So gelangen Kriminelle an Hashwerte

Doch um die zu den Passwörtern gehörenden Hashwerte knacken zu können, muss man erst einmal in deren Besitz kommen. In seiner Demo zeigte Willi drei Hacking-Methoden wie aus entsprechenden Systemen Hashwerte ausgelesen werden können. Zum einen verwendete er eine Schwachstelle in einer Version des Open-Source-CMS Drupal, um an den Hash für den Root-Zugang des darunterliegenden Linux-Betriebssystem zu gelangen. Aber auch wie via SQL-Injection können Hashes aus einer Datenbank ausgelesen werden und ein kompletter KeePass-2-Passwort-Safe geknackt werden.

Ist man im Besitz der Hashwerte, muss in einem weiteren Schritt herausgefunden werden, mit welcher Hashfunktion dieser erstellt wurde. Wie Willi berichtet, gibt es hunderte von Hashfunktionen. Neben den allgemeineren DES, MD5 und SHA256 auch Produkt-spezische Algorithmen. Auch um herauszufinden, welche Hashfunktion verwendet wurde, gibt es ein Tool namens "hashID", das dem Hacker – oder Penetration-Tester – die Arbeit erleichtert. Dieses lässt sich mit dem gefundenen Hashwert füttern, worauf es die verwendete Funktion ermittelt.

Für das eigentliche Cracking verwendete Willi die Software Hashcat. Dieses Tool versteht sich nicht nur auf diverse Hashalgorithmen, es können diverse Parameter bestimmt werden, um die Brute-Force-Angriffe einzuschränken. So lassen sich die Passwörter anhand diverser Wörterbücher und Passwortlisten durchprobieren. Dabei wird anhand der Ausführungen von Willi schnell klar: Nicht nur Passwörter, die auf Grundbegriffen bestehen, lassen sich einfach cracken. Auch zum Teil komplexe Verdrehungen und Ergänzungen sowie Kombinationen aus Wörtern, Zahlen und Sonderzeichen sind herauszufinden.

Auf Grund der Erfahrungen aus seinen Penetration-Tests kann Willi diverse Tipps zum Umgang mit und zur Wahl von Passwörtern geben. Generell gilt: Wenn ein Passwortbestandteil in einer Wörter- oder einer Passwortliste auftaucht, ist die Losung recht einfach knackbar. Deshalb sei es besser, Passwörter zu verwenden, die mit Hilfe eines Zufallsgenerators erzeugt wurden, und diese dann in einem Passwort-Manager wie KeePass oder Password Safe zu verwalten. Daneben rät er sehr davon ab, dieselben Passwörter für verschiedene Dienste und Webseiten zu verwenden. Selbst wenn man sich Varianten für die unterschiedlichen Seiten ausdenkt, biete dies keinen speziellen Schutz.

Wo immer eine Zwei-Faktoren-Authentifikation angeboten wird, wie mittlerweile selbst bei grossen Anbietern wie Google, soll man diese auch in Anspruch nehmen.