Schwache Passwörter: Nutzer erziehen mit dem Pavlovian Password Management
Der Sicherheitsexperte Lance James hat genug von schwachen Passwörtern(öffnet im neuen Fenster). Denn trotz jahrelanger Beschwörungen durch Sicherheitsexperten vergeben viele Nutzer immer noch Kennwörter wie "1234". Deshalb hat James das sogenannte Pavlovian Password Management ersonnen. Damit sollen Nutzer so konditioniert werden, dass sie sichere Passwörter vergeben.
Menschen können genauso programmiert werden wie Rechner, behauptet James. Sein System basiert auf den Experimenten des russischen Mediziners Iwan Petrowitsch Pawlow(öffnet im neuen Fenster), der das Prinzip der klassischen Konditionierung entdeckte. Er konditionierte Hunde so um, dass das Läuten einer Klingel die Speichelsekrektion auslöste statt nur der Anblick von Futter.
Nutzer umerziehen
Ähnlich könnten auch Nutzer umerzogen werden, sichere Passwörter zu verwenden, argumentiert James. Sein Plan: Gibt ein Nutzer ein schwaches Passwort ein, muss er kurz darauf ein Neues vergeben. Erst bei der Eingabe einer Passphrase wird der Anwender für längere Zeit in Ruhe gelassen, bis er sie wieder erneuern muss.
Der Zeitraum zwischen der Eingabe neuer Passwörter soll nach der durchschnittlichen Zeit bestimmt werden, die ein Angreifer bei einem Bruteforce-Angriff für das Knacken des Passworts benötigt. Ein schwaches Passwort müsste demnach nach drei Tagen, ein mittelschwaches Passwort nach zwei Wochen und ein starkes Passwort nach 60 Tagen erneuert werden. Eine Passphrase müsste dann alle 90 Tage ausgetauscht werden.
James will ein experimentelles PAM-Modul entwickeln, in dem seine Erziehungsmaßnahmen umgesetzt sind, samt Informationen dazu, wie schnell das vom Anwender verwendete Passwort geknackt werden kann. Er sei noch offen für Vorschläge, schreibt er, denn seine gegenwärtigen Berechnungen beinhalteten beispielsweise keine Angriffe mit Hilfe von Rainbowtables.
James' Vorschlag berücksichtigt allerdings auch nicht, dass jedes noch so starke Passwort nichts nutzt, wenn der Server, auf dem dessen zu schwacher Hashwert gespeichert wird, unsicher ist.
- Anzeige Hier geht es zum Handbuch für Softwareentwickler bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.