Elia

Angriffe auf Passwörter

Passwörter werden verwendet, um Werte oder wichtige Informationen zu schützen. Logisch also, dass es Leute gibt, die versuchen, an diese Passwörter zu kommen, um damit dann meist direkt oder indirekt Geld zu „verdienen“. So gibt es verschiedene Angriffsmöglichkeiten auf Passwörter.

Brute-Force

Brute-Force Angriffe gehen – wie der Name schon sagt – mit „roher Gewalt“ vor. Das Prinzip hier ist: ein Programm bzw. ein Bot probiert Passwörter für einen speziellen Account (beim Anbieter / der Website) aus, in der Hoffnung, so auf das richtige zu kommen. Da die meisten Websites / Dienste mittlerweile nur noch eine bestimmte Anzahl von Anfragen je Minute pro IP zulassen, verwenden die entsprechenden Programme / Hacker eine Menge an Proxies, um mit diese zusätzlichen vielen IPs möglichst viele Anfragen je Minute senden zu können. Eine Sicherung des Logins via Captchas wie ReCaptcha oder Ähnlichem hilft viel, da diese dann vor jeder Anfrage gelöst werden müssen. Doch auch darum gibt es einen Weg herum: die Programme / Hacker können via API entsprechende Anfragen an Dienste wie AntiCaptcha senden, die das Captcha dann von der Ferne aus durch „Arbeiter“ manuell lösen lassen. (Kosten liegen hier bei 0.5-1$/1000 gelöster Captchas) Selbst das Lösen des brandneuen hCaptchas wird bereits angeboten. Doch es gibt mehrere Möglichkeiten welche Passwörter „Ausprobiert“ werden: Einerseits können einfach alle möglichen Passwörter ausprobiert werden können, sagen wir z.B. bis zu einer Länge von 8 Stellen. (Angefangen mit aaaaaaaa, aaaaaaab, etc.) Da dies allerdings eine riesige Menge an möglichen Passwörtern darstellt, wird diese Methode immer seltener verwendet (insbesondere weil die Passwörter immer länger werden). Viel effektiver ist da dann schon der Einsatz von sog. Wordlists. Diese Listen enthalten meist einige Millionen der am häufigsten / häufig genutzten Passwörter, können aber auch viel mehr enthalten. Diese Passwörter werden dann alle der Reihe nach ausprobiert, und beinhalten häufig das Passwort des Opfers. Additionell werden auch häufig zusätzlich Passwort-Kombinationen mit dem Username oder dem Namen des Opfers gebiltet (sofern bekannt), um die „Trefferrate“ zu maximieren.