Online-Passwortangriffe

Netzwerkdienste authentifizieren Benutzer in der Regel über die Kombination aus Benutzername und Passwort. Ist die Existenz eines Benutzers bekannt oder lässt sich diese ermitteln, kann ein Angreifer durch wiederholte Anmeldeversuche versuchen, das zugehörige Passwort zu erraten.

Im Gegensatz zu Offline-Angriffen findet die Überprüfung hierbei direkt gegen den Zielservice statt. Jeder Versuch erzeugt eine echte Authentifizierungsanfrage, die durch den Dienst verarbeitet wird. Der Angreifer ist damit vollständig an die Eigenschaften und Reaktionen des Zielsystems gebunden.

Ablauf und Strategien

Ein typischer Online-Passwortangriff folgt konzeptionell einem strukturierten Ablauf:

1. Benutzeridentifikation (Enumeration):
   Zunächst wird ein gültiger Benutzername identifiziert. Dies kann durch öffentliche Informationen, unterschiedliche Fehlermeldungen des Systems (z. B. „Benutzer existiert nicht“) oder durch gezielte Enumeration erfolgen.

2. Angriffsstrategie wählen:
   Abhängig von Zielsystem und Rahmenbedingungen kommen unterschiedliche Ansätze zum Einsatz:

3. Wörterbuchangriff (Dictionary Attack):
   Nutzung von Listen mit häufig verwendeten oder aus Datenlecks bekannten Passwörtern (z. B. rockyou.txt). Diese Methode reduziert den Suchraum erheblich und stellt in der Praxis den häufigsten Ansatz dar.

4. Brute-Force-Angriff:
   Systematisches Durchprobieren aller möglichen Zeichenkombinationen. Aufgrund der begrenzten Anzahl möglicher Anfragen pro Zeit ist dies online meist nur bei sehr kurzen oder stark eingeschränkten Passworträumen praktikabel.

5. Password Spraying:
   Eine spezialisierte Angriffstechnik, bei der ein einzelnes, häufig verwendetes Passwort (z. B. Winter2024!) gegen viele verschiedene Benutzernamen getestet wird. Ziel ist es, Account-Lockout-Mechanismen zu umgehen, da pro Konto nur sehr wenige Fehlversuche erzeugt werden.

Werkzeuge und Praxis

Ein verbreitetes Werkzeug zur Automatisierung solcher Angriffe ist Hydra. Es ermöglicht systematische Login-Versuche gegen verschiedene Protokolle wie SSH, FTP, RDP oder HTTP.

In der Praxis ist jedoch weniger das Werkzeug entscheidend als die Kombination aus gültigen Benutzernamen, geeigneten Passwortlisten und einer an die Schutzmechanismen des Zielsystems angepassten Strategie. In Penetration Tests wird dieser Ansatz genutzt, um die Wirksamkeit von Passwortrichtlinien sowie Detektions- und Schutzmechanismen zu überprüfen.

Limitierende Faktoren und Schutzmaßnahmen

Die Effektivität eines Online-Angriffs wird durch mehrere Faktoren deutlich eingeschränkt:

• Technische Latenz:
  Netzwerkverzögerungen begrenzen die Anzahl möglicher Anfragen pro Sekunde erheblich (typischerweise im Bereich weniger Versuche pro Sekunde im Vergleich zu Offline-Angriffen).

• Rate-Limiting und Tarpitting:
  Dienste begrenzen die Anzahl von Anfragen oder erhöhen gezielt die Antwortzeit bei wiederholten Fehlversuchen, um automatisierte Angriffe zu verlangsamen.

• Account Lockout:
  Systeme sperren Konten temporär oder dauerhaft nach einer definierten Anzahl fehlgeschlagener Anmeldeversuche.

• Multi-Faktor-Authentifizierung (MFA):
  Selbst bei korrektem Passwort scheitert die Anmeldung ohne den zweiten Faktor. Dies stellt eine der effektivsten Schutzmaßnahmen dar.

Fazit

Online-Passwortangriffe sind im Vergleich zu Offline-Szenarien deutlich ineffizienter und aufgrund ihrer direkten Interaktion mit dem Zielsystem leicht detektierbar. Ihr Erfolg hängt maßgeblich von der Qualität der verwendeten Passwörter und der Abwesenheit geeigneter Schutzmechanismen ab.

In Penetration Tests dienen sie primär als Indikator dafür, ob schwache Zugangsdaten verwendet werden und ob grundlegende Schutzmechanismen wie Rate-Limiting oder Account-Sperren implementiert sind.