Cyber-Security - Adlas - Magazin für Sicherheitspolitik

PERSÖNLICHE SICHERHEIT
Mit Grafikkarten und
roher Gewalt Passwörter knacken
Prozessor ganze 23 Jahre, um alle 7,2 Billiarden (10 15 ) Kombinationen durchzuprobieren.
Achtstellige Passwörter mit Groß- und Kleinbuchstaben, Zahlen
und Sonderzeichen galten daher bislang als relativ sicher.
Das hat sich geändert, da heutige Hochleistungsgrafikkarten die für
»Brute-Force«-Attacken notwendigen Berechnungen drastisch schneller abwickeln
können als Hauptprozessoren. So schafft eine ältere Grafikkarte des
Typs »Radeon 6770«, derzeit erhältlich für unter 100 Euro, schon fast 200
Millionen Versuche pro Sekunde – und knackt »Inge196%« damit in etwas
mehr als einem Jahr. Investiert man rund 800 Euro in das Topmodell dieser
älteren Reihe, die »Radeon 6990«, so liegt das Passwort bei 772 Millionen
Versuchen pro Sekunde bereits nach 107 Tagen offen.
Eine Eigenart der neueren Grafikkarten ist zudem, dass man mehrere
Exemplare in Reihe schalten kann. Während Computerspieleenthusiasten
diese Möglichkeit gerne dazu nutzen, noch mehr Grafikleistung zu erzielen,
brechen Hacker und »Penetration-testing«-Spezialisten Passwörter so noch
ten. Damit fehlt ihnen zwar die Flexibilität des Hauptprozessors, aber in
dem, was sie tun, sind die Grafikchips hunderte Male schneller als der Computerkern.
Genau das macht sie so interessant für Menschen, die fremde
Passwörter mit so genannten »Brute force«-Attacken entschlüsseln wollen.
Die etwas martialische Bezeichnung – »brute force« bedeutet wörtlich
»rohe Gewalt« – rührt daher, dass hier wenig Finesse im Spiel ist. Eine entsprechende
Software probiert einfach so lange alle möglichen Passwortkombinationen
durch, bis die richtige gefunden ist. Theoretisch kann mit dieser
simpel-brutalen Methode jedes Passwort irgendwann geknackt werden. Je
länger und komplexer das angegriffene Codewort ist, desto mehr mögliche
Varianten müssen allerdings durchprobiert werden und desto länger dauert
folglich die Suche nach der richtigen Kombination.
Kurze und wenig komplexe Passwörter, wie zum Beispiel die vierstellige
Geheimzahl der EC-Karte mit ihren theoretisch 10.000 verschiedenen Kombinationen,
sind daher nicht sonderlich sicher und könnten selbst von einem
Smartphone-Prozessor praktisch sofort gebrochen werden. An einem typischen
achtstelligen Passwort aus Groß- und Kleinbuchstaben und Zahlen mit
seinen 218 Billionen (10 12 ) möglichen Varianten würde ein aktueller Vierkern-
Hauptprozessor, etwa aus der Intel i7-Reihe, hingegen deutlich länger rechnen.
Mit seinen rund 20 Millionen Versuchen pro Sekunde würde er bei einer
reinen »Brute-Force«-Attacke beispielsweise das Passwort »Inge1967« nach
126 Tagen gebrochen haben. Enthielte das Passwort bei acht Stellen zusätzlich
noch ein typisches Sonderzeichen – wie in »Inge196%« – so bräuchte der
PENETRATION-TESTING
Als »Penetration-Testing« oder kurz »Pen-Testing« werden alle Aktivitäten bezeichnet,
bei denen Hacker, beispielsweise im Auftrag einer Firma, versuchen, in
deren Systeme einzudringen oder ihre Passwörter zu brechen. Die so entdeckten
Sicherheitslücken können dann beseitigt werden, bevor Cyberkriminelle sie
nutzen können.
DAS MOORESCHE GESETZ
Der Physiker und Intel-Mitbegründer Gordon Moore sagte 1965 voraus, dass
sich die Leistung integrierter Schaltkreise auf Grund des technischen Fortschritts
in Zukunft jährlich verdoppeln würde. Angesichts neuerer Daten hat
Moore selbst 1975 den Zeitraum auf etwas weniger als zwei Jahre korrigiert.
>>
ADLAS 1/2013 ISSN 1869-1684 23