Öffentliche Rainbow-Table knackt Microsoft-NTLMv1-Passwörter schnell

Die Sicherheitsfirma Mandiant hat eine umfangreiche Datenbank ver­öf­fent­licht, mit der sich administrative Passwörter, die mit Mi­cro­softs Hash-Algorithmus NTLM in Version 1 geschützt sind, innerhalb weniger Stunden knacken lassen.

Völlig veraltete Technologie

Die Veröffentlichung soll nach Angaben des Unternehmens als Weckruf dienen: Trotz seit Jahrzehnten bekannter Schwachstellen ist die Technologie weiterhin in vielen sensiblen Umgebungen im Einsatz. Bei der nun bereitgestellten Datenbank handelt es sich um eine sogenannte Rainbow-Table - eine vorkalkulierte Zuordnung von Hashwerten zu ihren Klartext-Passwörtern.

Solche Tabellen ermöglichen es, gestohlene Hashes fast unmittelbar einem Passwort zuzuordnen und so Konten zu übernehmen. Für NTLMv1 lassen sich diese Tabellen besonders leicht anlegen, da der Algorithmus nur einen begrenzten Passwortraum unterstützt. Zwar existieren Rainbow-Tabellen für NTLMv1 seit rund 20 Jahren, doch ihr praktischer Einsatz war bislang meist nur mit hohem Rechenaufwand oder teurer Spezialhardware möglich.


Mandiant erklärt indessen, dass die neue Tabelle es Sicherheitsforschern, aber auch potenziellen Angreifern ermöglicht, NTLMv1-Passwörter innerhalb von zwölf Stunden mit handelsüblicher Hardware im Wert von unter 600 Dollar zu knacken. Gehostet wird die Datenbank in der Google Cloud. Betroffen sind insbesondere Net-NTLMv1-Passwörter, die bei der Netzwerk-Authentifizierung genutzt werden, etwa für Dateifreigaben per SMB.

Druck zu Updates

Trotz der seit Langem bekannten Risiken wird NTLMv1 weiterhin in kritischen Bereichen genutzt, etwa im Gesundheitswesen, in Industrieanlagen oder anderen Umgebungen mit oft überalterter Software. Häufig verhindern inkompatible Altanwendungen oder fehlende Wartungsfenster eine schnelle Umstellung auf sicherere Alternativen wie NTLMv2. Hinzu kommen organisatorische Trägheit und Sparzwänge.

Mandiant hofft, dass die frei verfügbare Rainbow-Tabelle IT-Verantwortlichen endlich das notwendige Argumentationsmaterial liefert, um ihre Vorgesetzten von einer Migration weg von NTLMv1 zu überzeugen. Dass von der Veröffentlichung ein besonderes Risiko ausgehe, sieht man bei Mandiant nicht. Ähnliche Tabellen stünden Kriminellen vermutlich längst zur Verfügung. Das Unternehmen fordert Organisationen nachdrücklich auf, den alten Standard umgehend abzuschalten. Wer weiterhin auf NTLMv1 setze und anschließend Opfer eines Angriffs werde, habe sich "nur selbst die Schuld zu geben", so Mandiant.


Siehe auch: