Category Archives: Security

PwdHash ist eine Extension für Firefox und Internet Explorer.

Problem: Überall wo man sich im Internet registrieren will, muss man sich für einen Benutzernamen und ein Passwort entscheiden. Der Mensch ist faul, also entscheidet man sich in 99% aller Fälle für den selben Benutzernamen und das selbe Passwort. Das selbe Passwort bei Ebay wie beim privaten Forum des Fußballklubs aus dem Nachbarort. Vom Standpunkt der Sicherheit wäre jedoch für jede Seite ein anderes Passwort wünschenswert. So könnte es sein, dass das Forum des Fußballklubs die Passwörter der Mitglieder im Klartext in der Datenbank abspeichert. Ein Angreifer beschafft sich Zugang zu diesen Daten und versucht dann die Benutzername / Passwort – Kombinationen bei Ebay. Mit großer Wahrscheinlichkeit, hat er zumindest bei einem Teil der Kombinationen Erfolg.

Lösung: PwdHash verbindet den Domainnamen und das Passwort zu einem einmaligen Hashwert. So funktioniert es: Bei der Registrierung und später bei der Anmeldung auf einer bestimmten Webseite drückt man F2 und gibt dann im Passwortfeld @@meinPasswort ein. PwdHash verknüpft Domainnamen und das eingegebene Passwort und bildet einen Hash. Dieser Hash wird an die Seite gesendet und in der Datenbank gespeichert.
Das eingegebene Passwort ist also immer das selbe, man muss sich wie gewohnt nur ein Passwort merken. Da sich der Domainname aber ändert, ändert sich auch der an die Webseite gesendete Hashwert.
Wird nun die Seite des Fußballvereins komprimitiert, kann der Angreifer mit der Benutzername / Passwort – Kombination nichts anfangen, weil bei Ebay, wegen der anderen Domain, ein anderes Passwort verwendet wird.
Soweit so gut. Was tun wenn man an einem anderen Rechner sitzt, an dem die Extension nicht installiert ist und man nicht die Rechte hat die Installation nachzuhohlen? Für diesen Fall begibt man sich auf PwdHash.com. Die Seite lädt ein Java-Applet, in welchem man Domain und Passwort eingibt. Den errechneten Hashwert kopiert man in das Passwortfeld der Webseite und meldet sich an. Das Java-Applet läuft auf dem lokalen Rechner. Es werden also keine sensiblen Daten über das Internet übertragen.