Passwort + Captcha soll Brute Force verhindern

Zwei Forscher haben einen neuen Vorschlag unterbreitet, wie Logins für verschiedene Web-Angebote oder auch andere Anwendungen mit Passwort-Schutz effektiv gegen Brute-Force-Attacken geschützt werden können. Viele Angreifer verschaffen sich aktuell Zugang, in dem sie die Passwörter entschlüsseln, indem sie einen Rechner die möglichen Variationen durchprobieren lassen. Oft erleichtern die Anwender die Attacke, indem sie unsichere Passwörter verwenden. Aber auch bessere Kombinationen aus Buchstaben, Zahlen und Sonderzeichen lassen sich im Zweifelsfall unter Rückgriff auf einen Cloud-Cluster mit vertretbarem Zeitaufwand knacken.

Die Forscher vom Dresdner Max-Planck-Institut für Physik komplexer Systeme und dem kalifornischen Axioma Research schlugen deshalb in einem gemeinsamen Papier (PDF) vor, den Zugang durch eine Zweiteilung des Passwortes vor solchen Attacken zu schützen. Die Methode teilt die Passphrase dabei in zwei Teile auf.

Captcha mit falschem und richtigem Passwort Beim ersten Teil handelt es sich um eine herkömmliche Passphrase. Mit dieser wird dann allerdings erst einmal ein Captcha generiert. Dieses gibt nur bei einem korrekt eingegeben ersten Passwort ein zweites frei, dass jeweils zufällig generiert wird. Kann dieses korrekt eingegeben werden, erfolgt die Freigabe des Zugangs.

Ein Brute-Force-Angriff wäre hier schwer zu realisieren, weil faktisch jede beliebige Zeichenfolge ein Captcha-Bild generiert. Ob dieses allerdings tatsächlich ein lesbares zweites Passwort oder nur chaotisch angeordnete Pixel anzeigt, müsste der Angreifer jeweils manuell überprüfen, da es nur bedingt zuverlässige Algorithmen gibt, mit denen dies automatisiert überprüft werden kann.