Windows-Passwort in Sekunden geknackt (Update)

Die neue Methode stammt von Mitarbeitern des Lausanner Labors für Sicherheit und Kryptographie (LASEC) [1]. Das Labor machte bereits Anfang Jahr auf sich aufmerksam, als es Forschern gelang, das Sicherheitsprotokoll für Online-Zahlungen (SSL) innert kurzer Zeit zu knacken [2]. Nun setzt einer andere Gruppe unter der Leitung von Philippe Oechslin dem Windows-Zugangsschutz zu. Mit einem neuen Verfahren schafft sie es, ein Windows-Passwort, das nur aus Buchstaben und Zahlen besteht (alphanumerisch) in Sekunden zu knacken. Dafür benötigen die Forscher keinen riesigen Supercomputer, sondern ein Modell mit einem AMD-Athlon-2500+-Prozessor und 1,5 GB DDR-Speicher.

Laut Philippe Oechslin nutzt Windows eine relativ einfache Methode zum Verschlüsseln von Passwörtern. Andere Betriebssysteme wie etwa Unix fügen zu den eigentlichen Zeichen noch zusätzliche Werte, das so genannte "Salz", hinzu. Dadurch würden sich auch gleich lautende Passwörter unterscheiden. Philippe Oechslin empfiehlt deshalb Anwendern, in ihren Windows-Passwörtern auch Sonderzeichen zu verwenden. Dies mache das Knacken bereits viel schwerer. Administratoren sollten zusätzlich den LAN Manager Hash abschalten und nur noch den NT Hash verwenden.

Weitere Informationen zu dem Verfahren von Philippe Oechslin und seiner beiden Mitarbeiter Luca Wullschleger, Claude Hochreutiner und Maxime Mueller finden sich auf der LASEC-Homepage [3]. Wer gerne die Demonstration auf dieser Seite ausprobieren möchte, sollte beachten, dass E-Mail und Passwort im Web veröffentlicht werden. Es empfiehlt sich deshalb, für den Test einen neuen Account zu kreieren und anschliessend wieder zu löschen.