IT Security Januar / Februar 2024

IT SECURITY | 15
SO LANGE DAUERT ES BIS
EIN MD5-GEHASHTES PASSWORT GEKNACKT WIRD
Zeichenanzahl
Nur
Zahlen
Nur Kleinbuchstaben
Groß-/Kleinbuchstaben
Zahlen, Groß-/
Kleinbuchstaben
Zahlen, Groß-/Kleinbuchstaben,
Sonderzeichen
8 Sofort Sofort 2 Minuten 5 Minuten 3 Stunden
9 Sofort 9 Sekunden 2 Stunden 5 Stunden 12 Tage
10 Sofort 4 Minuten 2 Tage 14 Tage 3 Jahre
11 Sofort 2 Stunden 132 Tage 3 Jahre 279 Jahre
12 Sofort 2 Tage 19 Jahre 159 Jahre 26,5 Tsd. Jahre
13 Sofort 6 Wochen 995 Jahre 10 Tsd. Jahre 3 Mio. Jahre
des Specops Password Auditors. Dieses
Read-Only-Tool analysiert Benutzerpasswörter
anhand einer lokalen Datenbank
mit über 950 Millionen kompromittierten
Passwörtern und gibt dann
in einem Report an, wie viele Passwörter
kompromittiert oder identisch sind.
Passwörter können wirkungsvoll zur IT-
Sicherheit und Authentifizierung beitragen,
wenn man sicherstellt, dass man
sie vor unsicheren Benutzerverhalten
schützt und sie geheim bleiben!
14 3 Minunten 3 Jahre 51 Tsd. Jahre 608 Tsd. Jahre 239 Mio. Jahre
15 26 Minunten 82 Jahre 2 Mio. Jahre 37 Mio. Jahre 22,7 Mio. Jahre
16 5 Stunden 2136 Jahre 140 Mio. Jahre 3 Mrd. Jahre 3 Bio. Jahre
17 43 Stunden 56 Tsd. Jahre 8 Mrd. Jahre 145 Mrd. Jahre 205 Bio. Jahre
18 18 Tage 2 Mio. Jahre 379 Mrd. Jahre 9 Bio. Jahre 20 Brd. Jahre
19 6 Monate 38 Mio. Jahre 20 Bio. Jahre 557 Bio. Jahre 2 Trio. Jahre
20 5 Jahre 977 Mio. Jahre 2 Brd. Jahre 35 Brd. Jahre 176 Trio. Jahre
21 49 Jahre 26 Mrd. Jahre 54 Brd. Jahre 3 Trio. Jahre 17 Trd. Jahre
22 290 Jahre 660 Bio. Jahre 3 Trill. Jahre 133 Trill. Jahre 2 Qrd. Jahre
Bild 1: Zeitdauer bis ein MD5-gehashtes
Passwort geknackt wird
Phishing vs. Brute Force-Angriffe
Passwörter werden heute oftmals mit
Hilfe sehr gezielter Phishing Attacken
gestohlen. Eine andere, schon seit langer
Zeit übliche Methode sind die Brute
Force-Angriffe. Die Frage ist, wie lange
dauert es, ein Passwort mit Hilfe eines
Brute Force Angriffes zu knacken?
Das hängt von mehreren Faktoren ab:
#1
Passwortlänge und -komplexität:
Je länger und komplexer
das Passwort, desto mehr mögliche
Kombinationen gibt es. Ein Passwort,
das Groß- und Kleinbuchstaben, Zahlen
und Sonderzeichen enthält, ist viel
schwerer zu knacken als eines, das nur
aus Kleinbuchstaben besteht.
#2
Angriffsgeschwindigkeit: Die
Geschwindigkeit, mit der ein
Angreifer Passwörter ausprobieren
kann, hängt von der Hardware und der
Software ab, die er verwendet. Spezialisierte
Hardware wie GPUs oder sogar
dedizierte Hardware für Passwort-Cracking
kann die Geschwindigkeit
erheblich erhöhen.
#3
Passwort-Richtlinien und
-Schutzmaßnahmen: Manche
Systeme haben Schutzmaßnahmen
gegen Brute-Force-Angriffe, wie
etwa die Begrenzung der Anmeldeversuche
oder die Verzögerung zwischen
den Versuchen.
Hier sind einige grobe Schätzungen,
basierend auf verschiedenen Passworttypen
und einer angenommenen Angriffsgeschwindigkeit:
• Einfaches Passwort (6 Zeichen, nur
Kleinbuchstaben): Kann in Sekunden
oder Minuten geknackt werden.
• Mittlerer Komplexität (8 Zeichen,
gemischt mit Zahlen und Buchstaben):
Kann Stunden bis Tage dauern.
• Hohe Komplexität (12 oder mehr
Zeichen, gemischt mit Groß- und
Kleinbuchstaben, Zahlen und Sonderzeichen):
Kann Jahre bis Jahrzehnte
dauern.
Quantencomputing verändert alles
Die große Frage lautet: Wie wird sich
diese Zeitspanne durch den Einsatz eines
Quantencomputers verändern?
Denn es ist nur eine Frage der Zeit, bis
es die ersten einsatzfähigen Quantencomputer
gibt und dann wird es auch
Mietmodelle a la „Hacking as a Service“
geben.
www.it-daily.net | Januar/Februar 2024