Original-URL des Artikels: https://www.golem.de/news/studie-passwortmanager-hinterlassen-passwoerter-im-arbeitsspeicher-1902-139537.html    Veröffentlicht: 21.02.2019 12:40    Kurz-URL: https://glm.io/139537

Studie

Passwortmanager hinterlassen Passwörter im Arbeitsspeicher

Die Passwortdatenbanken an sich sind sicher, doch werden die Passwort-Manager gestartet, hinterlassen sie Daten im Arbeitsspeicher - selbst wenn sie gesperrt wurden.

Den Arbeitsplatz übergeben, den Passwortmanager gesperrt - alles richtig gemacht. Doch leider hinterlassen viele Passwortmanager einige Daten im Arbeitsspeicher, auch wenn sie gesperrt wurden. Die Sicherheitsfirma Independent Security Evaluators (ISE) untersuchte die beliebten Passwortmanager 1Password, Dashlane, Keepass und Lastpass unter Windows 10 - empfiehlt jedoch weiterhin die Verwendung von Passwortmanagern.

Mit Passwortmanagern lassen sich Passwörter verwalten und sortieren. Die Zugangsdaten werden üblicherweise in einer verschlüsselten Datenbank abgelegt, die mit einem Masterpasswort gesichert ist - das einzige Passwort, das sich der Nutzer neben den Passwörtern zum Starten seiner Geräte noch merken muss. Mit der Software lassen sich zudem individuelle Passwörter generieren. Anschließend können diese aus der Software heraus kopiert und in das entsprechende Login-Feld eingefügt werden. Komfortabler wird es, wenn man den Passwortmanager das Passwort für sich eintippen lässt (Auto-Type) oder ein Browser-Plugin installiert hat, welches die Daten des Passwortmanagers in Empfang nimmt.

Die Sicherheitsforscher untersuchten die Sicherheit der Passwortmanager in drei Zuständen: Der Passwortmanager wurde nach dem Booten des Rechners noch nicht gestartet, aber zuvor eingerichtet, der Passwortmanager wurde verwendet und war ungesperrt, der Passwortmanager wurde, nachdem er verwendet wurde, vom Nutzer oder automatisch gesperrt.

Datenbanken sind sicher - das Sperren nicht

In einem ersten Schritt betrachteten die Sicherheitsforscher die verschlüsselten Datenbanken. Die verwendeten Algorithmen, um das Masterpasswort der Passwortdatenbank zu schützen, hielten sie für vertretbar.

Wurden die Passwortmanager jedoch gestartet und verwendet (ungesperrt) oder waren gesperrt, konnten die Sicherheitsforscher bei allen Passwortmanagern Passwörter im Arbeitsspeicher entdecken. Bei 1Password wurden in der aktuellen Version 7 alle hinterlegten Passwörter sowie das Masterpasswort und der Secret-Key in den Arbeitsspeicher geladen. Sie verblieben auch nach dem Sperren des Passwortmanagers im Arbeitsspeicher. Aus einer Sicherheitsperspektive habe ein Klick auf den Sperren-Knopf keine Auswirkungen, schreiben die Sicherheitsforscher. Um die Passwörter aus dem Arbeitsspeicher zu bekommen, muss die Software komplett beendet werden.

Auch bei Dashlane, Keepass und Lastpass fanden die Sicherheitsforscher verschiedene Probleme.

Lastpass rockt - oder doch nicht?

Lastpass legt das Masterpasswort nur codiert und kurzfristig im Arbeitsspeicher ab. Wurde die Passwortdatenbank erfolgreich geöffnet, wird das codierte Masterpasswort im Arbeitsspeicher mit "lastpass rocks" überschrieben. Allerdings wird das Masterpasswort während der Schlüsselableitung auch in einem String-Buffer im Arbeitsspeicher abgelegt und wird, selbst wenn Lastpass gesperrt wird, nicht gelöscht. Die Passwortdatenbank wird ebenfalls komplett im RAM vorgehalten - und verbleibt dort, auch wenn Lastpass gesperrt wurde.

Die Software Dashlane legt nur das aktuell verwendete Passwort im Arbeitsspeicher ab, wird allerdings eine Änderung in der Passwortdatenbank vorgenommen, beispielsweise ein Passwort geändert, lädt die Software alle Passwörter in den Arbeitsspeicher. Diese verbleiben auch dann im Arbeitsspeicher, wenn der Passwortmanager gesperrt wird.

Open Source mit Löschfehlern

Im Unterschied zu den anderen getesteten Passwortmanagern ist Keepass Open-Source-Software. Die Software hält jedes in der Sitzung verwendete Passwort im Arbeitsspeicher vor. Das Masterpasswort wird jedoch aus dem Arbeitsspeicher entfernt. Die Sicherheitsforscher konnten auch im gesperrten Zustand auf im Arbeitsspeicher hinterlegte Passwörter zugreifen. Die Daten sollten zwar gelöscht werden, allerdings befinden sich Fehler in der Implementierung des Löschvorgangs in Keepass.

Auch bei Passwortmanagern können die verwendeten Passwörter mit Keyloggern auf dem Rechner oder dem Auslesen der Zwischenablage abgefangen werden. Dabei handelt es sich aber um ein grundsätzliches Problem von Passwörtern, das auch Passwortmanager nicht lösen können.

Alle Passwortmanager schützen die Datenbanken, in denen die Passwörter vorgehalten werden, sehr gut, solange die Passwortmanager nicht gestartet wurden. Dass ein Teil der Daten im Arbeitsspeicher vorgehalten werden muss, liegt in der Natur der Sache. Dass die Daten jedoch nicht aus diesem gelöscht werden, wenn die Passwortdatenbank gesperrt wird, ist unbegreiflich. Viele Passwortmanager sperren die Datenbanken nach einer gewissen Zeit automatisch - aus einer Sicherheitsperspektive bringt diese Funktion nicht viel, wenn sich Passwörter weiterhin im Arbeitsspeicher befinden. Soll eine Passwortdatenbank wirklich gesperrt werden, muss die Software beendet werden. Wird mit mehreren Passwortdatenbanken in einer Software gearbeitet, ist dies jedoch wenig praktikabel. Doch trotz der Probleme sollte nicht auf die Verwendung eines Passwortmanagers verzichtet werden oder, um es mit den Worten des Sicherheitsforschers Troy Hunt zu sagen: "Passwortmanager müssen nicht perfekt sein, sie müssen nur besser sein, als sie nicht zu benutzen."  (mtr)


Verwandte Artikel:
Password Checkup: Google warnt in Chrome vor gehackten Login-Daten   
(06.02.2019, https://glm.io/139209 )
Credential Stuffing: 90 Prozent der Loginversuche in Shops kommen von Unbefugten   
(19.07.2018, https://glm.io/135574 )
Passwörter: Teile des Passsworts bei Aldi Talk unsicher gespeichert   
(19.02.2019, https://glm.io/139473 )
Mehr Webseiten gehackt: Weitere 127 Millionen Zugangsdaten im Darknet   
(15.02.2019, https://glm.io/139413 )
Gehackte Webseiten: 620 Millionen Zugangsdaten im Darknet angeboten   
(13.02.2019, https://glm.io/139355 )

© 1997–2021 Golem.de, https://www.golem.de/