CR204

Oder: You shall not pass! <p>Ob für unsere Computer, E-Mails oder Bankkonten: Passwörter sind heute meist das Mittel der Wahl, um sich in der digitalen Welt zu authentifizieren. In jüngster Vergangenheit sind Internetdiensten häufiger auch millionenfach die Passwörter ihrer Nutzer “abhanden” gekommen. Wir möchten ergründen wie Passworte funktioneren, was ein gutes und was ein schlechtes Passwort ist und wie es in unterschiedlichen Situationen verwendet werden sollte. Außerdem wollen wir diskutieren, wie Passwörter sicher gespeichert werden und welcher Werkzeuge sich dunkle Gestalten bemächten, um sie zu knacken.</p> <p>Sind Passworte überhaupt noch zeitgemäß? Welche Weiterentwicklungen gibt es? Was sind Hardware-Tokens, was eine Two-Factor-Authentification und was sind diese lustigen kleinen Kästen, die immer neue Zahlen anzeigen? Und wie sicher sind doch gleich Irisscan und Fingerabdruck? Um all das geht es am Donnerstag den 22.08 im Chaosradio 204, live aus dem Chaos Computer Club Berlin in der Marienstraße 11.</p>

Moderation: Wetter (Fiona fällt wohl aus) Gäste:

Danimo

Anna Biselli

Henryk

saite? nitram? mirko? rüdi? elektra? mutax?

n/a; fefe, nicht so: mntmn (würde ohne Fiona eher weniger einspringen), carina, nicht: Linus, starbug, cryx, hannes, frankri, bogk

Ton/Video: derpeter Shownotes: http://pad.shownot.es/doc/chaosradio-204

• Willkommen bei Chaosradio, Folge …204, CCCB, Hallo Publikum. Man kann übrigens vorbeikommen… Marienstrasse 11 in Berlin. Videostream unter streaming.media.ccc.de. Chat auf #chaosradio auf Freenode.
• Thema heute

0. Themenherleitung

• Beispiele für Datendiebstähle, Suche nach “Identitätsdiebstahl” auf BSI Webseite aus 2014:

  21.01.2014 16 Millionen digitale Identitäten betroffen

  Im Rahmen der Analyse von Botnetzen durch Forschungseinrichtungen und Strafverfolgungsbehörden wurden rund 16 Millionen kompromittierte Benutzerkonten entdeckt. “Benutzer wurden informiert” :)

  https://www.bsi.bund.de/DE/Presse/Pressemitteilungen/Presse2014/Mailtest_21012014.html

  03.04.2014 - 18 Millionen digitale Identitäten betroffen

  Staatsanwaltschaft Verden (Aller) hat Daten aus einem laufenden Ermittlungsverfahrens. Botnetz missbraucht Identitäten für Spam-Mails

  https://www.bsi.bund.de/DE/Presse/Pressemitteilungen/Presse2014/Neuer_Fall_von_Identitaetsdiebstahl_07042014.html

  06.08.2014: 1.2 Milliarden digitale Identitäten betroffen

  New York Times Interview mit Hold Security (HS). HS hat die Daten in “Untergrund-Kanälen” im Internet. Die Zugangsdaten stammen angeblich von ~ 420.000 Websites.

  https://www.bsi.bund.de/DE/Presse/Pressemitteilungen/Presse2014/Milliardenfacher_Datendiebstahl_06082014.html

  Vllt. klarstellen, dass Daten“diebstahl” ein ziemliches Schwachsinnswort ist. Die Daten sind ja dann nicht weg, sondern nur unberechtigt anderen bekannt geworden

0. Wer seid ihr? Woher kommt ihr? 6×7?
1. Warum benutzen wir eigentlich Passwörter?
   • Identifikation und Berechtigung
   • Identifikation prinzipiell möglich durch:
   • Eigenschaft → Biometrie
   • Besitz → Smartcard
   • Wissen → Passwort
   • Was bringt das mir?
   • Was bringt das dem Dienstebetreiber?
   • Woher kommen Passwörter? (Aus dem Mlitär, Parolen)
   • Hierarchien: PIN vs. Passwort vs. Passphrase
   • Authentifizierung
   • Exklusivität
   • “Schlüssel zur Tür”
2. Wie funktioniert das eigentlich?

• Was passiert, wenn ich mich bspw. bei ebay einlogge?
• Warum ist eine 5-stellige Online-Banking-PIN sicher, während mein Linux mich nicht weniger als 6 Zeichen eingeben lässt?
• Was machen viele Gerätehersteller falsch (Anmeldepasswort == Verschlüsselungspassphrase)

3. Probleme von Passworten

• Fehlerhaftes Verhalten
  • Aufschreiben und Notizzettel verlieren

  • zu leichte Passwörter

    die beliebtessten passwörter vorstellen (unter einfluss von adobe-passwort-breach [http://splashdata.com/press/worstpasswords2013.htm])

    123456

    password

    12345678

    qwerty

    abc123

    123456789

    111111

    1234567

    iloveyou

    adobe123

  • Re-use
• Speichern von Passwörtern
  • Wo werden die wie gespeichert?
  • Wenn ich mich bei einem Dienst identifiziere, müssen die ja irgendwo lagern
  • Wer hat darauf Zugriff?
  • Auch BDA erwähnen
  • Zwang zur Passwortherausgabe

  • “Passwort verlust”

    → Speichern von Passwörter / Salz / Hash

    → Kollision bei ungeeigneten Hashfunktionen (all die Dienste, die noch MD5/SHA1 benutzen)

  • zero-knowledge Passwort-proofs
    • Passwort revoke?
• Usability vs. Sicherheit
  • (darf kein vs. sein, ein Unbenutzbares System wird unsicher sein, User sind da erfinderisch)
• Reset-Mechanismen sind unsicheres Einfallstor
• Unsichere Übertragung
• Kernproblem: Sie ?

Denn: Passwörter sind wie Unterwäsche – nicht verleihen, nicht rumliegen lassen und oft wechseln!

4. Passwortsicherheit und -unsicherheit

• Was ist ein schlechtes Passwort?
  • Warum?
• Wie werden sie geknackt?
  • Was für Methoden gibt es?
  • Brute-Force / Dictionary / Rainbow-Tables (Beispiele von Rechenzeiten für Brute-Force auf nem bestimmten Rechnertyp)
  • Raustragen bei Anbietern, die sie nicht vernünftig gehasht & gesaltet haben
  • Pass the Hash → PW-Hashes werden stellvertretend fuer Passworte uebergeben
  • Bruce Schneier: Unsicherheitsfaktor Mensch. Social Engineering. Hab ich ne persönlich Anekdote mit einer Telekom-Hotline zu…
  • generell Schadsoftware/Keylogger/Bundestrojaner…
  • Phising
• Was ist ein gutes Passwort?
  • Wie generiere ich ein gutes Passwort?
  • apg
  • XKCD 936
  • Anfangsbuchstaben einer Phrase
  • Entropie
• Aufbewahrung & Roll-over von Passwörtern
  • Excel-Tabelle vs. Password Manager

5. Alles was “jeder weiss” über Passwörter ist falsch

• Übliche Passwortregeln:
  • nicht auf einem Wörterbuchwort basierend
  • muss ziffern und sonderzeichen enthalten
  • darf nicht aufgeschrieben werden
  • muss regelmäßig gewechselt werden
• Woher kommen die Regeln?
• Wie hat sich das Angreifermodell seit dem geändert?
• Cargo Cult programming, oder: warum bestehen viele Systeme noch auf eye-of-newt-Passwortregeln?
• Zu welchen Problemen führt das
  • Doch aufschreiben, oder einfach zu erraten
  • Alternativ: viel vergessen, viele Passwortresets → Supportkosten, Mangelnde Sicherheit im Reset-System
  • Wechselzwang führt zu Passwortserien (GoofySep13, GoofyJan14, GoofyApr14, …)
  • Warum soll ein Passwort nach $Zeiteinheit plötzlich schlecht geworden sein
• Der Einsatzumgebung und Angreiferklasse angemessene Regeln:
  • Für die Komplexität gibt es nur eine einzige Regel: Entropie
  • Wenn Eye-of-Newt-Regeln stören, beim Hersteller/Programmierer beschweren
  • Passwörter aufschreiben und an sicherem Ort verwahren
  • Besser noch: Passwortmanager verwenden
  • Unsichere Reset-Mechanismen abschalten

6. Warum verwenden wir noch immer Passwoerter? Warum haben sich Alternativen nicht durchgesetzt (Biometrie)?

• Warum haben sich Passwörter bisher so hartnäckig gehalten?

• Was für Alternativen gibt es?

  Alternativen zu Passwörtern

  Wischdinger

  Biometrie

  Stimme

  Augapfel

  Finger

  Faceunlock

→ Biometrie ist keine Passwort-Alternative, sondern allenfalls ein 2. Faktor!

außerdem: false positives / false negatives -> ROC-Kurve

was braucht man, um einen Fingerprint zu fälschen

Authentifizierung anhand von Verhalten [http://www.behaviosec.com/products/mobile-authentication/]

• Was für sichere Alternativen gibt es?

  Two Factor Authentication (Apps, HW-Tokens)

  Man muss etwas WISSEN und etwas HABEN

  beides muss unabhängig sein

  Das WISSEN muss geheim, und das HABEN schwer/nicht kopierbar sein

  YubiKey als Hardware-Token

  gibt es auch in Software, z.B. Google Authenticator, RSA soft token

  → Wie funktionieren die?

  Single Sign On und seine Tuecken

  (Cloud-basierte) Passwort-Manager (LastPass!) und ihre Tuecken

  Token mit limitierten Berechtigungen (Github)

  Vertrauensstellung/“Passwortlose” Dienste (Kerberos/OAuth/SAML (Github)) (nur wenn zeit, ziemliches de-railing thema)

  Statistiken, wie oft wie viele Passwoerter bekanntermassen “weggekommen” sind?

  Problem mit Sicherheitsfragen (zu einfach/ergooglebar/mehrfach verwendet), s.a. Identity Theft: http://www.wired.com/2012/08/apple-amazon-mat-honan-hacking/

7. Was tun?

   Passwortmanger + Two Factor? (backuppen!)

   Passwörter generieren

   Ganze Sätze vs. seltsame Zeichenwüsten mit Sonderzeichenl

   Macht immer schön eure Backups

   Passwörter Vermeiden

   OAuth…..

Abmoderation: Wersind wir, wo gibt's das zum Nachhören, vielen Dank, usw.

Juce Rap News als Pause

Opener: Alec Empire Sy.ic Mindprint - https://soundcloud.com/white-mouse-records/mindprint (OK durch Monoxyd einholen) (03:33) Rap News Net Neutrality - http://www.youtube.com/watch?v=k-xSP_T0VqU (06:26) Professor Kliq - Wires and Flashing Lights (CC BY 3.0) (03:37) Backup paniq - Ultimate Downfall (CC BY 3.0) http://music.paniq.cc/track/ultimate-downfall TV Girl - Pantyhose (CC BY-NC 3.0) http://tvgirl.bandcamp.com/track/pantyhose-2 One Man, One Machine - http://stephenpaultaylor.bandcamp.com/track/1-man-1-machine-demo Outro: Tracky Birthday – Websiiite

http://www.heise.de/ct/meldung/c-t-zeigt-Auswege-aus-dem-Passwort-Dilemma-2289283.html http://www.theguardian.com/technology/2014/jul/16/microsoft-stop-using-strong-passwords-everywhere http://www.heise.de/ct/heft/2014-18-Kennwoerter-mit-Zettel-und-Stift-verwalten-2283904.html http://www.heise.de/ct/heft/2014-18-Ein-neues-Konzept-fuer-den-Umgang-mit-Passwoertern-2284364.html http://fionalerntprogrammieren.wordpress.com/2013/08/07/ohm-workshop-finger-print-spoofing/ http://re-publica.de/en/session/our-fear-and-apathy-towards-smartphone-attacks http://queue.acm.org/detail.cfm?id=2422416 (Rethinking Passwords, führt die aktuell verbreiteten Passwort-Regeln auf das US-Amerikanische Green Book von 1985 zurück, prägt den wunderschönen Begriff “eye-of-newt password rules”) https://subrabbit.wordpress.com/2011/08/26/how-much-entropy-in-that-password/ (Blogeintrag zur Entropieberechnung und warum Steve Gibson Mist erzählt) http://homepages.cs.ncl.ac.uk/jeff.yan/jyan_ieee_pwd.pdf (Experimentelle Untersuchung zur Merkbarkeit von Passwörtern basierend auf Phrasen)

• De Meziere: der neue Datensicherheitsminister… http://www.heise.de/newsticker/meldung/Innenminister-veroeffentlicht-Entwurf-fuer-IT-Sicherheitsgesetz-2294637.html und http://blog.fefe.de/?ts=ad0d5130

Bundesinnenminister Thomas de Maizière

• Locationtracking per SS7 https://netzpolitik.org/2014/interview-mit-tobias-engel-zu-handytracking-entwicklung-eines-eigenen-systems-ist-nicht-besonders-schwierig/

Die Washington Post berichtet, dass die Ortung von Handys immer leichter immer mehr Stellen möglich ist. So können nicht nur Polizei und Geheimdienste, sondern auch sehr kleine Mobilfunkanbieter auf die Daten auch von Nutzern anderer Netze zugreifen. Schuld daran ist SS7, das Signalisierung Protokoll Nummer 7 aus dem Jahre 1975, welches ein grundsätzliches Vertrauen aller Netzbetreiber untereinander erfordert.

• Cryptography Expert Says, 'PGP Encryption is Fundamentally Broken, Time for PGP to Die' (http://thehackernews.com/2014/08/cryptography-expert-pgp-encryption-is_19.html?m=1) ⇐= nicht wirklich ne news würde ich weg lassen
• What it feels like to be the last generation to remember life before the internet (http://qz.com/252456/what-it-feels-like-to-be-the-last-generation-to-remember-life-before-the-internet/)
• NSA liefert US-Behörden Daten per Suchmaschine (http://www.sueddeutsche.de/digital/projekt-icreach-nsa-liefert-us-behoerden-daten-per-suchmaschine-1.2104032 )
• Chaos Computer Club unterstützt Chelsea Manning und Edward Snowden (CCC Ehrenmitgliedschaft von beiden angenommen) (http://ccc.de/de/updates/2014/snowden-manning)
• Hackangriff auf Ampeln (http://www.heise.de/tr/artikel/Hackangriff-auf-Ampeln-2301450.html)
• Hack Back: Gamma / FinFisher (Bundeskriminalamt (https://netzpolitik.org/2014/hack-back-ein-do-it-yourself-guide-fuer-alle-die-keine-geduld-haben-auf-whistleblower-zu-warten/ , https://netzpolitik.org/2014/gamma-finfisher-gehackt-werbe-videos-von-exploits-und-quelltext-von-finfly-web-veroeffentlicht/ https://netzpolitik.org/2014/geheimes-dokument-bundeskriminalamt-darf-finfisherfinspy-nicht-einsetzen-versucht-einfach-neue-version-nochmal/)
• Kroes: EU-Gesetzgebung um e-Identifikation abgeschlossen https://ec.europa.eu/commission_2010-2014/kroes/en/blog/glimpses-future-%E2%80%93-opportunities-e-identification
• Thema: Link