Password Hashing Competition: Hashfunktion Argon2 gewinnt Wettbewerb

In einem Wettbewerb ist nach neuen Hashfunktionen gesucht worden, die sich für das Hashen von Passwörtern eignen. Jetzt steht der Gewinner fest: Argon2, entwickelt von einem Team an der Universität Luxemburg.

Artikel veröffentlicht am 27. Juli 2015, 8:12 Uhr, Hanno Böck

Wie sichert man Passwörter am besten ab? (Bild: Screenshot)

Vor zwei Jahren starteten Kryptographen einen Wettbewerb mit dem Ziel der Entwicklung neuer Hashfunktionen für das sichere Speichern von Passwörtern. Jetzt steht der Gewinner fest: Der Algorithmus Argon2 überzeugte die Jury. Insgesamt 24 Vorschläge waren für den Wettbewerb eingereicht worden.

Argon2 aus 24 Vorschlägen ausgewählt

Jean-Philippe Aumasson, einer der Organisatoren des Wettbewerbs, gab die Wahl von Argon2 in einer Mail bekannt. Vier weitere Algorithmen mit den Namen Catena, Lyra2, Makwa und Yescrypt fand die Jury ebenfalls überzeugend und erwähnte sie in der Bekanntgabe der Ergebnisse.

Argon2 wurde von den Kryptographen Alex Biryukov, Daniel Dinu und Dmitry Khovratovich von der Universität Luxemburg entwickelt. Eine detaillierte Beschreibung des Algorithmus findet man auf deren Webseite, eine Implementierung auf Github. Genutzt werden sollte Argon2 im Moment noch nicht. Die Entwickler des Algorithmus werden zusammen mit den Organisatoren des Wettbewerbs noch kleinere Änderungen vornehmen und entscheiden, wie genau die finale Version umgesetzt werden soll.

Passwort-Hashes sollen in Fällen, in denen Nutzerdatenbanken von Services gestohlen werden, verhindern, dass ein Angreifer sofort Direktzugriff auf alle Passwörter hat. Die Idee dabei: Statt das Passwort selbst zu speichern, wird lediglich ein Hash davon berechnet und auf dem System abgelegt. Bei jedem Login wird das vom Nutzer gesendete Passwort erneut gehasht und mit dem gespeicherten Passwort verglichen.

Falls ein Angreifer an die Passwort-Hashes gelangt, hat er nur die Hashes. Er kann aber trotzdem versuchen, die Passwörter herauszufinden, indem er gängige Passwörter mittels eines Brute-Force-Angriffs ausprobiert. Um das zu erschweren, wird üblicherweise nicht nur das Passwort gehasht, sondern zusätzlich ein sogenannter Salt-Wert. Dabei handelt es sich um eine Zufallszahl, die zusammen mit dem Passwort-Hash gespeichert wird. Der Salt bewirkt, dass der Angreifer Passwort-Hashes nicht vorberechnen kann und jeden Passwort-Hash einzeln angreifen muss.

Anforderungen nicht mit kryptographischen Hashes vergleichbar

Die Sicherheitsanforderungen an Passwort-Hashes unterscheiden sich deutlich von denen für andere kryptographische Zwecke, beispielsweise digitale Signaturen. Üblicherweise ist vor allem die Kollisionsresistenz einer kryptographischen Hashfunktion für die Sicherheit entscheidend. Bei Passwort-Hashes ist das jedoch egal. Wichtig ist vielmehr, dass die Hashfunktion nicht extrem schnell berechnet werden kann. Deshalb wird bei speziellen Passwort-Hashfunktionen darauf geachtet, dass deren Berechnungen verhältnismäßig lange dauern und viel Speicher verbrauchen. Zu lange soll die Berechnung allerdings auch nicht dauern - schließlich muss der Hash bei jedem Loginvorgang ein Mal berechnet werden.

In der Vergangenheit wurden trotz dieser unterschiedlichen Anforderungen meist klassische kryptographische Hashfunktionen für Passwort-Hashes benutzt. Um die Berechnung zu verlangsamen, wurde eine Hashfunktion manchmal mehrere Tausend Male verwendet. Auf modernen Linux-Systemen wird beispielsweise SHA512 auf diese Weise genutzt. Doch speziell fürs Passwort-Hashing entwickelte Funktionen können eine höhere Sicherheit bieten. Die Algorithmen Bcrypt und Scrypt sind bislang die am häufigsten eingesetzten Hashfunktionen, die speziell für Passwort-Hashes entwickelt wurden.

Seit einiger Zeit ist es üblich, dass neue Krypto-Algorithmen bei Wettbewerben ausgelobt werden. Teams können sich mit ihren Algorithmen bewerben, über einen festgelegten Zeitraum können die Algorithmen untersucht werden. Der erste derartige Wettbewerb endete 2001 mit der Wahl des Verschlüsselungsalgorithmus AES. Viel Aufmerksamkeit hatte auch der Wettbewerb für den kryptographischen Hash SHA-3 erhalten. Zurzeit läuft weiter ein Wettbewerb, um einen neuen authentifizierten Verschlüsselungsalgorithmus auszuloben.