Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Angriffe auf Kennwörter 39
Wenn sich ein Benutzer mit einer Smartcard anmeldet, stellt das KDC dem Client während
des Anmeldevorgangs den Kennworthashwert des Benutzers zur Verfügung. Diese Anmeldeinformationen
werden mit dem öffentlichen Schlüssel des Clients verschlüsselt, bevor sie
übertragen werden. Der Kerberos-SSP auf dem Client entschlüsselt sie und speichert sie auf
dieselbe Weise in einem Cache, wie er es täte, hätte der Benutzer das Kennwort selbst bei
der Anmeldung eingegeben. Der Computer verwendet diese Anmeldeinformationen, um sich
bei Computern anzumelden, die aus irgendwelchen Gründen nicht über Kerberos erreichbar
sind. Auch wenn also eine Smartcardanmeldung erforderlich ist, sind die Hashwerte auf dem
Client durch böswillige Software gefährdet, die als Administrator läuft. Auch wenn Smartcards
eingesetzt werden, sind kennwortbasierte Anmeldeinformationen nicht besser geschützt
als bei einer Kennwortanmeldung. Daher sollten Sie dieselben Vorsichtsmaßnahmen
gegen die Angriffe treffen, die wir uns als Nächstes ansehen.
Angriffe auf Kennwörter
An diesem Punkt sollten wir einen kleinen Abstecher machen und uns mit Angriffen beschäftigen,
schon aus dem Grund, weil sich so viele Leute deswegen Sorgen machen. Der
wichtigste Punkt im Bezug auf Kennwörter besteht offensichtlich darin zu verhindern, dass
die bösen Buben sie in die Finger bekommen. Wenn Angreifer die Kennwörter oder irgendeine
abgeleitete Form einmal haben, ist die Frage, was sie damit tun. Sehen wir uns erst
einmal an, wie ein potenzieller Angreifer ein Kennwort oder eine abgeleitete Form ausspähen
kann.
Ausspähen von Kennwörtern
Angreifer haben verschiedene Möglichkeiten, an Ihre Kennwörter zu kommen. Die folgenden
Abschnitte führen die wichtigsten Methoden auf, von den einfachsten und häufigsten
Angriffen zu den schwierigeren und selteneren (natürlich etwas vereinfacht).
Einfach fragen
Eine erstaunliche Zahl von Leuten (bis zu 75% in manchen Untersuchungen) sind bereit,
ihre Kennwörter im Tausch gegen etwas herauszugeben, dem sie mehr Wert beimessen. In
einer Untersuchung war das zum Beispiel Schokolade (Wagner, 2004).
Kennwörter direkt abfangen
Sofern die Benutzer ihre Kennwörter nicht willig herausgeben, ist es heutzutage am erfolgreichsten,
einfachsten und wahrscheinlich verbreitetsten, einen sogenannten Keystroke-
Logger zu verwenden, der ein Kennwort als Klartext aufzeichnet, während der Benutzer es
eingibt. Es gibt viele unterschiedliche Arten von Keystroke-Loggern. Eine unscheinbare
Möglichkeit ist ein Hardwaregerät, das zwischen Tastatur und Computer eingeschleift wird
und Speicher enthält, in dem alle Tastenbetätigungen aufgezeichnet werden. Es kann binnen
Sekunden heimlich installiert und wieder entfernt werden. Ein solches Gerät verschafft
Zugriff auf alles, was der Computer an Eingaben bekommt, inklusive aller Tastendrücke,
Metadaten wie zum Beispiel der Tipprhythmus und so weiter. Ein Softwareprogramm, wie
es heute oft in Malware und Spyware zu finden ist, kann ebenfalls alle Tastatureingaben
aufzeichnen, üblicherweise auch inklusive der Metadaten. Das ist nicht auf Kennwörter
beschränkt. Manche dieser Programme können die ausgespähten Daten automatisch auf eine