Passwort-Sicherheit NIST definiert neue Passwort-Regeln

Das Passwort ist nicht totzukriegen. Die amerikanische Standardbehörde NIST arbeitet an neuen Vorgaben für den Einsatz von Kennwörtern. Die gute Nachricht: Für Nutzer soll es einfacher werden, starke Passwörter zu verwenden. Rechtlich sind die Ansätze nicht bindend, für Entwickler sind sie aber eine solide Richtlinie.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

Keeper Security EMEA Ltd.

Seien wir realistisch, die Zugangskontrolle per Benutzername und Passwort wird so schnell nicht ersetzt werden. Zwar gibt es zahlreiche Ansätze und Lösungen zur sicheren Nutzung von Zugangsdaten, ohne rechtliche Vorgaben sind diese aber wenig mehr als freiwillige Vorschläge. Zumindest in den USA arbeitet das NIST (National Institute for Standards and Technologies) an einer Richtlinie, die nach Abschluss für die öffentlichen Bereiche von offiziellen Behördensystemen zur Vorgabe wird.

Aktuell befindet sich dieses Material in der Schaffensphase. Die aktuelle Version ist komplett auf Github verfügbar und kann dort oder über die Webseite des NIST diskutiert oder erweitert werden. Das ist ein erfreulich offener Ansatz, dank dem die neuen Vorgaben nicht nur von internen Experten entwickelt werden, sondern auch den Input der Öffentlichkeit erlauben. Es lohnt sich für Entwickler und Anbieter von Applikationen, dieses Dokument zu lesen und deren Vorgaben zu befolgen.

Enterprise Password Management

Kennwortverwaltung für Unternehmen

Verbesserte Ansätze für mehr Sicherheit

Im Rahmen eines Vortrags stellte NIST-Berater Jim Fenton die Änderungen vor. Die Grundidee ist, dass möglichst viele Sicherheitschecks vom Nutzer in das System verlagert werden. So sollen die Checks leichter zu bedienen sind. „Wenn es nicht nutzerfreundlich ist, werden Nutzer betrügen“, so Fenton im Vortrag. Zudem solle man die Anforderungen realistisch sehen – oft ist eine 2-Faktor-Authentifizierung einfach notwendig. Die neuen Vorgaben erfinden das Rad nicht neu, sondern setzen auf die aktuellen Anforderungen auf:

Längere Passwörter erlauben. Passwörter sollen künftig mindestens acht Zeichen lang sein, die Obergrenze sollte nicht unterhalb von 64 Zeichen liegen. Die Vorgabe reagiert auf die optimierten Cracking-Systeme, die immer schneller immer mehr Kennwörter ausprobieren können. Länger ist im Zweifel immer besser, denn dadurch steigen die Kosten für Rechenleistung, die zum Knacken notwendig sind.

Häufig genutzt Kennwörter blocken. Entwickler sollen häufig genutzte Passwörter explizit verbieten. Damit sollen Dictionary-Attacken entschärft werden, die Kennwortlisten aus größeren Leaks einfach durchprobieren. Kurz: „password“ oder „123456789“ darf nicht mehr vorkommen.

Mehr Zeichen für alle Nutzer. Bislang war man häufig aufs englische Alphabet beschränkt, künftig sollen alle druckbaren ASCII-Zeichen akzeptiert werden. Dazu gehören auch Leerzeichen. Die Idee dahinter ist, dass es Anwendern so einfacher fällt, ein Kennwort durch einen Satz zu ersetzen. Auf der technischen Seite können die Leerzeichen aber vor der Speicherung entfernt oder ignoriert werden.

Hashing und Salting. Kein Kennwort sollte im Klartext gespeichert sein. Entwickler sollten Kennwörter „hashen“ und „salten“. Beim Passwort-Hashing werden die Eingaben der Nutzer in einen Hashwert mit fester Länge verwandelt, aus dem sich das eigentliche Kennwort nicht erkennen lässt. Für die zusätzliche Sicherheit sollte ein einmaliger „Salt“-Wert hinzugefügt werden, der den eigentlichen Hash-Wert weiter anonymisiert. Dieses „Salt“ muss nicht zwingend geheim sein, sollte aber für jeden Hash einmalig sein. Ein weiterer Vorteil von Hashing und Salting: Die Kennwörter werden automatisch bereinigt, so dass keine SQL-Injection-Angriffe möglich sind.

Zeigt die Zugangsdaten. Passwörter werden bislang standardmäßig durch Sterne oder Punkte verborgen. Künftig sollten diese Daten für den Nutzer auf Wunsch einsehbar sein, um etwa bei langen Kennwörtern fehlerhafte Eingaben zu vermeiden. Das System sollte sie aber nach einiger Zeit ausblenden, damit Angreifer die Kennwörter nicht über die Schulter mitlesen können.

2-Faktor ohne SMS. Zwei-Faktor-Lösungen setzen sich immer mehr durch, häufig setzen Anbieter aber auf die SMS als Übertragungsweg für den zusätzlichen Code. SMS lassen sich zu einfach fälschen, etwa indem eine VoIP-Nummer eingetragen wird.

Kennwortverwaltung

Beliebte Passwort-Manager im Überblick

Raus mit alten Vorgaben

Neben den Verbesserungen für bestehende Ansätze trennt sich das NIST von einigen bislang fest gesetzten Funktionen:

Kein unnötiger Kennwortwechsel. Die Systeme sollen Nutzer nur noch mit einem validen Grund zum Wechsel des Kennworts auffordern, reine zeitgesteuerte Wechsel werden nicht empfohlen. Der Grund dafür ist, dass Anwender dann ältere Kennwörter einfach neu nutzen oder sich schwächere Zugangsdaten ausdenken.

Weg mit Sicherheitsfragen. Künftig sollen Systeme nicht mehr nach dem „Geburtsnamen der Mutter“ oder dem „Haustier aus der Kindheit“ fragen. Es gibt keinen Ersatz, diese Fragen haben sich in der Praxis als unsinnig und leicht zu knacken erwiesen.

Keine komplexen Regeln. Ein Passwort muss künftig nicht mehr aus großen und kleinen Buchstaben, Sonderzeichen und Zahlen bestehen, um als sicher zu gelten. Auch hier ist der Grund, dass sich Nutzer passende Kennwörter überlegen, die aber nicht zwingend sicher sein müssen.

Keine Erinnerungen mehr. Auch Funktionen zur Erinnerung an ein Kennwort sind künftig gestrichen. Sie mögen ursprünglich gut gedacht gewesen sein, allerdings nutzen ihn Anwender häufig so, dass die Kennwörter an sich leicht zu erraten sind (oder speichern das Passwort gleich darin).

Auch wenn die Vorgaben des NIST noch nicht final sind und zumindest hierzulande wohl nie rechtlich zwingend sind, lohnt es sich, diesen Ansätzen zu folgen. Nutzer sollten es künftig möglichst einfach haben, ein sicheres Kennwort zu wählen – ganz ohne dass sie komplexen und inzwischen überholten Vorgaben folgen müssen.

(ID:44396530)