Online-Passwortangriffe

Netzwerkdienste authentifizieren ihre Benutzer meist mittels eines Benutzernamens und des zugehörigen Passworts. Sofern uns die Existenz eines Benutzers bekannt ist, können wir durch mehrfache Anmeldeversuche probieren, sein Passwort zu erraten.

Hierbei hängt der Erfolg unseres Angriffs von mehreren Faktoren ab. Im Allgemeinen gilt natürlich: Je größer die Bandbreite und je niedriger die Latenz, desto mehr Anfragen können in einem festen Zeitraum an einen Dienst gestellt werden. Intelligente Dienste wie ssh erschweren jedoch einen automatisierten Prozess, indem sie beispielsweise nach dreimaliger Falscheingabe des Passworts die TCP-Verbindung zurücksetzen. Zudem können Netzwerkdienste Accountsperrungen vornehmen. Dies verdeutlicht, dass Online-Passwortangriffe einen zeitintensiven Prozess mit einer geringen Erfolgswahrscheinlichkeit darstellen. Weiterhin können Benutzer ihre Passwörter ändern und/oder komplexe Passwörter vergeben. Ein hypothetisch vollständig abgeschlossener Brute-Force-Angriff (Durchprobieren aller Möglichkeiten) kann bei während des Angriffs vorgenommenen Passwortänderungen sogar erfolglos bleiben.

Grundsätzlich können sich mittels des Tools hydra Versuche, sich in einen Dienst einzuloggen, automatisieren lassen. hydra unterstützt hierfür mehrere Protokolle wie FTP, SSH oder HTTP (→man hydra). Um den Zeitaufwand für einen solchen Angriff zu reduzieren, könnte eine Liste mit häufig verwendeten Passwörtern erstellt und abgearbeitet werden. Zu diesem Zweck existieren bereits vorgefertigte Passwortlisten in Kali Linux. Eine der bekanntesten Passwortlisten mit mehr als 14 Millionen Passwörtern ist rockyou.txt.