Neuartiger Passwort-Schutz bei PrivaSphere

15. Februar 2016 um 16:38
  • security
  • privasphere
image

PrivaSphere, Schweizer Anbieter einer Lösung für sicheres E-Mail, hat zusammen mit IBM Research Zürich ein neuartiges, kryptographisches Protokoll zum Schutz von Passwörtern in die Infrastruktur für PrivaSphere Secure Messaging integriert.

PrivaSphere, Schweizer Anbieter einer Lösung für sicheres E-Mail, hat zusammen mit IBM Research Zürich ein neuartiges, kryptographisches Protokoll zum Schutz von Passwörtern in die Infrastruktur für PrivaSphere Secure Messaging integriert. Das neue System basiert auf einer über mehrere Server verteilten Verifikation von Passwörtern.
Der Hash-Code eines Passworts ist dabei laut PrivaSphere weiterhin zentral in einer Datenbank bei einem Dienstleister gespeichert. Der Hash-Code ist aber verschlüsselt und zu seiner Entschlüsselung müssen, wie PrivaSphere erläutert, mehrere andere Server, die jeweils über eigene geheime Schlüssel verfügen, beitragen. Um den Hash-Code zu entschlüsseln - das ist die Voraussetzung für den Versuch, ihn danach mit Brute-Force-Methoden zu knacken - müssten Angreifer also die Kontrolle über alle beteiligten Server gleichzeitig übernehmen, so PrivaSphere. Die verschlüsselten Passwörter seien zudem aufgrund des Systems auch nicht angreifbar, wenn Angreifer sie vom zentralen Server herunterladen könnten.
Eines der wichtigen Features des Systems ist es auch, dass die Schlüssel der beteiligten Server schnell und einfach ausgetauscht werden können, entweder wenn ein Angriff erkannt oder vermutet wird oder auch automatisch in einem regelmässigen Turnus. Dies sollte es Angreifern auch beinahe unmöglich machen, die Server einen nach dem anderen zu übernehmen und so die zentrale Hash-Code-Datenbank zu entschlüsseln.
Knackpunkt einfache Passworterneuerung
Laut einem Blogbeitrag von IBM ist die Idee der verteilten Verifikation von Passwörtern an sich nicht neu. Zudem werde sie schon seit mehr als einem Jahrzehnt in gewissen kommerziell erhältlichen Produkten angewendet. Die eigentliche Innovation sei aber der oben erwähnte Mechanismus zur Passworterneuerung auf den Servern. Die bisher dafür verwendeten Protokolle seien entweder sichereitstechnisch fragwürdig gewesen, oder zu ineffizient, um sie in Systemen mit einer hohen Belastung einzusetzen.
Insgesamt - und das dürfte die Enduser am meisten freuen - sollte so auch der Gebrauch von relativ einfachen Passwörtern bei gleichbleibend hoher Sicherheit möglich sein. (hjm)

Loading

Mehr zum Thema

image

Wurde Lockbit zerschlagen?

Ermittler haben den Spiess umgedreht. Auf der Darknet-Seite der Ransomware-Bande zeigt ein Timer, wann die Website abgeschaltet werden soll. Ist das schon das Ende von Lockbit?

publiziert am 20.2.2024
image

Millionen-Kopfgeld auch für Chefs der Alphv-Bande

Nach Hive nimmt die US-Regierung eine weitere Ransomware-Bande ins Visier. Sie hatte in der Schweiz unter anderem Bernina attackiert.

publiziert am 19.2.2024
image

Schwachstellen der deutschen E-ID gibt es auch bei Schweizer Lösung

Aufgrund einer Sicherheitslücke kann die deutsche E-ID dazu genutzt werden, um unter fremdem Namen ein Bankkonto zu eröffnen. Nach aktuellem Stand wäre dies auch beim digitalen Pass der Schweiz möglich.

publiziert am 19.2.2024 1
image

Podcast: Wie geht es Xplain 8 Monate nach dem Cyberangriff?

Anfang Monat hat sich Xplain erstmals öffentlich zum Hackerangriff geäussert. Wenige Tage danach kündigte der Kanton Waadt den Vertrag mit dem Unternehmen. Wir reden darüber, was das bedeutet und wie es weitergeht.

publiziert am 16.2.2024