PMG2022/Einführung/Elia

Wiki-Quelltext dieser Seite.

== ''' Angriffe auf Passwörter ''' ==
Passwörter werden verwendet, um Werte oder wichtige Informationen zu schützen. Logisch also, dass es Leute gibt, die versuchen, an diese Passwörter zu kommen, um damit dann meist direkt oder indirekt Geld zu „verdienen“. So gibt es verschiedene Angriffsmöglichkeiten auf Passwörter.
== Brute-Force ==
Brute-Force Angriffe gehen – wie der Name schon sagt – mit „roher Gewalt“ vor. Das Prinzip hier ist: ein Programm bzw. ein Bot probiert Passwörter für einen speziellen Account (beim Anbieter / der Website) aus, in der Hoffnung, so auf das richtige zu kommen. <br>
Da die meisten Websites / Dienste mittlerweile nur noch eine bestimmte Anzahl von Anfragen je Minute pro IP zulassen, verwenden die entsprechenden Programme / Hacker eine Menge an Proxies, um mit diese zusätzlichen vielen IPs möglichst viele Anfragen je Minute senden zu können.<br>
Eine Sicherung des Logins via Captchas wie ReCaptcha oder Ähnlichem hilft viel, da diese dann vor jeder Anfrage gelöst werden müssen. Doch auch darum gibt es einen Weg herum: die Programme / Hacker können via API entsprechende Anfragen an Dienste wie AntiCaptcha senden, die das Captcha dann von der Ferne aus durch „Arbeiter“ manuell lösen lassen. (Kosten liegen hier bei 0.5-1$/1000 gelöster Captchas) Selbst das Lösen des brandneuen hCaptchas wird bereits angeboten.<br>
Doch es gibt mehrere Möglichkeiten bzw. Systeme welche Passwörter „ausprobiert“ werden:<br>
Einerseits können einfach alle möglichen Passwörter ausprobiert werden können, sagen wir z.B. bis zu einer Länge von 8 Stellen. (Angefangen mit aaaaaaaa, aaaaaaab, etc.) Da dies allerdings eine riesige Menge an möglichen Passwörtern darstellt, wird diese Methode immer seltener verwendet (insbesondere weil die Passwörter immer länger werden).<br>
Viel effektiver ist da dann schon der Einsatz von sog. Wordlists. Diese Listen enthalten meist einige Millionen der am häufigsten / häufig genutzten Passwörter, können aber selbstverständlich auch viel mehr enthalten. Diese Passwörter werden dann alle der Reihe nach ausprobiert, und beinhalten häufig das Passwort des Opfers.
Additionell werden auch häufig zusätzlich Passwort-Kombinationen mit dem Username oder dem Namen des Opfers gebiltet (sofern bekannt), um die „Trefferrate“ zu maximieren.
== Phishing ==
Phishing ist eine der bekanntesten und sehr häufig verwendete Methode, um an Passwörter zu kommen. Hier sollte man allerdings zwischen gezieltem und unspezifischen Fishing unterscheiden, dazu später mehr.
<br><br>
Doch wie funktioniert Phishing?<br>
Nunja, hier gibt es keine festen Schemata, allgemein wird aber meist versucht, das Opfer mittels (gefälschten) Mails, Kurznachrichten o.Ä. auf Webseiten zu locken. Diese Webseiten sind meist Immitationen von Zahlungsdienstleistern oder Banking Services wie PayPal, können aber auch jegliche andere Form von Webseiten immitieren. Meist ist der Inhalt der Mails entweder etwas Alarmierendes nach dem Motto „Login wird benötigt sonst kommt es zur Löschung d. Accounts“, oder aber ein Hinweis auf einen Gewinn o.Ä. Das Ziel der Kriminellen ist es, das Opfer dazu zu bewegen, seine Login-Daten, insbesondere das Passwort, im Login der Webseiten der Kriminellen einzugeben und ihnen diese so zu übermitteln. Gibt das Opfer das Passwort ein, wird dann häufig eine Fehlermeldung angezeigt und das Opfer wird auf die „echte“ Webseite von z.B. PayPal weitergeleitet, sodass es keinen Verdacht schöpft.
<br><br>
Doch wie vorhin angedeutet unterscheidet man hier von zwei Varianten. <br>
Dem „normalen“ Fishing, bei dem z.B. Millionen Mails versendet werden, nach der Idee, „irgendwer wird schon hereinfallen“. Diese Mails sind dann häufig in schlechtem Deutsch und daran allein schon leicht zu enttarnen.<br>
Alternativ dazu gibt es dann das „Spear-Fishing“. Hier werden im Voraus gezielt Informationen über einzelne Personen / Gruppen gesammelt, um diesen dann sogar häufig von Mailadressen, die denen ihrer Freunden / Bekannten ähnlich sind, die entsprechenden Links mit passenden Nachrichten zukommen zu lassen.<br><br>
Doch es gibt noch eine ganz andere Herangehensweise an das Phishing:<br>
Das sogenannte Pharming. Hier werden die DNS Einträge des PCs des Opfers so geändert, dass es, wenn es beispielsweise die reguläre Adresse von PayPal im Browser eingibt, auf die Seite der Betrüger gelangt. Der Browser zeigt in der URL-Leiste allerdings weiterhin die URL von PayPal an, sodass sehr viele Opfer keinen Verdacht schöpfen. Die Kriminellen / Betrüger bekommen diese DNS-Änderungen u.A. mit kleinen Trojanern, oder [[PMG2022/Einführung/Lukas|anderen Angriffen auf Browsern]] hin. Diese Trojaner können z.B. in Word-Dokumenten stecken („Makros / erweiterte Inhalte aktivieren“ lässt dann den Trojaner ins Haus), oder in anderen modifizieren Dokumenten. Selbstverständlich auch in .exe Dateien, da die Leute allerdings immer weniger fremde EXEs öffnen, bedienen sich die Kriminellen raffinierteren Methoden, wie eben modifizierten Word Dateien.