PMG2022/Einführung/Elia
Aus ProgrammingWiki
Wiki-Quelltext dieser Seite.
= Angriffe auf Passwörter = Passwörter werden verwendet, um Werte oder wichtige Informationen zu schützen. Logisch also, dass es Leute gibt, die versuchen, an diese Passwörter zu kommen, um damit dann meist direkt oder indirekt Geld zu „verdienen“. So gibt es verschiedene Angriffsmöglichkeiten auf Passwörter. == Allgemeine Schutzmöglichkeiten == (weiter oben in der Liste ≙ wichtiger)<br> -Verwendung von 2-Faktor-Authentifizierung - Verwendung von möglichst langen und einmaligen Passwörtern - Verwendung einer (guten) Virenschutzsoftware - Updaten der eigenen Software - Vorsicht beim Öffnen von Mail-Anhängen - Verwendung eines VPNs == Brute-Force == = systematisches Ausprobieren von Passwörtern, um so auf das richtige zu kommen. Brute-Force Angriffe gehen – wie der Name schon sagt – mit „roher Gewalt“ vor. Das Prinzip ist hier: ein Programm bzw. ein Bot probiert Passwörter für einen speziellen Account (beim Anbieter / der Website) aus, in der Hoffnung, so auf das richtige zu kommen. <br> Da die meisten Websites / Dienste mittlerweile nur noch eine bestimmte Anzahl von Anfragen je Minute pro IP zulassen, verwenden die entsprechenden Programme / Hacker eine Menge an [[PMG2022/Einführung/Elia/Proxy|Proxies]], um mit diese zusätzlichen vielen IPs möglichst viele Anfragen je Minute senden zu können.<br> Eine Sicherung des Logins mittels [[PMG2022/Einführung/Elia/Captcha|Captchas]] wie ReCaptcha oder Ähnlichem hilft viel, da diese dann vor jeder Anfrage gelöst werden müssen. Doch auch darum gibt es einen Weg herum: die Programme / Hacker können via API entsprechende Anfragen an Dienste wie AntiCaptcha senden, die das Captcha dann von der Ferne aus durch „Arbeiter“ manuell lösen lassen.<br> ---- <html><div><strong>Möglichkeiten bzw. Systeme welche Passwörter „ausprobiert“ werden:</strong></div> <div style="display: flex;"><div>- </div><div>Es können einfach alle möglichen Passwörter ausprobiert werden, sagen wir z.B. bis zu einer Länge von 8 Stellen. (Angefangen mit aaaa, aaab, etc.) Da dies allerdings eine riesige Menge an möglichen Passwörtern darstellt, wird diese Methode immer seltener verwendet (insbesondere weil die Passwörter immer länger werden).</div> </div> <div style="display: flex;"><div>- </div><div>Viel effektiver ist da dann der Einsatz von sog. Wordlists. Diese Listen enthalten meist einige Millionen der am häufigsten / häufig genutzten Passwörter. Diese Passwörter werden dann alle der Reihe nach ausprobiert, und beinhalten häufig das Passwort des Opfers.</div> </div> <div style="display: flex;"><div>- </div><div>Häufig werden auch zusätzlich Passwort-Kombinationen mit dem Username oder dem Namen des Opfers gebiltet (sofern bekannt).</div></div></html> ---- '''Möglicher Schutz:'''<br> - Verwendung von langen Passwörtern<br> - Verwendung von einmaligen Passwörtern<br> == Phishing == = Versuch, mit gefälschten Präsenzen, an persönliche Daten & Zugangsdaten zu kommen. [[Bild:Hilseduck_Phishing.png|200px|thumb|left|Screenshots von 2 Phishing Mails]] Phishing ist eine der bekanntesten und sehr häufig verwendete Methode, um an Passwörter zu kommen. Hier sollte man allerdings zwischen gezieltem und unspezifischen Fishing unterscheiden, dazu später mehr. Beim Phishing gibt es keine festen Schemata, allgemein wird aber meist versucht, das Opfer mittels (gefälschten) Mails, Kurznachrichten o.Ä. auf Webseiten zu locken. Diese Webseiten sind meist Immitationen von Zahlungsdienstleistern oder Banking Services wie PayPal, können aber auch jegliche andere Form von Webseiten immitieren. Meist ist der Inhalt der Mails entweder etwas Alarmierendes nach dem Motto „Login wird benötigt sonst kommt es zur Löschung d. Accounts“, oder aber ein Hinweis auf einen Gewinn o.Ä. Das Ziel der Kriminellen ist es, das Opfer dazu zu bewegen, seine Login-Daten, insbesondere das Passwort, im Login der Webseiten der Kriminellen einzugeben und ihnen diese so zu übermitteln. Gibt das Opfer das Passwort ein, wird dann häufig eine Fehlermeldung angezeigt und das Opfer wird auf die „echte“ Webseite von z.B. PayPal weitergeleitet, sodass es keinen Verdacht schöpft. <br> ---- <html><div><strong>Formen:</strong></div> <div style="display: flex;"><div>- </div><div>„klassisches“ Fishing: hier werden z.B. Millionen Mails versendet, nach der Idee, „irgendwer wird schon darauf hereinfallen“. Diese Mails sind dann häufig in schlechtem Deutsch und daran allein schon leicht zu enttarnen.</div></div> <div style="display: flex;"><div>- </div><div>Spear-Fishing: Hier werden im Voraus gezielt Informationen über einzelne Personen / Gruppen gesammelt, um diesen dann sogar häufig von Mailadressendie denen ihrer Freunden / Bekannten ähnlich sind, die entsprechenden Links mit passenden Nachrichten zukommen zu lassen.</div></div></html> ---- '''Möglicher Schutz''': <br> - Vorsicht beim Öffnen von E-Mail Anhängen, auch wenn die Mailadresse d. Absenders legitim aussieht.<br> - Nutzung eines aktuellen (und guten) Virenschutz zur Vermeidung von Trojanern o.Ä. == Pharming == = Ändern der DNS-Einträge des Opfers, um sie auf gefälschte Webseiten zu leiten und Ihnen dort Zugangsdaten & persönliche Daten zu entlocken. Die DNS-Einträge des PCs des Opfers so geändert, dass es, wenn es beispielsweise die reguläre Adresse von PayPal im Browser eingibt, auf die Seite der Betrüger gelangt. Der Browser zeigt in der URL-Leiste allerdings weiterhin die URL von PayPal an, sodass sehr viele Opfer keinen Verdacht schöpfen. Die Kriminellen bekommen diese DNS-Änderungen u.A. mit kleinen Trojanern, oder [[PMG2022/Einführung/Lukas| anderwertigen Angriffen auf Browsern]] hin. Diese Trojaner können z.B. in Word-Dokumenten stecken („Makros / erweiterte Inhalte aktivieren“), oder in anderen modifizieren Dokumenten. Selbstverständlich auch in .exe Dateien, da die Leute allerdings immer weniger fremde EXEs öffnen, bedienen sich die Kriminellen raffinierterer Methoden, wie eben modifizierter Word Dateien.<br> ---- '''Möglicher Schutz:'''<br> - Verwenden der neuesten Browserversion<br> - Verwenden eines Virenschutzes der die DNS-Einträge bzw. die "hosts" Datei überwacht<br> == Angriffe auf Databases == = Angriff auf eine [[/PMG2022/Einführung/Elia/Database|Database]] einer Website, um so an alle darin gespeicherten Zugangsdaten & persönlichen Daten zu kommen. [[Bild:Hilseduck_DataBase_Dump.png|200px|thumb|left|Beispielhaftes Programm zum Angreifen von Databases]] Bei Angriffen auf Databases haben es die Kriminellen nicht weniger als auf die Passwörter / Login Daten sämtlicher Kunden / User einer Webseite abgesehen. Es werden sich meist einzelne Ziele gesucht, und diese dann systematisch Angegriffen, oder eben unbekannte Schwachstellen ausgenutzt.<br> ---- '''Angriffsmethoden:'''<br> - [[/PMG2022/Einführung/Elia/SQL-Injection|SQL-Injection]]<br> - [[#Brute-Force|Brute-Force]]<br> - Ausnutzung anderwertiger Schwachstellen<br> ---- Wenn die Angriffe glücken, kommen die Kriminellen an Millionen Zugangsdaten. Diese sind zwar gewöhnlich verschlüsselt, aber meist mit sehr verbreiteten (schwächeren) Verschlüsselungsverfahren wie SHA1. Die können mithilfe von großen Wordlists und [[/PMG2022/Einführung/Elia/Rainbow-Tables|Rainbow-Tables]] mittlerweile relativ einfach entschlüsselt werden; komplexere Verschlüsselungsverfahren wie SHA256 machen es den Kriminellen wesentlich schwerer, die Passwörter / Daten zu entschlüsseln. <br> <!--Am weitesten verbreitet für die Entschlüsselung von Passwörtern ist das OpenSource-Programm HashCat, das offiziell der „password recovery“ (also der Passwort-Wiederherstellung) dient.<br>--> Diese entschlüsselten Daten werden dann verkauft, von den Käufern häufig weiterverkauft, usw. So verbreiten sich die Daten sehr schnell im Deepweb/Darkweb.<br> <!--Die Daten werden letzendlich sehr häufig an sogenannte [[/PMG2022/Einführung/Elia/Cracker|Cracker]] weiterverkauft, die dann diese ihrerseits mittels systematischem Cracking von Accounts „weiterverarbeiten“.--> ---- '''Möglicher Schutz:'''<br> - Dienste wie [https://monitor.firefox.com/ Firefox Monitor] zeigen einem die neuestens Hacks bzw. Leaks an und können zudem testen, ob man von entsprechendem betroffen ist, oder nicht. <br> - Die Verwendung von einmaligen & langen Passwörtern macht es den Angreifern extrem schwer, die erbeuteten verschlüsselten Passwörter zu entschlüsseln == Keylogging == = Aufzeichnen von allem, was in die Tastatur eingegeben wird, um so die Passwörter / Login-Daten des Opfers herauszufinden. [[Bild:Hilseduck_USB_Hardware_Keylogger.jpg|200px|thumb|left|USB Hardware Keylogger]] Keylogging kann sowohl phyisch (mit Hardware-Keyloggern) als auch virtuell (mit Software-Keyloggern) geschehen. Hier wird alles aufgezeichnet, was in eine Tastatur eingegeben wird, und potentielle Passwörter & Email-Adressen dann entsprechend markiert. Virtuell kann dies u.A. mit einem Trojaner geschehen, der auf verschiedenen Wegen auf den Computer eines Opfer gelangen kann, siehe Phishing. Doch Keylogging kann auch physisch eingesetzt werden. Physische Keylogger sind meist kleine USB-Brücken, die dann zwischen Tastatur und PC gesteckt werden. Eingesetzt werden sie meist aber nur in (fremden) Arbeitsplätzen in Unternehmen, Bilbiotheken & InternetCafes. Diese physischen Keylogger kommen jedoch immer seltener zum Einsatz. <br> ---- '''Möglicher Schutz:'''<br> - Nutzung eines aktuellen und guten Virenschutz zur Vermeidung von Trojanern o.Ä.<br> - (Regelmäßiges) Überprüfen der USB-Ports <br> <br> <br> <br> == Man-in-the-Middle == = Angreifer schaltet sich zwischen Sender und Empfänger (im Netzwerk) und kann so (unverschlüsselte) übermittelte Daten mitlesen und ggf. manipulieren. ''Genaueres dazu [[PMG2022/Einführung/Marie|hier]].''<br> ---- '''Möglicher Schutz:'''<br> - öffentliche & "unverschlüsselte" Netzwerke meiden<br> - Verwendung eines [[PMG2022/Einführung/Heinrich/VPN|VPNs]], der den Datenverkehr verschlüsselt.<br> >> Persönliche Empfehlung (für den Anfang): [https://protonvpn.com/ ProtonVPN Free]<br> === Eavesdropping === = Unterform der Man-in-the-Middle Angriffe. Hier hält der Angreifer allerdings zwei seperate Verbindungen zu den beiden Opfern (Sender & Empfänger), statt sich "dazwischenzuschalten". ''Genaueres dazu [[PMG2022/Einführung/Heinrich|hier]].''<br> ---- '''Möglicher Schutz:'''<br> - öffentliche & "unverschlüsselte" Netzwerke meiden<br> - Verwendung eines [[PMG2022/Einführung/Heinrich/VPN|VPNs]], der den Datenverkehr verschlüsselt.<br> >> Persönliche Empfehlung (für den Anfang): [https://protonvpn.com/ ProtonVPN Free]<br> == Quellen == [1] -- https://www.onelogin.com/de/learn/6-types-password-attacks <br> [2] -- https://www.avg.com/de/signal/what-is-pharming <br> [3] -- https://www.bcs.org/content-hub/top-ten-database-attacks/ <br> [4] -- https://security.stackexchange.com/questions/77241/are-vpns-vulnerable-to-active-man-in-the-middle-attacks <br> [5] -- Elia Hilse // Eigenwissen <br>