Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

48 Kapitel 2: Authentifizierung und Authentifizierungsprotokolle
Verwenden anderer Authentifizierer
Erstens ist ein Kennwort, das der Benutzer nicht weiß, besser als eines, das der Benutzer
weiß. Falls Sie Smartcards einsetzen und das System so konfigurieren, dass für die Anmeldung
eine Smartcard erforderlich ist, besitzt jedes Konto weiterhin ein Kennwort, aber dies
ist ein langes und zufälliges Kennwort. Sein Hashwert kann weiterhin von jedem Computer
gestohlen werden, an dem sich der Benutzer anmeldet, sofern Malware als Betriebssystem
auf diesem Computer ausgeführt wird, aber Sie können fast sicher sein, dass sich das Kennwort
niemals erraten lässt.
Kennwörter sicher notieren
Diejenigen unter uns, die den Einsatz von Smartcards in unseren Netzwerken nicht vorschreiben
können, müssen sich damit abfinden, dass die Benutzer ihr Kennwort wissen müssen.
Damit sie sich ihre Kennwörter besser merken können, erfanden die Chinesen im zweiten
Jahrhundert eine verblüffende Technologie, das sogenannte »Papier«. Sie haben richtig
gelesen: Ich behaupte, dass sich die Benutzer ihre Kennwörter notieren sollen. Momentan
haben die meisten Organisationen eine Kennwortrichtlinie, die Kennwörter mit mindestens
8 Zeichen Länge erfordert und vorschreibt, dass sie wenigstens drei unterschiedliche Zeichengruppen
enthalten. Das Ergebnis? Benutzer wählen Kennwörter wie »Seattle1«. Wie Sie bei
genauem Hinsehen erkennen, entspricht dieses Kennwort der Richtlinie. »Test1234« ist
ebenfalls gültig, genauso wie »Password1«, »Passw0rd« und »Pa$$word«. Wenn Sie die
Wahl haben, wäre es Ihnen dann nicht lieber, ein Benutzer trägt einen kleinen Zettel in seinem
Geldbeutel mit sich, auf dem »Trink einen großen Milchkaffee vor der Arbeit!« steht?
Falls ein Unbefugter diesen Zettel in die Hände bekommt, merkt der Benutzer es recht
schnell und kann entsprechende Maßnahmen treffen, um das Kennwort zurückzusetzen
(wenn Sie ihm gezeigt haben, wie das geht). Und was könnte der böse Dieb überhaupt mit
dem Zettel anfangen? Für welches System gilt dieses Kennwort? Ist es überhaupt ein Kennwort,
oder vielleicht doch eine andere Notiz? Ein Kennwort, das der Benutzer notieren kann,
ist viel leichter zu beherrschen als eines, das er sich merken muss, nachdem er es zweimal
eingetippt hat. Und für all die anderen Kennwörter, die wir täglich benutzen, können Sie
sogar ein elektronisches Kennwortverwaltungstool verwenden, zum Beispiel Password Safe
(http://passwordsafe.sourceforge.net). Was ist wirklich schlechter: ein schwaches Kennwort,
das sich der Benutzer merken kann, nachdem er es zweimal eingetippt hat, oder ein sehr
starkes Kennwort, das an sicherer Stelle notiert wurde? Über welche Art von Gefahr machen
wir uns denn hier Sorgen?
Stellen Sie sich jetzt vor, Sie können Ihren Benutzern mitteilen, dass sie das Kennwort auf
einem Zettel mit sich herumtragen können, bis sie es auswendig wissen. Danach sollten sie
den Zettel in den Schredder stecken oder aufessen, ganz nach Belieben. Sie dürfen davon
ausgehen, dass Sie in diesem Fall sogar eine Kennwortrichtlinie für 10 Zeichen lange
Kennwörter durchsetzen können, ohne auf dem nächsten Scheiterhaufen zu landen.
Nehmen Sie das »Wort« in »Kennwort« nicht zu wörtlich
Im letzten Abschnitt lautete ein Beispielkennwort »Trink einen großen Milchkaffee vor der
Arbeit!« Das ist kein Kennwort (oder Passwort). Es ist eine Passphrase. Es gibt keine Vorschrift,
dass Kennwörter überhaupt Wörter sein müssen. Schon der Begriff Kennwort ist
irreführend. Windows nimmt als Kennwort bereitwillig bis zu 127 Zeichen entgegen, die Sie