Abo
  • Services:
Anzeige
Dan Kaminsky sieht das Internet als ganzes bedroht.
Dan Kaminsky sieht das Internet als ganzes bedroht. (Bild: Hanno Böck)

Sichere Passwörter sind schlecht zu merken

Anzeige

Neben den Entropieproblemen von Zufallszahlengeneratoren sieht Kaminsky aber noch ein weiteres ungelöstes Entropieproblem: Den Menschen vor dem Computer. Menschen können sich sichere Passwörter in aller Regel nicht merken, deshalb neigen sie fast immer dazu, unsichere Passwörter zu nutzen, die nur wenige Bit an Entropie haben. Die Programmierer machen es sich leicht: Sie schieben die Aufgabe, sich ein Passwort auszudenken, auf den Nutzer ab, damit können sie am Ende sagen, dass die Wahl eines schlechten Passworts durch den Nutzer nicht ihre Schuld ist.

Kaminsky bat Ryan Castellucci auf die Vortragsbühne, um ein Alternativkonzept zu Passwörtern vorzustellen. Castellucci hat ein Verfahren entwickelt, bei dem der Anwender sich statt Passwörtern einfache Sätze merken soll. Das System korrigiert dabei automatisch Tippfehler und Fehler in der Reihenfolge. Menschen seien eher in der Lage, sich solche Wortkombinationen zu merken.

Neben den Problemen mit Zufallszahlen und Entropie hat Kaminsky in seinem Vortrag weitere Sicherheitsprobleme im Internet angesprochen, die seiner Ansicht nach zur Zeit so dramatisch sind, dass sie die Existenz des Netzes als ganzes in Frage stellen könnten.

Zero-Day-Lücken in Browsern

Die Hersteller von Browsern kämpfen mit einer nicht endenden Serie von Zero-Day-Sicherheitslücken, die auf die Speicherverwaltung zurückzuführen sind. Meist handelt es sich um sogenannte Use-after-Free-Probleme: Ein Speicherbereich, der vorher durch ein Objekt genutzt wurde, wird von einem anderen Teil des Browsers ausgelesen und ausgewertet. Während Chrome und Microsoft bereits grundsätzliche Gegenmaßnahmen ergriffen hätten, sei die Speicherverwaltung von Firefox zur Zeit am problematischsten. Gemeinsam mit dem Informatikprofessor Emery Berger plant Kaminsky, eine verbesserte Speicherverwaltung für Firefox zu entwickeln. Zunächst könnte diese dann in Spezialanwendungen wie dem Tor-Browser oder der auf Sicherheit optimierten Tails-Distribution genutzt werden. Es werde allerdings laut Kaminsky schwierig, die Firefox-Entwickler davon zu überzeugen, sich von ihrer bisherigen sehr performant arbeitenden Speicherverwaltung zu verabschieden.

DDoS-Angriffe bedrohen das Internet

Als weiteres großes Problem sieht Kaminsky Denial-of-Service-Angriffe, die DNS-Server und andere Protokolle zur Verstärkung nutzen. Netzwerkprotokolle, die auf UDP basieren, schicken Antworten an gefälschte Pakete. Die Pakete enthalten als Absender-IP-Adresse die Adresse des Opfers. Für die Betreiber dieser Server ist nicht zu erkennen, dass es sich um gefälschte Pakete handelt. Eine Lösung des Problems ist ein Routingprotokoll namens BCP38. Allerdings hilft das nur, wenn ein Großteil der Netzwerke im Internet BCP38 einsetzt. Als schnelle Maßnahme sollten Betreiber von DNS-Servern die Funktion Response-Rate-Limiting (RRL) einschalten. Neben DNS gibt es weitere Protokolle, die für derartige Reflection-Angriffe anfällig sind, zuletzt wurde etwa NTP hierfür ausgenutzt.

Kaminsky erinnert sein Publikum daran, dass das Internet nicht der erste Versuch gewesen sei, ein weltweit vernetztes System wie das Internet zu schaffen. Es sei nur niemand vorher damit erfolgreich gewesen. Der Grund des Erfolges des Internets sei seine Offenheit. Wenn das Netz erhalten werden soll, müssten die wichtigen Sicherheitsprobleme gelöst werden, die es bedrohen. Das Internet habe in vielen Branchen für Disruptionen und Verwerfungen gesorgt. "Wir müssen davon ausgehen, dass viele ein Interesse daran haben, die Funktion des Internets zu stören", so Kaminsky.

 Dan Kaminsky: Sichere Zufallszahlen zum Standard machen

eye home zur Startseite
__destruct() 18. Aug 2014

Ich habe gerade danach gegoolet, wo diese Methode verwendet wird. Dabei habe ich...

Casandro 11. Aug 2014

Der Grund warum es unsicheren und sicheren Zufall auf heutigen Computer gibt ist, weil...



Anzeige

Stellenmarkt
  1. über Ratbacher GmbH, Karlsruhe
  2. Audicon GmbH, Stuttgart
  3. Bertrandt Services GmbH, Friedrichshafen
  4. T-Systems International GmbH, Berlin


Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)
  2. (täglich neue Deals)
  3. Bis zu 250 EUR Cashback auf ausgewählte Objektive erhalten

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Grafikkarte

    AMDs Radeon RX 580 nutzt einen 8-Pol-Stromanschluss

  2. Softwareentwicklung

    Google sammelt seine Open-Source-Aktivität

  3. Youtuber

    Flying Uwe unter Verdacht der Schleichwerbung

  4. Surface Book

    Performance Base kostet mindestens 2.600 Euro

  5. Mobilfunk

    Amazon arbeitet an eigenen Smartphone-Tarifen

  6. Filmkritik Ghost in the Shell

    Wenig Geist in schöner Hülle

  7. App Store

    Apple verbietet Preishinweise in App-Bezeichnungen

  8. Software-Update

    Tesla-Autopilot 2.0 bis 130 km/h aktiv

  9. Terminverwaltung

    Googles Kalender-App fürs iPad erweitert

  10. Arbeitsplätze

    Audi-Belegschaft verlangt E-Autoproduktion in Deutschland



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Technik-Kritiker: Jaron Lanier will Facebook zerschlagen
Technik-Kritiker
Jaron Lanier will Facebook zerschlagen
  1. Hasskommentare Regierung plant starke Ausweitung der Bestandsdatenauskunft
  2. Kamera Facebook macht schicke Bilder und löscht sie dann wieder
  3. Dieter Lauinger Minister fordert Gesetz gegen Hasskommentare noch vor Wahl

Mass Effect Andromeda im Test: Zwischen galaktisch gut und kosmischem Kaffeekränzchen
Mass Effect Andromeda im Test
Zwischen galaktisch gut und kosmischem Kaffeekränzchen
  1. Mass Effect Andromeda im Technik-Test Frostbite für alle Rollenspieler
  2. Mass Effect Countdown für Andromeda
  3. Mass Effect 4 Ansel und Early Access für Andromeda

D-Wave: Quantencomputer oder Computer mit Quanteneffekten?
D-Wave
Quantencomputer oder Computer mit Quanteneffekten?
  1. IBM Q Qubits as a Service
  2. Rechentechnik Ein Bauplan für einen Quantencomputer

  1. Re: Schade. Anime Tipps?

    foho | 10:49

  2. Re: Elektro SUV = Schwachsinn

    wasabi | 10:48

  3. Re: Also wie immer

    Muhaha | 10:47

  4. Re: Hab Netflix gekündigt nach dem sie mir VPN...

    Skwirrel | 10:47

  5. Re: Wie bei der Musik...

    theFiend | 10:46


  1. 10:57

  2. 10:42

  3. 10:27

  4. 10:12

  5. 09:58

  6. 09:00

  7. 08:27

  8. 07:40


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel