Passwort-Sicherheit

NIST definiert neue Passwort-Regeln

| Autor / Redakteur: Moritz Jäger / Peter Schmitz

Mit neuen Vorgaben will das amerikansiche NIST künftig den Einsatz von Kennwörtern leichter und sicherer machen.
Mit neuen Vorgaben will das amerikansiche NIST künftig den Einsatz von Kennwörtern leichter und sicherer machen. (Bild: pixabay / CC0)

Das Passwort ist nicht totzukriegen. Die amerikanische Standardbehörde NIST arbeitet an neuen Vorgaben für den Einsatz von Kennwörtern. Die gute Nachricht: Für Nutzer soll es einfacher werden, starke Passwörter zu verwenden. Rechtlich sind die Ansätze nicht bindend, für Entwickler sind sie aber eine solide Richtlinie.

Seien wir realistisch, die Zugangskontrolle per Benutzername und Passwort wird so schnell nicht ersetzt werden. Zwar gibt es zahlreiche Ansätze und Lösungen zur sicheren Nutzung von Zugangsdaten, ohne rechtliche Vorgaben sind diese aber wenig mehr als freiwillige Vorschläge. Zumindest in den USA arbeitet das NIST (National Institute for Standards and Technologies) an einer Richtlinie, die nach Abschluss für die öffentlichen Bereiche von offiziellen Behördensystemen zur Vorgabe wird.

Aktuell befindet sich dieses Material in der Schaffensphase. Die aktuelle Version ist komplett auf Github verfügbar und kann dort oder über die Webseite des NIST diskutiert oder erweitert werden. Das ist ein erfreulich offener Ansatz, dank dem die neuen Vorgaben nicht nur von internen Experten entwickelt werden, sondern auch den Input der Öffentlichkeit erlauben. Es lohnt sich für Entwickler und Anbieter von Applikationen, dieses Dokument zu lesen und deren Vorgaben zu befolgen.

Kennwortverwaltung für Unternehmen

Enterprise Password Management

Kennwortverwaltung für Unternehmen

28.10.16 - Das Kennwort-Management im Unternehmen ist zu wichtig, um es über ein Excel-Dokument zu erledigen. In diesem Beitrag stellen wir sechs Passwort-Management-Lösungen für Teams, Firmen und externe Mitarbeiter vor, mit der Zugangsdaten sicher gespeichert und verschlüsselt getauscht werden können. Wahlweise aus der Cloud oder für die lokale Installation im Unternehmen. lesen

Verbesserte Ansätze für mehr Sicherheit

Im Rahmen eines Vortrags stellte NIST-Berater Jim Fenton die Änderungen vor. Die Grundidee ist, dass möglichst viele Sicherheitschecks vom Nutzer in das System verlagert werden. So sollen die Checks leichter zu bedienen sind. „Wenn es nicht nutzerfreundlich ist, werden Nutzer betrügen“, so Fenton im Vortrag. Zudem solle man die Anforderungen realistisch sehen – oft ist eine 2-Faktor-Authentifizierung einfach notwendig. Die neuen Vorgaben erfinden das Rad nicht neu, sondern setzen auf die aktuellen Anforderungen auf:

Längere Passwörter erlauben. Passwörter sollen künftig mindestens acht Zeichen lang sein, die Obergrenze sollte nicht unterhalb von 64 Zeichen liegen. Die Vorgabe reagiert auf die optimierten Cracking-Systeme, die immer schneller immer mehr Kennwörter ausprobieren können. Länger ist im Zweifel immer besser, denn dadurch steigen die Kosten für Rechenleistung, die zum Knacken notwendig sind.

Häufig genutzt Kennwörter blocken. Entwickler sollen häufig genutzte Passwörter explizit verbieten. Damit sollen Dictionary-Attacken entschärft werden, die Kennwortlisten aus größeren Leaks einfach durchprobieren. Kurz: „password“ oder „123456789“ darf nicht mehr vorkommen.

Mehr Zeichen für alle Nutzer. Bislang war man häufig aufs englische Alphabet beschränkt, künftig sollen alle druckbaren ASCII-Zeichen akzeptiert werden. Dazu gehören auch Leerzeichen. Die Idee dahinter ist, dass es Anwendern so einfacher fällt, ein Kennwort durch einen Satz zu ersetzen. Auf der technischen Seite können die Leerzeichen aber vor der Speicherung entfernt oder ignoriert werden.

Hashing und Salting. Kein Kennwort sollte im Klartext gespeichert sein. Entwickler sollten Kennwörter „hashen“ und „salten“. Beim Passwort-Hashing werden die Eingaben der Nutzer in einen Hashwert mit fester Länge verwandelt, aus dem sich das eigentliche Kennwort nicht erkennen lässt. Für die zusätzliche Sicherheit sollte ein einmaliger „Salt“-Wert hinzugefügt werden, der den eigentlichen Hash-Wert weiter anonymisiert. Dieses „Salt“ muss nicht zwingend geheim sein, sollte aber für jeden Hash einmalig sein. Ein weiterer Vorteil von Hashing und Salting: Die Kennwörter werden automatisch bereinigt, so dass keine SQL-Injection-Angriffe möglich sind.

Zeigt die Zugangsdaten. Passwörter werden bislang standardmäßig durch Sterne oder Punkte verborgen. Künftig sollten diese Daten für den Nutzer auf Wunsch einsehbar sein, um etwa bei langen Kennwörtern fehlerhafte Eingaben zu vermeiden. Das System sollte sie aber nach einiger Zeit ausblenden, damit Angreifer die Kennwörter nicht über die Schulter mitlesen können.

2-Faktor ohne SMS. Zwei-Faktor-Lösungen setzen sich immer mehr durch, häufig setzen Anbieter aber auf die SMS als Übertragungsweg für den zusätzlichen Code. SMS lassen sich zu einfach fälschen, etwa indem eine VoIP-Nummer eingetragen wird.

Beliebte Passwort-Manager im Überblick

Kennwortverwaltung

Beliebte Passwort-Manager im Überblick

01.02.17 - Programme zur Kennwortverwaltung sind praktisch und nehmen dem Anwender das Merken langer Zeichenkombinationen ab. Passwort-Manager gehören inzwischen ins Arsenal von IT-Profis. In diesem Artikel stellen wir mehrere Lösungen vor. Neben Cloud-basierten Applikationen und lokal installierten Managern zeigen wir drei Lösungen, die Kennwörter nicht speichern sondern bei Bedarf berechnen. lesen

Raus mit alten Vorgaben

Neben den Verbesserungen für bestehende Ansätze trennt sich das NIST von einigen bislang fest gesetzten Funktionen:

Kein unnötiger Kennwortwechsel. Die Systeme sollen Nutzer nur noch mit einem validen Grund zum Wechsel des Kennworts auffordern, reine zeitgesteuerte Wechsel werden nicht empfohlen. Der Grund dafür ist, dass Anwender dann ältere Kennwörter einfach neu nutzen oder sich schwächere Zugangsdaten ausdenken.

Weg mit Sicherheitsfragen. Künftig sollen Systeme nicht mehr nach dem „Geburtsnamen der Mutter“ oder dem „Haustier aus der Kindheit“ fragen. Es gibt keinen Ersatz, diese Fragen haben sich in der Praxis als unsinnig und leicht zu knacken erwiesen.

Keine komplexen Regeln. Ein Passwort muss künftig nicht mehr aus großen und kleinen Buchstaben, Sonderzeichen und Zahlen bestehen, um als sicher zu gelten. Auch hier ist der Grund, dass sich Nutzer passende Kennwörter überlegen, die aber nicht zwingend sicher sein müssen.

Keine Erinnerungen mehr. Auch Funktionen zur Erinnerung an ein Kennwort sind künftig gestrichen. Sie mögen ursprünglich gut gedacht gewesen sein, allerdings nutzen ihn Anwender häufig so, dass die Kennwörter an sich leicht zu erraten sind (oder speichern das Passwort gleich darin).

Auch wenn die Vorgaben des NIST noch nicht final sind und zumindest hierzulande wohl nie rechtlich zwingend sind, lohnt es sich, diesen Ansätzen zu folgen. Nutzer sollten es künftig möglichst einfach haben, ein sicheres Kennwort zu wählen – ganz ohne dass sie komplexen und inzwischen überholten Vorgaben folgen müssen.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44396530 / Passwort-Management)