DE102016012191A1

DE102016012191A1 - Verfahren zur Erhöhung des Schutzes passwortgeschützter Rechner und Rechenanlagen vor Hackerangriffe

Info

Publication number: DE102016012191A1
Application number: DE102016012191.2A
Authority: DE
Inventors: Werner Zühlke; Uwe Zühlke
Original assignee: Individual
Current assignee: Individual
Priority date: 2016-10-12
Filing date: 2016-10-12
Publication date: 2018-04-12

Abstract

Die Erfindung betrifft Verfahren zum erhöhten Schutz vor Hackerangriffe und kommt in durch Passwörter geschützten Rechnern und Rechenanlagen zur Anwendung. Da die Rechner immer schneller werden, müssen sie derzeit durch längere Passwörter geschützt werden, um die Angriffsdauer nicht zu verringern. Es wird vorgeschlagen durch eine niedrige Taktrate für das Passworterkennungsmodul die Passworteingabe soweit zu verlangsamen, dass sie die manuelle Eingabe des Nutzers noch nicht störend behindert, für den Hacker aber zu einer so hohen Angriffsdauer führt, dass er möglichst bald seine Versuche beendet. Eine langsame Eingabe der Angriffscodewörter wird auch erzwungen, wenn bei einem vermuteten Hackerangriff in die Zeichenfolge des Passwortes weitere Zeichen eingefügt werden oder auf ein anderes installiertes langes und komplexes Passwort umgeschaltet wird. Dadurch wird erstens das zu erratende Passwort wesentlich verlängert und es muss in voller Gesamtlänge vom Hacker-Rechner generiert und eingegeben werden, und wenn der Nutzer die Füllzeichenfolge oder den Algorithmus dazu auswählt, hat der Nutzer eine zusätzliche Möglichkeit zur weiteren Verschlüsselung. Die Wortlänge kann derart verlängert und codiert werden, dass die Dauer von Angriffen nach der Brute-Force-Methode bzw. nach der Wörterbuch-Methode so groß wird, dass Angriffe von Hackern aus Zeitgründen mit großer Wahrscheinlichkeit nicht mehr erfolgreich sein werden.

Description

Die Erfindung betrifft ein Verfahren zur Erhöhung des Schutzes passwortgeschützter Rechner und Rechenanlagen vor Hackerangriffe. Bei Hackerangriffen nach der Brute-Force-Methode oder nach der Wörterbuch-Methode wird mit automatisch generierten Codewörtern versucht, in eine passwortgeschützte Anlage einzudringen. Für die Passwörter stehen üblicherweise 62 alphanumerische Zeichen und etwa 26 Sonderzeichen als Zeichenvorrat zur Verfügung. Die Passwörter werden als Folge solcher Zeichen in großer Länge vorzugsweise so geschickt gebildet, dass sie schwer zu erraten sind und wegen ihrer Länge und Komplexität gegen Hackerangriffe weitgehend geschützt sind.
Die maximale Anzahl der möglichen Kombinationen errechnet sich aus der Menge des Zeichenvorrats und der gewählten Passwortlänge zu: Zeichenvorrat hoch Passwortlänge. Die Hacker brauchen normalerweise nicht alle maximal möglichen Kombinationen als Passwort auszuprobieren, weil das richtige Passwort erwartungsgemäß früher gefunden wird. Trotzdem ist die Sicherheit gegen erfolgreiche Angriffe bei langen Passwörtern größer als bei kurzen.
Allerdings werden die Rechner immer schneller. Deshalb müssen sie derzeit durch längere Passwörter geschützt werden, um die Angriffsdauer nicht zu verringern.
Bekannt sind Methoden zur Erhöhung der Suchdauer eines Passwortes durch Vergrößerung seiner Wortlänge und Erhöhung seiner Komplexität.
Bekannt ist ferner aus der Anmeldung „Abwehr eines Bruteforceangriffs” ( DE 20 20 2015 006 511 ) vom 24.12.2015, in der nach der fünften falschen Passworteingabe ein zusätzliches Feld mit einer Captcha-angabe, bestehend aus einer fünfstelliger Ziffern- und Buchstabenfolge, angelegt wird, die erst erraten werden muss, bevor eine weitere Eingabe des Passwortes versucht werden darf. (Captcha ist ein Test zur Feststellung, ob die Eingaben automatisch oder von einem Menschen erfolgen).
Bekannt ist auch die Anmeldung „System and method of preventing unauthorized access to computer recources ( EP 1 209 551 vom 13.9.2001 mit Bezug auf EP 00 480 107 vom 28.11.2000), wonach erst mit einem einzugebenden Kennwort die Identität desjenigen überprüft wird, der das Computersystem nutzen möchte. Stimmt das Kennwort mit keinem im Computer gespeicherten überein, wird der Zugriff verweigert.
Im Internet sind in Wikipedia in „Die Methoden der Hacker und ihr Schutz davor” von „admin” einige zweckmäßige Hinweise zum Schutz vor Hackerangriffe zusammengestellt. Enthalten ist auch die Empfehlung, nach jedem empfangenen nicht passenden Angriffscodewort durch eine Pause vor der nächsten Eingabe die Eingabedauer zu vergrößern, wobei die Annahme weiterer Codeworte auch für eine gewisse Zeit gesperrt werden kann.
Bei längeren Pausen nach jedem nicht passenden Passwort kann der Hacker allerdings zeitmultiplex zusätzlich weitere Anlagen angreifen, so dass die Dauer je attackierter Anlage nicht steigt.
Nachteilig beim Verlängern der Passwörter ist, dass die Gefahr des Passwortvergessens beim Nutzer erhöht wird, und dieses von ihm eine Speicherung erfordert, wodurch sich die Möglichkeit zum Ausspähen des Passwortes erhöht.
Ein Nachteil einer längeren Sperre für weitere Eingaben ist auch, dass Hacker mit einigen falschen Codeworten vorsätzlich fremde Rechner auch für deren Nutzer sperren oder behindern können.
Der in den Patentansprüchen angegebenen Erfindung liegt das Problem zugrunde, dass die schneller werdenden Rechner immer größere Passwortlängen erfordern, um den Zeitaufwand für Hackerangriffe hoch zu halten.
Ziel der Erfindung ist ein stark steigender Zeitaufwand für die Hackerangriffe.
Die Aufgabe wird nach Patentanspruch 1 erfindungsgemäß dadurch gelöst, dass durch eine niedrige Taktrate des Passworterkennungsmoduls eine langsame Eingabe der Angriffscodeworte erzwungen wird.
Die Taktrate muss nicht erst bei einem Hackerangriff erniedrigt werden. Sie kann auch dauernd so niedrig sein, dass sie die manuelle Passworteingabe des Nutzers noch nicht störend behindert. Sie sollte aber so niedrig sein, dass der Zeitaufwand für den Hacker so weit steigt, dass der Angriff aus Zeitgründen nach wenigen Versuchen beendet wird.
Nach Patentanspruch 2 wird bei einem vermuteten Hackerangriff automatisch auf eine längere Zeichenfolge umgeschaltet, die zusätzlich zum Passwort installiert ist oder aus der Zeichenfolge des Passwortes nach einem, vorzugsweise vom Nutzer festgelegten, Algorithmus abgeleitet wird.
Diese Zeichenfolge wird ganz oder stückweise nach eingegebener Vorschrift automatisch an verschiedenen Stellen in die Zeichenfolge des Passwortes eingefügt oder an einem Ende angehängt. Dies Zeichenfolgen können auch wiederholt werden, um ein langes Passwort für den Hacker zu erhalten.
Die Festlegung des Algorithmus für die Generierung des neuen Passwortes erfolgt zweckmäßigerweise durch den Nutzer. Er erreicht dadurch nicht nur eine Verlängerung dieses Passwortes sondern auch noch eine zusätzliche Verschlüsselung für das lange Passwort. Als Hilfe für die Nutzer kann der Hersteller einige günstige Algorithmen zur Auswahl anbieten.
Bei Verfahren mit solchen umgeschalteten stark verlängerten Passworten wird dem Hacker eine normale Passworteingabe vorgetäuscht und er muss sehr lange Codeworte ausprobieren.
Der Hacker muss bei den Verfahren nach Anspruch 2 mit erhöhtem Zeitaufwand nach einem langen Passwort suchen. Er weiß nichts von einer Umschaltung und wird mit diesem quasi normalen Angriff und normaler, wenn auch späterer, Rückmeldung getäuscht und beschäftigt. Das erhöht die Zeit für Gegenmaßnahmen, wie zur Rückverfolgung und Identifizierung des Hackerrechners.
Die Erfindung wird nachstehend an Ausführungsbeispielen erläutert.
Wird bei der Passworterkennung nach Anspruch 1 die Taktrate des Rechners von beispielsweise 2 GHz auf eine Taktrate von 20 kHz für das Passworterkennungsmodul erniedrigt, erhöht sich die Dauer für einen Hackerangriff um den Faktor 10⁵. Das bedeutet, dass die Dauer für einen Angriff von beispielsweise 1 μs auf 100 ms steigt und der Hacker nur etwa 10 Angriffscodeworte je Sekunde ausprobieren kann.
Nach Anspruch 2 wird bei der Ableitung der neuen Zeichenfolge aus den Passwortzeichen beispielsweise die zusätzliche Zeichenfolge {ekjm} zwischen das 6. und 7. Zeichen des achtstelligen Passwortes {ABCDEFGH} eingefügt. Die neue Zeichenfolge lautet {ABCDEFekimGH}. Das Zeichen {e} entsteht nach einem vereinbarten Algorithmus beispielsweise durch eine Verschiebung des ersten Passwortzeichens {A} um vier Schritte im Alphabet, das zweite Zeichen {k} entsteht aus dem vierten Zeichen {D} mit einer Verschiebung um sieben Schritte usw.
(Die eingefügten Zeichen sind zur Kenntlichmachung als Kleinbuchstaben geschrieben. Man kann aber sowohl beim Passwort als auch bei der daraus abgeleiteten Zeichenfolge den vollen Zeichenvorrat nutzen.)
Eine stückweise Einfügung der abgeleiteten Zeichenfolge an programmierten Stellen verlängert das Passwort. Die zusätzliche Verschlüsselung liegt hier im Algorithmus, wenn ihn der Nutzer festlegen kann.
Die Verschiebung arbeitet z. B. modulo Zeichenvorrat. Auch eine am Ende reflektierte Zeichenverschiebung rückwärts ist möglich.
Wenn der Nutzer das zweite Passwort installiert, kann er eine große Länge wählen, weil er sich dieses Passwort nicht merken muss, und er kann dabei eine weitergehende Verschlüsselung, z. B. mit Sonderzeichen, realisieren. Beim Neustart der Anlage gilt zunächst wieder das erste Passwort.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 20202015006511 [0005]
EP 1209551 [0006]
EP 00480107 [0006]

Claims

Verfahren zur Erhöhung des Schutzes passwortgeschützter Rechner und Rechenanlagen vor Hackerangriffe, dadurch gekennzeichnet, dass für Passworteingaben, zumindest bei einem vermuteten Hackerangriff, eine zeitaufwendige langsame Eingabe der Codewortzeichen durch eine niedrige Taktrate für das Passworterkennungsmodul, erzwungen wird.
Verfahren zur Erhöhung des Schutzes passwortgeschützter Rechner und Rechenanlagen vor Hackerangriffe, dadurch gekennzeichnet, dass bei einem vermuteten Hackerangriff automatisch eine Umschaltung auf ein langes Passwort erfolgt, das zusätzlich installiert wurde oder automatisch nach einem vom Nutzer festgelegten Algorithmus aus der Zeichenfolge des Passwortes abgeleitet wird.