DE102013215407A1

DE102013215407A1 - Verfahren zur Erhöhung der Sicherheit von Passwörtern

Info

Publication number: DE102013215407A1
Application number: DE102013215407.0A
Authority: DE
Inventors: Kai Tödter; Timo Wolf
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2013-08-06
Filing date: 2013-08-06
Publication date: 2015-02-12

Abstract

Die Erfindung betrifft im Wesentlichen ein Verfahren zur Erhöhung der Sicherheit von Passwörtern, bei dem ein Passwort dadurch gebildet wird, dass vom Benutzer ein Muster mit mindestens einem statischen und mindestens einem dynamischen Teil festgelegt wird, dass der mindestens eine statische Teil des Passworts zumindest für eine gewisse Zeit unverändert bleibt und dass der mindestens eine dynamische Teil durch zyklische Auswahl einer bestimmten Anzahl von Zeichen aus einer endlichen Zeichenfolge oder durch zyklische Auswahl einer jeweiligen Zeichenkette aus einer endlichen Liste von beliebigen Zeichenketten gebildet wird und bei dem das Passwort dadurch auf Richtigkeit überprüft wird, dass ein zu überprüfendes Passwort mit Hilfe des Musters in mindestens einen statischen und in mindestens einen dynamischen Teil des zu überprüfenden Passwortes getrennt und diese Teile mit den entsprechenden Teilen des jeweils aktuell gültigen Passwortes verglichen werden. Der Vorteil hierbei ist, dass eine deutliche Sicherheitssteigerung ohne zusätzliche Hardware, wie bspw. Tokencards, nur durch eine reine Software-Lösung erreicht wird.

Description

Die Erfindung betrifft ein Verfahren zur Erhöhung der Sicherheit von Passwörtern, bei dem ein Passwort aus einem vom Benutzer ausgedachten Passwortanteil und einem weiteren Anteil gebildet wird.
Heutzutage werden in vielen Situationen Passwörter verwendet, zum Beispiel auf Web-Seiten, aber auch bei Geldautomaten oder anderen elektronischen Geräten. Vor allem die Sicherheit von statischen bzw. immer gleichen Passwörtern ist jedoch durchaus problematisch.
Das Problem wird bislang damit gelöst, dass der Benutzer im Besitz einer sogenannten Tokenkarte ist, auf der eine Zeichenfolge sichtbar ist, die sich in einem bestimmten Zeitintervall ändert, und dass das Passwort aus einer Kombination eines vom Benutzer ausgedachten Teilpasswortes und des gerade angezeigten Tokens gebildet wird.
Die der Erfindung zu Grunde liegende Aufgabe besteht nun darin, ein Verfahren zur Erhöhung der Sicherheit von Passwörtern anzugeben, bei dem möglichst auch ohne zusätzliche Hardware eine deutliche Sicherheitssteigerung erreicht wird.
Diese Aufgabe wird durch die Merkmale des Patentanspruchs 1 erfindungsgemäß gelöst. Die weiteren Ansprüche betreffen bevorzugte Ausgestaltungen der Erfindung, ein Computerspeichermedium und eine Vorrichtung zur Durchführung dieses Verfahrens.
Die Erfindung betrifft im Wesentlichen ein Verfahren zur Erhöhung der Sicherheit von Passwörtern, bei dem ein Passwort dadurch gebildet wird, dass vom Benutzer ein Muster mit mindestens einem statischen und mindestens einem dynamischen Teil festgelegt wird, dass der mindestens eine statische Teil des Passworts zumindest für eine gewisse Zeit unverändert bleibt und dass der mindestens eine dynamische Teil durch zyklische Auswahl einer bestimmten Anzahl von Zeichen aus einer endlichen Zeichenfolge oder durch zyklische Auswahl einer jeweiligen Zeichenkette aus einer endlichen Liste von beliebigen Zeichenketten gebildet wird und bei dem das Passwort dadurch auf Richtigkeit überprüft wird, dass ein zu überprüfendes Passwort mit Hilfe des Musters in mindestens einen statischen und in mindestens einen dynamischen Teil des zu überprüfenden Passwortes getrennt und diese Teile mit den entsprechenden Teilen des jeweils aktuell gültigen Passwortes verglichen werden. Der Vorteil hierbei ist, dass eine deutliche Sicherheitssteigerung ohne zusätzliche Hardware, wie bspw. Tokencards, nur durch eine reine Software-Lösung erreicht wird.
Nachfolgend wird die Erfindung anhand von in der Zeichnung dargestellten Ausführungsbeispielen näher erläutert.
Mit dem erfindungsgemäßen Verfahren wird ein Konzept vorgestellt, dass die Sicherheit von Passwörtern deutlich erhöht, indem auch hier eine dynamische Komponente eingeführt wird.
Die Figur zeigt zur Erläuterung des erfindungsgemäßen Verfahrens beispielhaft wie aus einer Liste L mit bspw. vier Zweiergruppen 1 bis 4 von Zeichen ein zweites Passwort PW2, das aus einem ersten statischen Teil S1, einem aus der zweiten Zweiergruppe 2 der Liste stammenden dynamischen Teil D und einem zweiten statischen Teil S2 besteht, gebildet wird.
Ein Benutzer wählt aus einer gegebenen Menge von Mustern ein bestimmtes Muster bzw. Format aus, hier z.B. das Muster <ssss><dd><ssss>, wobei ein „s“ hier für eine Stelle eines statischen Anteils und „d“ für eine Stelle eines dynamischen Anteils im Passwort steht.
Nun bestimmt der Benutzer eine Zeichenfolge, aus der der zweistellige dynamische Anteil <dd> hergeleitet werden soll.
Um es sich gut merken zu können, wählt der Benutzer bspw. das Geburtsdatum seiner Frau, z.B. 13.08.1970, als Zahlenfolge also 13081970. Aus Dieser Zahlenfolge werden dann später bspw. jeweils 2 Ziffern <dd> in den dynamischen Teil des Musters eingefügt, also für das erste Passwort „13“, für das zweite „08“, usw. Wenn die Liste abgearbeitet ist, beginnt die Auswahl dann wieder von vorne bzw. sie wird einfach zyklisch fortgesetzt. Hieraus wird auch deutlich, dass die Sicherheit durch längere Listen vergrößert werden kann.
Für die ersten statischen Teil <ssss> wählt der Benutzer bspw. „blau“, für den zweiten statischen Teil <ssss> wählt er bspw. „yo!!“. Das erste gültige Passwort wäre in diesem Fall also „blau13yo!!“.
Nachdem sich der Benutzer mit diesem Passwort erfolgreich identifiziert hat, würde ein weiterer Versuch mit diesem Passwort fehlschlagen, nur das Passwort „blau08yo!!“ würde erfolgreich sein.
Ein solches Muster oder Format kann allgemein ein oder mehrere statische und ein oder mehrere dynamische Teile bzw. Anteile aufweisen.
Zur Festlegung des Musters ist hier ein festvorgegebenes Muster, eine Liste von auswählbaren Mustern oder ein frei bestimmbares Muster denkbar.
Die statischen Teile des Passworts werden entsprechend ihrer Stellen zumindest für eine gewisse Zeit mit den gleichen Zeichenkombinationen belegt.
Die dynamischen Teile werden hingegen bspw. durch zyklische Auswahl einer dem Muster entsprechenden Stellenzahl, bspw. 2 im Falle von <dd>, aus einer endlichen Zeichenfolge gebildet.
Ferner kann ein dynamischer Anteil alternativ auch durch zyklische Auswahl aus einer Liste von beliebigen Zeichenketten, z.B. „rot“, „grün“, „blau“, „gelb“, gebildet werden, wobei hier der dynamische Teil sogar eine nicht einheitliche Stellenzahl aufweisen kann.
Ferner kann ein dynamischer Anteil bspw. auch aus dem aktuellen Monat als zweistellige Ziffernfolge gebildet werden.
In entsprechender Weise erfolgt dann auch eine Überprüfung, wobei ein zu überprüfendes Passwort mit Hilfe des Musters in mindestens einen statischen und in mindestens einen dynamischen Teil des zu überprüfenden Passwortes getrennt und diese Teile mit den entsprechenden Teilen des jeweils aktuell gültigen Passwortes auf entsprechende Übereinstimmung verglichen werden.
Optional kann das Verfahren auch einen Hinweismechanismus beinhalten, der dem Benutzer vorab, bevor das Passwort eingegeben wird, den mindestens einen dynamische Teil des zuletzt verwendeten Passwortes zur Verfügung stellt. Wenn also bspw. die endliche Zeichenfolge wie im ersten Beispiel 13081970 ist, könnte der Hinweis „19“ sein, wodurch der Benutzer weiß, dass jetzt „70“ der aktuell gültige dynamische Teil sein muss.
Das erfindungsgemäße Verfahren tritt an die Stelle einer bisher üblichen Prozedur zur Vereinbarung eines gewünschten Passworts und auch an die Stelle einer bisher üblichen Prozedur für die spätere Verifikation dieses Passworts.
Das erfindungsgemäße Verfahren wird dabei entweder in zwei für die Passworterstellung und die Passwortüberprüfung getrennten sicheren Applikationsprogrammen oder aber in einem gemeinsamen sicheren Applikationsprogramm realisiert. Die Applikationsprogramme somit auch in entsprechenden getrennten bzw. unterschiedlichen Geräten oder aber auf ein und demselben Gerät ablaufen.
Bei einer sicheren Applikation zur Durchführung des erfindungsgemäßen Verfahrens sollte zumindest die endliche Zeichenfolge bzw. endliche Liste von beliebigen Zeichenketten verschlüsselt gespeichert sein, damit eine Lokalisation bzw. einfache Entnahme aus dem Programmcode verhindert wird.
Sowohl die Applikation zur Passworterstellung als auch die Applikation zur Überprüfung kann auf einem Gerät, wie bspw. einem Smartphone oder Tablet, oder aber über eine sichere Internetverbindung auf einem entsprechenden Server laufen. Weiterhin muss der Benutzer vor allem auf sichere Weise den dynamischen Anteil bestimmen können.

Claims

Verfahren zur Erhöhung der Sicherheit von Passwörtern, bei dem ein Passwort dadurch gebildet wird, – dass vom Benutzer ein Muster mit mindestens einem statischen und mindestens einem dynamischen Teil festgelegt wird, – dass der mindestens eine statischen Teil des Passworts entsprechend seiner jeweiligen Stellenzahl belegt wird und zumindest für eine gewisse Zeit unverändert bleibt und – dass der mindestens eine dynamische Teil durch zyklische Auswahl einer bestimmten Anzahl von Zeichen aus einer endlichen Zeichenfolge bzw. durch zyklische Auswahl einer jeweiligen Zeichenkette aus einer endlichen Liste von beliebigen Zeichenketten gebildet wird und bei dem das Passwort dadurch auf Richtigkeit überprüft wird, – dass ein zu überprüfendes Passwort mit Hilfe des Musters in mindestens einen statischen und in mindestens einen dynamischen Teil des zu überprüfenden Passwortes getrennt und diese Teile mit den entsprechenden Teilen des jeweils aktuell gültigen Passwortes auf Übereinstimmung überprüft werden.
Verfahren nach Anspruch 1, bei dem, bevor das Passwort zur Überprüfung eingegeben wird, dem Benutzer vorab der mindestens eine dynamische Teil des zuletzt verwendeten Passwortes zur Verfügung gestellt wird.
Verfahren nach Anspruch 1 oder 2, bei dem das Muster mit Hilfe eines fest vorgegebenen Musters festgelegt wird.
Verfahren nach Anspruch 1 oder 2, bei dem das Muster mit Hilfe eines aus einem aus einer Liste von Mustern auswählbaren Musters vom Benutzer festgelegt wird.
Verfahren nach Anspruch 1 oder 2, bei dem das Muster vom Benutzer frei bestimmbar festgelegt wird.
Computerspeichermedium mit einer sicheren Applikation zur Durchführung des Verfahrens nach einem der vorhergehenden Ansprüche, bei dem zumindest die endliche Zeichenfolge bzw. endliche Liste von beliebigen Zeichenketten verschlüsselt gespeichert ist.
Vorrichtung zur sicheren Durchführung des Verfahrens nach einem der vorhergehenden Ansprüche, bei dem ein Applikationsprogramm zur Bildung des Passworts auf einem lokalen Gerät oder über eine sichere Internetverbindung auf einem Dienstleistungsrechner durchführbar ist und/oder ein Applikationsprogramm zur Überprüfung des Passworts auf diesem oder einem weiteren lokalen Gerät oder über eine sichere Internetverbindung auf diesem Dienstleistungsrechner durchführbar ist.