Mit Rainbow Tables lassen sich Passwörter knacken. Das müssen Sie zum Thema wissen. [...]
Rainbow Tables (Deutsch: Regenbogentabellen) sind eigentlich ein alter Hut: Erste Forschungen zum Thema fanden bereits in den frühen 1980er Jahren statt. Lesen Sie, wie Rainbow Tables funktionieren und warum Sie in der Digitalisierungsära eigentlich keine Rolle mehr spielen.
Rainbow Table – Definition
Ein Rainbow Table ist eine große, vorberechnete Tabelle, die darauf konzipiert ist, den Output kryptografischer Hash-Funktionen in Klartext-Passwörter zu verwandeln. Erfunden wurden Rainbow Tables vom IT-Experten Philippe Oechslin, der seine Arbeit zum Thema im Jahr 2003 veröffentlichte. Der Begriff „Rainbow“ bezieht sich dabei auf die verschiedenen Farben innerhalb der Tabelle, mit denen verschiedene Reduktionsfunktionen und -Schritte gekennzeichnet werden.
Die Methode selbst basiert allerdings auf Forschungsergebnissen aus den frühen 1980er Jahren. Martin Hellman und Ronald Rivest beschäftigten sich damals mit den Performance-Einbußen, die zwischen Verarbeitungszeit und Speicherbedarf von Kryptoanalysen liegen („Trade-off“).
Rainbow Tables – Funktionsweise
In der Regel speichern Unternehmen die Passwörter ihrer Benutzer seit einigen Jahren im Hash-Format. Hashing-Algorithmen verwandeln Passwörter in kryptische Zeichenfolgen und machen sie somit für Außenstehenden unkenntlich. Technisch betrachtet kann eine solche Hash-Funktion umgekehrt werden – mit Hilfe von Brute-Force-Angriffen. Je größer jedoch die Anzahl der in Frage kommenden Passwörter ist, umso länger dauert es, das richtige zu identifizieren.
Geht es darum, eine Vielzahl von Passwörtern zu knacken, sorgen Rainbow Tables für eine erhebliche Komplexitätsreduktion, weil ein vorgefertigtes Datenset mit Passwort-Hashes vorliegt. Die Passwörter können mit diesem Datenset abgeglichen werden. Bei diesem Prozess werden die Hash-Files – vereinfacht ausgedrückt – in kleine Teile gesplittet und anhand von Berechnungen mit Buchstaben und Wörtern korreliert, bis das Klartext-Passwort ermittelt ist.
Der Rainbow-Table-Schöpfer Oechslin erklärt im Gespräch mit CSO: „Mit Rainbow Tables können Sie den Aufwand zum Knacken eines Passworts reduzieren, indem Sie große Mengen an aufwenden. Dazu werden die Passwörter in Ketten organisiert und nur das erste und letzte Element jeder Kette gespeichert. Die Tabellen enthalten nur einen Bruchteil der Passwörter (z. B. eines von 100.000) und ermöglichen es, alle Passwörter mit einem Bruchteil des Aufwands zu knacken. Je größer Sie die Tabelle machen, desto schneller ist das Passwort geknackt. Deshalb spricht man von einem Trade-off.“
Im Laufe der Jahre haben sich Rainbow Tables als besonders effektiv gegen den beliebten, aber besonders schwachen Hash-Algorithmus LM-Hash erwiesen, der in den frühen Tagen von Windows verwendet wurde. Dabei waren die Regenbogentabellen für Sicherheitsforscher ein Mittel, um die Effektivität von Passwort-Sicherheitsstandards zu überprüfen. Den Bedrohungsakteuren haben sie hingegen das Passwort-Cracking für maliziöse Zwecke erleichtert.
Rainbow-Table-Angriffe – Abwehrmaßnahmen
Rainbow-Table-Angriffe zu verhindern sei ganz einfach, erklärt Javvad Malik, Sicherheitsbeauftragter bei KnowBe4: „Jedem Passwort in Hash-Form muss ein ‚Salt‘ hinzugefügt werden. Wenn ein Angreifer nur in Besitz der Rainbow-Tabelle, aber nicht des Salt-Werts ist, wird er nicht in der Lage sein, das Passwort aufzudecken. Das ist ungefähr so, als würde man einen Fingerabdruck zur nehmen und dann ein zufällig gewähltes Muster darüber stempeln – ohne perfekte Übereinstimmung kein Zugang.“
Obwohl heutzutage so gut wie alle Unternehmen standardmäßig ihre Passwörter im Hash-Format abspeichern, „werden Sie immer einen Entwickler finden, der eine App oder etwas anderes mit einem erschreckend schlechten Hashing-Mechanismus entwickelt hat“, meint Malik. Auch für Unternehmen seien solche Zustände nicht auszuschließen, was die Tür für Rainbow-Table-Attacken aufstoße.
Angreifer, die nicht auf neuere oder effektivere Methoden zurückgreifen können, um Passwörter zu knacken, könnten ebenfalls auf den traditionellen Rainbow-Table-Ansatz zurückgreifen, um „ihr Glück“ zu versuchen: „Schließlich funktionieren die Regenbogentabellen in einigen Fällen immer noch sehr gut, etwa wenn GSM-A5/1-Verschlüsselung zum Einsatz kommt“, weiß Kryptograph JP Aumasson.
Rainbow Tables vs. modernes Passwort-Cracking
Im Vergleich zu modernen Passwort-Cracking-Bedrohungen seien Rainbow Tables jedoch veraltet, das Konzept längst durch fortschrittlichere, leistungsfähigere Verfahren mit weniger Einschränkungen (Stichwort Salt) ersetzt worden: „Rainbow Tables bieten im Vergleich zu GPU-basiertem Cracking nur selten einen Mehrwert, da es lange dauert sie zu generieren und sie sich nur sehr spezifisch für bestimmte Passwort-Hashes und -Typen eignen“, erklärt der Verschlüsselungs-Spezialist.
Oechslin stimmt zu und fügt hinzu, dass modernere Techniken die Rainbow Tables in den letzten zehn Jahren fast völlig in den Hintergrund gedrängt haben: „Einige Spezialfälle ausgenommen, sind sie überflüssig. Mit alternativen, GPU-gestützten Methoden hat sich die Geschwindigkeit, mit der Hashes geknackt werden können, enorm erhöht“, sagt er.
„Modernes Passwort-Knacken ist hochdynamisch und erfordert Agilität, Flexibilität und Skalierbarkeit. Rainbow Tables sind statisch, starr und überhaupt nicht skalierbar – sie sind die Antithese des modernen Passwort-Knackens. Selbst wenn Sie nicht die Leistung von GPUs haben, werden Sie mit modernen Techniken eine viel höhere Hash-Ausbeute erzielen als mit Rainbow Tables“, meint Jeremi Gosney, Gründer und CEO von Terahash.
Weiterhin relevant seien Rainbow Tables allerdings in der Aus- und Weiterbildung, wie Malik betont: „Um ein Gesamtverständnis darüber zu entwickeln, worauf Sicherheitsprofis in Sachen Passwörter achten sollten, sind Regenbogentabellen weiterhin nützlich. Darüber hinaus sind sie ein gutes Beispiel dafür, wie sich die IT-Sicherheit im Laufe der Jahre verbessert hat.“
Dieser Beitrag basiert auf einem Artikel unserer US-Schwesterpublikation CSO Online.
*Michael Hill schreibt für unsere US-Schwesterpublikation CSO Online.
Be the first to comment