Knacken von Passwörtern

So knacken Sie ein Kennwort

Daher mag es verantwortungslos klingen, wenn ich hier Anweisungen zum Knacken von Passwörtern erteile. Es ist die Höchstzahl der Stellen überschritten. So wurde ich einmal angerufen, um zu helfen, nachdem ein wütender Verwalter alle Kennwörter in einer Firma verändert hatte, bevor er sich verabschiedete. Andernfalls habe ich eine eigene Version mit einem zu testenden Artikel erhalten, aber der Sender hatte das Kennwort für das.zip-Archiv nicht mehr.

Das sind nur zwei von vielen Fällen, in denen ich mich mit der finsteren Technik des Passwortknackens auseinandersetzen musste. Es gibt keine Standardmethode, um ein Passwort zu knacken - die korrekte Vorgehensweise ist abhängig von der jeweiligen Passwortart. Auf jedenfall kann man alle Passwort-Hacks (zumindest die, mit denen ich mich beschäftigt habe) in eine dieser vier Gruppen einteilen:

Das Knacken mit der rohen Kraft bedeutet, alle erdenklichen Kombinationen von Charakteren ausprobieren, bis Sie erfolgreich sind. Sie können nicht nur mit der Eingabe von Passwörtern beginnen, wenn Sie sich bei Windows anmelden: Daher eignet sich Brute-Force-Angriffe besser für solche Daten, die ein eingebettetes Kennwort beinhalten, wie z.B. ein passwortgeschütztes Word-Dokument oder eine.zip-Datei.

Die Kunst besteht darin, ein Tool zu entwickeln, das exakt für die zu knackenden Dateien ist. Für Brute-Force-Versuche ist die benötigte Zeit abhängig von der zu knackenden Passwortlänge. Da lange Kennwörter heute die Regel sind, sollten Sie nach einem Tool Ausschau halten, das mehrere Kennwortkombinationen auf einmal ausprobieren kann.

Ich hätte eines davon so eingestellt, dass es fünf oder weniger Buchstaben hat, ein anderes für sechs oder sieben Buchstaben, das nächste für acht Buchstaben. Dieses Verfahren hat immer ganz gut geklappt - nur einmal wurde ich mit einem Kennwort mit nur einem Buchstaben ausgenutzt.

Ich habe dieses Kennwort gefunden, aber ich wollte es nicht wahrhaben und habe es weiter versucht. Zur Abwehr von Brute-Force gehören das Blockieren von Benutzern nach mehreren unzulässigen Anmeldeversuchen und die Anforderung, dass Benutzer ihre Kennwörter regelmäßig wechseln müssen. Um Angreifern den Hash-Wert aus der Windows-Registrierung oder dem Verzeichnis zu verweigern, ist es am wichtigsten, den physikalischen Angriff auf den betreffenden Computer zu unterdrücken.

Wörterbuchangriffe sind ähnlich wie bei der Anwendung von Gewalt, bei der das Crack-Tool Wörter aus einem Lexikon anstelle einer beliebigen Kombination von Zeichen auswählt. In der Vergangenheit waren sie das Mittel der Wahl, aber die Anforderungen an komplexe Passwörter machten sie nahezu aussichtslos. Dabei ist es leichter, das Kennwort zu entziffern (mit automatischen Tools) als es mit einem Brute-Force-Angriff zu erproben.

Diese Prozedur hat natürlich Ähnlichkeiten mit dem Verfahren der rohen Gewalt: Wenn Sie mit einem Tool einen Angriff auf eine aktuelle Applikation durchführen, findet im Hintergund ein Entzifferungsversuch statt: Das Tool versucht jedes mögliches Kennwort als Entschlüsselungsschlüssel. Das Bypassing ist in der Regel die schwerste Art, ein Kennwort zu knacken. Der Grundgedanke dabei ist, den Kontrollmechanismus des Passwortes zu umfahren.

Einige raubkopierte Software-Websites beispielsweise stellen selbst entwickelte Patchs zur Verfügung, mit denen Kopierschutzmechanismen und Lizenzdurchsetzung in vielen Applikationen umgangen werden können. Auch ich habe ein Kennwort umgangen. Wie ich durch den Lockdown gekommen bin, will ich Ihnen hier nicht sagen. Ich kann Ihnen auch sagen, dass ich das Kennwort nicht knackte, sondern zurücksetzte.

Am einfachsten ist es, ein Tool zu knacken, das für das jeweilige System oder die jeweilige Anwendung entwickelt wurde, die ein Problem verursacht. Aber Vorsicht: Hacker-Sites bieten viele freie Tools dieser Sorte, beinhalten aber oft auch bösartigen Programmcode. Meiner Meinung nach ist es daher besser, Passwort-Cracking-Tools von gewerblichen Providern zu haben.

Meist gibt es Testversionen, mit denen man nur äußerst knappe Kennwörter knacken kann. Sie können es testen, indem sie eine Akte mit einem so knappen Kennwort chiffrieren und sie knacken - bevor sie für das Tool bezahlen.