugänge mit so einem falschen Passwort präpariert sind. Einem Angreifer soll es dabei nicht gelingen, ein Honeyword von einem Passwort zu unterscheiden.

Sugarword, Honeywords und die Tough Nut

In der Liste der Passwörter befinden sich neben dem echten Passwort (Sugarword) eine Reihe von Honeywords sowie eine Tough Nut, die schwer zu knackende Nuss. Letzteres ist ein schwer zurückrechenbares Passwort und kann auch das echte Passwort sein.

Die Passwörter werden idealerweise während der Erzeugung des Sugarwords erzeugt und dann in zufälliger Reihenfolge abgelegt. Hier sehen Juels und Rivest allerdings auch eine Schwachstelle. Der Algorithmus zur Erzeugung der Honeywords sollte so gut sein, dass ein Angreifer nicht durch eine Analyse herausfinden kann, wie diese generiert werden. Die gestohlene Datenbank könnte sonst von den Honeywords bereinigt werden.

Diebe erlangen Kenntnis über Salt- und Hash-Parameter 

posix 20. Mai 2013

Nein es liegt nichts im Klartext vor, du hast dich nie mit diesem Programm eingehend...

me2 09. Mai 2013

Jein. Eine Benutzer-Passwort-Kombination kann mehr wert sein, als nur eine...

a user 08. Mai 2013

jain. die definition eines hashes ist natürlich, dass er einfach für eine eingabe zu...

a user 08. Mai 2013

nein, würde es nicht. 1. "random" darf das nicht sein, sonst können bei der...

Endwickler 08. Mai 2013

Ja, der Titel kam mir auch so in den Sinn. Das erste mal, dass ich so etwas implementiert...

Kommentieren



Anzeige

  1. Referenten im Bereich Reporting (m/w)
    BASF Services Europe GmbH, Berlin
  2. Administratoren / -innen IT-Netze, IT-Sicherheit
    Bundesstelle für Informationstechnik (BIT), Wiesbaden
  3. IT Solution Architect (m/w)
    evosoft GmbH, Nürnberg
  4. Scrum / Agile Master (Projektkoordinator) für Prozessoptmimierungs-Projekte (m/w)
    TRUMPF GmbH + Co. KG, Ditzingen bei Stuttgart

 

Detailsuche


Blu-ray-Angebote
  1. Blu-rays für 5 EUR
    (u. a. Odd Thomas, The Lighthorsemen, I Declare War, Hara-Kiri, Kriegerin, Little Big Soldier)
  2. Mad Max 2 - Der Vollstrecker (Steelbook) (exklusiv bei Amazon.de) [Blu-ray] [Limited Edition]
    14,99€ - Release 07.05.
  3. Fast & Furious 7 [Blu-ray]
    21,99€ mit Vorbesteller-Preisgarantie

 

Weitere Angebote


Folgen Sie uns
       


  1. Internetballons

    Start von Project Loon rückt näher

  2. Digitale Audio Workstation

    Ardour 4.0 läuft unter Windows

  3. Hydradock

    Elf Ports für das Macbook 12

  4. Ramstein

    USA sollen Drohnenkrieg von Deutschland aus steuern

  5. GTA 5 im Technik-Test

    So sieht eine famose PC-Umsetzung aus

  6. 3D-Drucker

    Makerbot entlässt 20 Prozent seiner Mitarbeiter

  7. Negativauszeichnung

    Lauschende Barbie erhält Big Brother Award

  8. Bemannte Raumfahrt

    Russland will bis 2023 eigene Raumstation bauen

  9. Windows 10 für Smartphones

    Office-Universal-App kommt noch im April

  10. Keine Science-Fiction

    Mit dem Laser gegen Weltraumschrott



Haben wir etwas übersehen?

E-Mail an news@golem.de



Fuzzing: Wie man Heartbleed hätte finden können
Fuzzing
Wie man Heartbleed hätte finden können
  1. Fehlersuche LLVM integriert eigenes Fuzzing-Werkzeug
  2. Mozilla Firefox 37 bringt Zertifikatsperren und Nutzerfeedback
  3. IT-Sicherheit Regierung fördert Forschung mit 180 Millionen Euro

Mini-PCs unter Linux: Installation schwer gemacht
Mini-PCs unter Linux
Installation schwer gemacht
  1. Mini-Business-Rechner im Test Erweiterbar, sparsam und trotzdem schön klein
  2. Shuttle DS57U Passiver Mini-PC mit Broadwell und zwei seriellen Com-Ports
  3. Broadwell-Mini-PC Gigabytes Brix ist noch kompakter als Intels NUC

Lenovo Thinkpad X1 Carbon im Test: Zurück zu den Wurzeln
Lenovo Thinkpad X1 Carbon im Test
Zurück zu den Wurzeln
  1. HyperX-Serie Kingstons Predator ist die vorerst schnellste Consumer-SSD
  2. Dell XPS 13 Ultrabook im Test Bis zur Unendlichkeit und noch viel weiter!

  1. Re: Gibt es überhaupt eine DAW für Windows...

    Lapje | 20:59

  2. Re: gemischte Gefühle

    Underdoug | 20:54

  3. Re: Welcher "Weltweite Drohnenkrieg" ?

    Underdoug | 20:50

  4. Re: Nicht verwunderlich...

    SchmuseTigger | 20:48

  5. Re: für Kinder

    Sukram71 | 20:30


  1. 17:54

  2. 16:33

  3. 15:56

  4. 13:37

  5. 12:00

  6. 11:05

  7. 22:59

  8. 15:13


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel