Anzeige
Passwortdatenbanken sollen mit Honigwörtern abgesichert werden.
Passwortdatenbanken sollen mit Honigwörtern abgesichert werden. (Bild: David Silverman/Getty Images)

RSA-Entwickler Mit Honeywords gegen Passwortklau

Um geklaute Passwörter und deren Nutzung zu entdecken, schlagen Ari Juels und Ronald Rivest die Nutzung von Honeywords vor. Ein Angreifer kann diese nicht von den eigentlichen Passwörtern unterscheiden und geht bei der Benutzung in eine Falle, die einen Alarm auslösen kann.

Anzeige

Ari Juels von den RSA Labs und Ronald Rivest, einer der Erfinder von RSA, schlagen Serverbetreibern die Nutzung sogenannter Honeywords vor. Honeywords heißen so in Anlehnung an den Begriff Honeypot (Honigtopf) und sollen Angriffe aufdecken, ohne dass der Angreifer das bemerkt. In einem Research Paper, über das Ars Technica berichtet, wird der Ansatz detailliert beschrieben.

Einem Nutzerzugang soll nicht nur ein Passwort zugeordnet werden, sondern mehrere. Neben dem echten Passwort existiert in der Datenbank also auch ein Honeyword. Nicht nur ausgewählte Zugänge sollen mit einem oder mehreren Honeywords ausgestattet werden. Die Forscher setzen darauf, dass sämtliche Zugänge mit so einem falschen Passwort präpariert sind. Einem Angreifer soll es dabei nicht gelingen, ein Honeyword von einem Passwort zu unterscheiden.

Sugarword, Honeywords und die Tough Nut

In der Liste der Passwörter befinden sich neben dem echten Passwort (Sugarword) eine Reihe von Honeywords sowie eine Tough Nut, die schwer zu knackende Nuss. Letzteres ist ein schwer zurückrechenbares Passwort und kann auch das echte Passwort sein.

Die Passwörter werden idealerweise während der Erzeugung des Sugarwords erzeugt und dann in zufälliger Reihenfolge abgelegt. Hier sehen Juels und Rivest allerdings auch eine Schwachstelle. Der Algorithmus zur Erzeugung der Honeywords sollte so gut sein, dass ein Angreifer nicht durch eine Analyse herausfinden kann, wie diese generiert werden. Die gestohlene Datenbank könnte sonst von den Honeywords bereinigt werden.

Diebe erlangen Kenntnis über Salt- und Hash-Parameter 

posix 20. Mai 2013

Nein es liegt nichts im Klartext vor, du hast dich nie mit diesem Programm eingehend...

me2 09. Mai 2013

Jein. Eine Benutzer-Passwort-Kombination kann mehr wert sein, als nur eine...

a user 08. Mai 2013

jain. die definition eines hashes ist natürlich, dass er einfach für eine eingabe zu...

a user 08. Mai 2013

nein, würde es nicht. 1. "random" darf das nicht sein, sonst können bei der...

Endwickler 08. Mai 2013

Ja, der Titel kam mir auch so in den Sinn. Das erste mal, dass ich so etwas implementiert...

Kommentieren



Anzeige

  1. Manager (m/w) Database-Marketing
    R+V Allgemeine Versicherung AG, Wiesbaden
  2. IT-Mitarbeiter/in fachlich-technische Dienstleistungen
    Landeshauptstadt München, München
  3. IT-Operations Analyst Produktdatenmanagement PIM (m/w)
    Media-Saturn IT-Services GmbH, Ingolstadt
  4. Technischer Redakteur (m/w)
    Jetter AG, Ludwigsburg

Detailsuche


Blu-ray-Angebote
  1. Sherlock - Staffel 2 [Blu-ray]
    14,97€
  2. Der Hobbit 3 - Die Schlacht der fünf Heere - Extended/Sammler Edition (3D) [Limited Edition]
    59,99€ (Vorbesteller-Preisgarantie)
  3. Das Leben des Brian - The Immaculate Edition [Blu-ray]
    7,90€

Weitere Angebote


Folgen Sie uns
       


  1. Verschlüsselung

    Thüringens Verfassungsschutzchef Kramer verlangt Hintertüren

  2. Xeon D-1571

    Intel veröffentlicht sparsamen Server-Chip mit 16 Kernen

  3. Die Woche im Video

    Sensationen und Skandale

  4. Micron

    Von 1Y-/1Z-DRAM-, 3D-Flash- und 3D-Xpoint-Plänen

  5. Hochbahn

    Hamburger Nahverkehr bekommt bald kostenloses WLAN

  6. ViaSat Joint Venture

    Eutelsat wird schnelleres Satelliten-Internet bieten

  7. SSDs

    Micron startet Serienfertigung von 3D-NAND-Flash

  8. TV-Kabelnetz

    Ausfall für 30.000 Haushalte bei Unitymedia

  9. Nordrhein-Westfalen

    Mehrere Krankenhäuser von Malware befallen

  10. Erneuerbare Energien

    Brennstoffzelle produziert Strom oder Wasserstoff



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Time Machine VR angespielt: Wir tauchen mit den Monstern der Tiefe
Time Machine VR angespielt
Wir tauchen mit den Monstern der Tiefe
  1. Virtual Reality Oculus VRs Tool erkennt keine AMD-Prozessoren
  2. Unreal Engine4 Epic baut virtuelle Welt in virtueller Welt
  3. Unmandelboxing Markus Persson fliegt durch VR-Fraktaltunnel

Tails 2.0 angeschaut: Die Linux-Distribution zum sicheren Surfen neu aufgelegt
Tails 2.0 angeschaut
Die Linux-Distribution zum sicheren Surfen neu aufgelegt
  1. Linux Tails Installer in Debian und Ubuntu integriert

Künstliche Intelligenz: Alpha Go spielt wie ein Japaner
Künstliche Intelligenz
Alpha Go spielt wie ein Japaner
  1. Deepmind Mit neuronalem Netz durch den Irrgarten
  2. Nachruf KI-Pionier Marvin Minsky mit 88 Jahren gestorben
  3. OpenAI Elon Musk unterstützt Forschung an gemeinnütziger KI

  1. Re: Zeit für Technik ohne diese Seltene Erden u...

    Kaliumhexacyano... | 11:54

  2. Re: Wo ist der Typ denn ausgegraben worden?

    dudida | 11:54

  3. Re: Surface Phone mit XPoint Memory (?)

    Kleba | 11:53

  4. Re: Open Source...

    dudida | 11:52

  5. Re: das offensichtliche fehlt: Lautstärke

    Rhocco | 11:52


  1. 11:03

  2. 09:21

  3. 09:03

  4. 00:24

  5. 18:25

  6. 18:16

  7. 17:46

  8. 17:22


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel