Original-URL des Artikels: https://www.golem.de/news/schwache-passwoerter-nutzer-erziehen-mit-dem-pavlovian-password-management-1405-106246.html    Veröffentlicht: 05.05.2014 11:43    Kurz-URL: https://glm.io/106246

Schwache Passwörter

Nutzer erziehen mit dem Pavlovian Password Management

Mit einem Erziehungssystem will ein Sicherheitsexperte für sichere Passwörter sorgen. Wer ein zu schwaches Passwort eingibt, muss es häufiger wechseln.

Der Sicherheitsexperte Lance James hat genug von schwachen Passwörtern. Denn trotz jahrelanger Beschwörungen durch Sicherheitsexperten vergeben viele Nutzer immer noch Kennwörter wie "1234". Deshalb hat James das sogenannte Pavlovian Password Management ersonnen. Damit sollen Nutzer so konditioniert werden, dass sie sichere Passwörter vergeben.

Menschen können genauso programmiert werden wie Rechner, behauptet James. Sein System basiert auf den Experimenten des russischen Mediziners Iwan Petrowitsch Pawlow, der das Prinzip der klassischen Konditionierung entdeckte. Er konditionierte Hunde so um, dass das Läuten einer Klingel die Speichelsekrektion auslöste statt nur der Anblick von Futter.

Nutzer umerziehen

Ähnlich könnten auch Nutzer umerzogen werden, sichere Passwörter zu verwenden, argumentiert James. Sein Plan: Gibt ein Nutzer ein schwaches Passwort ein, muss er kurz darauf ein Neues vergeben. Erst bei der Eingabe einer Passphrase wird der Anwender für längere Zeit in Ruhe gelassen, bis er sie wieder erneuern muss.

Der Zeitraum zwischen der Eingabe neuer Passwörter soll nach der durchschnittlichen Zeit bestimmt werden, die ein Angreifer bei einem Bruteforce-Angriff für das Knacken des Passworts benötigt. Ein schwaches Passwort müsste demnach nach drei Tagen, ein mittelschwaches Passwort nach zwei Wochen und ein starkes Passwort nach 60 Tagen erneuert werden. Eine Passphrase müsste dann alle 90 Tage ausgetauscht werden.

James will ein experimentelles PAM-Modul entwickeln, in dem seine Erziehungsmaßnahmen umgesetzt sind, samt Informationen dazu, wie schnell das vom Anwender verwendete Passwort geknackt werden kann. Er sei noch offen für Vorschläge, schreibt er, denn seine gegenwärtigen Berechnungen beinhalteten beispielsweise keine Angriffe mit Hilfe von Rainbowtables.

James' Vorschlag berücksichtigt allerdings auch nicht, dass jedes noch so starke Passwort nichts nutzt, wenn der Server, auf dem dessen zu schwacher Hashwert gespeichert wird, unsicher ist.  (jt)


Verwandte Artikel:
Pwned Passwords: Troy Hunt bietet Passwortcheck an   
(04.08.2017, https://glm.io/129321 )
Pwned Passwords: Troy Hunt veröffentlicht eine halbe Milliarde Passworthashes   
(22.02.2018, https://glm.io/132941 )
Avast: CCleaner-Infektion enthielt Keylogger-Funktion   
(09.03.2018, https://glm.io/133255 )
Gesichtserkennung: British Airways testet biometrische Systeme beim Boarding   
(09.03.2018, https://glm.io/133244 )
Bundeshack: Hack auf Bundesregierung erfolgte über Lernplattform Ilias   
(08.03.2018, https://glm.io/133227 )

© 1997–2018 Golem.de, https://www.golem.de/