Abo
  • IT-Karriere:

Studie: Passwortmanager hinterlassen Passwörter im Arbeitsspeicher

Die Passwortdatenbanken an sich sind sicher, doch werden die Passwort-Manager gestartet, hinterlassen sie Daten im Arbeitsspeicher - selbst wenn sie gesperrt wurden.

Artikel von veröffentlicht am
Passwörter verwalten geht auch offline - oder in einem Brettspiel. Trotz Problemen ist ein Passwortmanager die bessere Wahl.
Passwörter verwalten geht auch offline - oder in einem Brettspiel. Trotz Problemen ist ein Passwortmanager die bessere Wahl. (Bild: Wokandapix/Pixabay)

Den Arbeitsplatz übergeben, den Passwortmanager gesperrt - alles richtig gemacht. Doch leider hinterlassen viele Passwortmanager einige Daten im Arbeitsspeicher, auch wenn sie gesperrt wurden. Die Sicherheitsfirma Independent Security Evaluators (ISE) untersuchte die beliebten Passwortmanager 1Password, Dashlane, Keepass und Lastpass unter Windows 10 - empfiehlt jedoch weiterhin die Verwendung von Passwortmanagern.

Inhalt:
  1. Studie: Passwortmanager hinterlassen Passwörter im Arbeitsspeicher
  2. Lastpass rockt - oder doch nicht?

Mit Passwortmanagern lassen sich Passwörter verwalten und sortieren. Die Zugangsdaten werden üblicherweise in einer verschlüsselten Datenbank abgelegt, die mit einem Masterpasswort gesichert ist - das einzige Passwort, das sich der Nutzer neben den Passwörtern zum Starten seiner Geräte noch merken muss. Mit der Software lassen sich zudem individuelle Passwörter generieren. Anschließend können diese aus der Software heraus kopiert und in das entsprechende Login-Feld eingefügt werden. Komfortabler wird es, wenn man den Passwortmanager das Passwort für sich eintippen lässt (Auto-Type) oder ein Browser-Plugin installiert hat, welches die Daten des Passwortmanagers in Empfang nimmt.

Die Sicherheitsforscher untersuchten die Sicherheit der Passwortmanager in drei Zuständen: Der Passwortmanager wurde nach dem Booten des Rechners noch nicht gestartet, aber zuvor eingerichtet, der Passwortmanager wurde verwendet und war ungesperrt, der Passwortmanager wurde, nachdem er verwendet wurde, vom Nutzer oder automatisch gesperrt.

Datenbanken sind sicher - das Sperren nicht

In einem ersten Schritt betrachteten die Sicherheitsforscher die verschlüsselten Datenbanken. Die verwendeten Algorithmen, um das Masterpasswort der Passwortdatenbank zu schützen, hielten sie für vertretbar.

Stellenmarkt
  1. Fraunhofer-Institut für Optronik, Systemtechnik und Bildauswertung IOSB, Karlsruhe
  2. Proximity Technology GmbH, Düsseldorf

Wurden die Passwortmanager jedoch gestartet und verwendet (ungesperrt) oder waren gesperrt, konnten die Sicherheitsforscher bei allen Passwortmanagern Passwörter im Arbeitsspeicher entdecken. Bei 1Password wurden in der aktuellen Version 7 alle hinterlegten Passwörter sowie das Masterpasswort und der Secret-Key in den Arbeitsspeicher geladen. Sie verblieben auch nach dem Sperren des Passwortmanagers im Arbeitsspeicher. Aus einer Sicherheitsperspektive habe ein Klick auf den Sperren-Knopf keine Auswirkungen, schreiben die Sicherheitsforscher. Um die Passwörter aus dem Arbeitsspeicher zu bekommen, muss die Software komplett beendet werden.

Auch bei Dashlane, Keepass und Lastpass fanden die Sicherheitsforscher verschiedene Probleme.

Lastpass rockt - oder doch nicht? 
  1. 1
  2. 2
  3.  


Anzeige
Top-Angebote
  1. 39€
  2. 26€ (ohne Prime oder unter 29€ zzgl. Versand) - Bestpreis!
  3. 259€ + Versand oder kostenlose Marktabholung (Bestpreis!)
  4. (aktuell u. a. Edifier R1700BT für 114,90€ + Versand)

biohharz3 28. Feb 2019

https://myki.com wäre in diesem Konten interessant zu durchleuchten. Passwörter werden am...

dummzeuch 25. Feb 2019

Es gibt auch PCs, die nicht in abgeschlossenen Räumen stehen und die nicht immer...

IchBIN 22. Feb 2019

Naja, wenn dann benutze ich Chromium oder Iridium, nicht Chrome - schon klar. Aber...

IchBIN 22. Feb 2019

Super, vielen Dank für den Link!

danielmain 22. Feb 2019

Bitwarden ist Open Source und Cross-Platform und funktioniert mit YubiKey. Alles andere...


Folgen Sie uns
       


Raspberry Pi 4B vorgestellt

Nicht jedem dürften die Änderungen gefallen: Denn zwangsläufig wird auch neues Zubehör fällig.

Raspberry Pi 4B vorgestellt Video aufrufen
Raumfahrt: Galileo-Satellitennavigation ist vollständig ausgefallen
Raumfahrt
Galileo-Satellitennavigation ist vollständig ausgefallen

Seit Donnerstag senden die Satelliten des Galileo-Systems keine Daten mehr an die Navigationssysteme. SAR-Notfallbenachrichtigungen sollen aber noch funktionieren. Offenbar ist ein Systemfehler in einer Bodenstation die Ursache. Nach fünf Tagen wurde die Störung behoben.


    Erasure Coding: Das Ende von Raid kommt durch Mathematik
    Erasure Coding
    Das Ende von Raid kommt durch Mathematik

    In vielen Anwendungsszenarien sind Raid-Systeme mittlerweile nicht mehr die optimale Lösung. Zu langsam und starr sind sie. Abhilfe schaffen können mathematische Verfahren wie Erasure Coding. Noch existieren für beide Techniken Anwendungsgebiete. Am Ende wird Raid aber wohl verschwinden.
    Eine Analyse von Oliver Nickel

    1. Agentur für Cybersicherheit Cyberwaffen-Entwicklung zieht in den Osten Deutschlands
    2. Yahoo Richterin lässt Vergleich zu Datenleck platzen

    Mobilfunktarife fürs IoT: Die Dinge ins Internet bringen
    Mobilfunktarife fürs IoT
    Die Dinge ins Internet bringen

    Kabellos per Mobilfunk bringt man smarte Geräte am leichtesten ins Internet der Dinge. Dafür haben deutsche Netzanbieter Angebote für Unternehmen wie auch für Privatkunden.
    Von Jan Raehm

    1. Smart Lock Forscher hacken Türschlösser mit einfachen Mitteln
    2. Brickerbot 2.0 Neue Schadsoftware möchte IoT-Geräte zerstören
    3. Abus-Alarmanlage RFID-Schlüssel lassen sich klonen

      •  /