211service.com
Om wachtwoorden te beschermen tegen hackers, breek ze gewoon in bits
Een nieuwe manier voor websites en andere online diensten om wachtwoorden op te slaan, zou inbreuken kunnen voorkomen, zoals die waarbij eerder dit jaar 6,5 miljoen LinkedIn-gebruikers hun wachtwoord online hebben gezet.
Dat soort gegevensdump vindt plaats wanneer een aanvaller toegang krijgt tot de server die gebruikerswachtwoorden opslaat. Onderzoekers van computerbeveiligingsbedrijf RSA hebben een systeem gemaakt dat wachtwoorden in twee splitst en elke helft op verschillende locaties opslaat. De twee helften komen nooit samen, zelfs niet wanneer een persoon inlogt en zijn wachtwoord laat verifiëren. Dat zou het voor iemand moeilijker moeten maken om ze te stelen, omdat een dief zou moeten inbreken in beide servers, die op verschillende manieren kunnen worden beveiligd.
Wachtwoordopslag wordt steeds problematischer vanwege de toenemende frequentie van inbreuken, maar ook omdat de gevolgen ervan zijn toegenomen, zegt Ari Juels , die de onderzoekslaboratoria van RSA in Cambridge, Massachusetts leidt. Juels zegt dat het verliezen van de controle over één online account aanvallers van informatie kan voorzien om in te breken bij anderen, en veel mensen hergebruiken wachtwoorden toch gewoon op meerdere accounts.
Hoewel LinkedIn en veel andere bedrijven wachtwoorden coderen - zodat hun servers niet de exacte tekenreeks bevatten die een gebruiker typt - hebben aanvallers een reeks tools die deze codering kunnen omkeren, zegt Juels. Zelfs de allerbeste praktijken, die LinkedIn niet gebruikte, kunnen worden doorbroken.
Onze mening is dat het beter is dat wachtwoorden en andere inloggegevens niet op één plek worden opgeslagen, zegt Juels, waardoor het voor een aanvaller moeilijker wordt om alles te pakken te krijgen wat hij nodig heeft om het wachtwoord van een persoon opnieuw te maken.
Het nieuwe schema van RSA werkt door een wachtwoord in veel kleine stukjes te breken en de helft van die stukjes - willekeurig geselecteerd - op de ene plaats op te slaan en de rest op een andere. RSA noemt de aanpak gedistribueerde referentiebescherming. Als één locatie wordt aangevallen, zijn de wachtwoorden nog steeds veilig, zegt Juels. Waar de magie binnenkomt, is het vermogen van het systeem om wachtwoorden te controleren zonder ze opnieuw samen te stellen.
Wanneer een persoon inlogt op een systeem met gedistribueerde referentiebescherming, wordt het wachtwoord dat hij of zij verstrekt, gesplitst in twee versleutelde reeksen gegevens. Elke string wordt vervolgens naar een van de twee wachtwoordservers gestuurd, waar het wordt gecombineerd met de helft van het wachtwoord dat op die server is opgeslagen om een nieuwe string te maken. De twee servers vergelijken vervolgens deze twee nieuwe strings om te bepalen of het wachtwoord correct is of niet. De wiskunde die ermee gemoeid is, betekent dat het onmogelijk is om het wachtwoord van een van deze strings te bepalen, of beide gecombineerd, dus het wachtwoord blijft onbekend, zelfs als een aanvaller de strings kan achterhalen.
De twee betrokken servers kunnen worden opgezet met verschillende besturingssystemen en op verschillende locaties, zegt Juels, dus het stelen van wachtwoorden vereist het succesvol opzetten van twee afzonderlijke aanvallen. Deze zouden ook op korte termijn moeten gebeuren, omdat het systeem periodiek ververst welke willekeurige helft van de fragmenten van een wachtwoord op elke server is opgeslagen.
De software gaat later dit jaar in de verkoop, zegt Juels.
De nieuwe aanpak van RSA is een versie van een techniek die bekend staat als drempelcryptografie en die al lang door onderzoekers is onderzocht. Het concept is niet nieuw, maar dit zou de eerste keer zijn dat het bij het grote publiek wordt ingezet, zegt Dan Boneh , een professor aan de Stanford University die dergelijke ontwerpen heeft onderzocht. Drempelcryptografie wordt achter de schermen gebruikt door de bedrijven, ook wel certificeringsinstanties genoemd, die de digitale beveiligingscertificaten uitgeven die computers en webbrowsers helpen te weten welke servers ze moeten vertrouwen, bijvoorbeeld wanneer ze inloggen op een bankwebsite.
Een manier om de effectiviteit van de aanpak te vergroten, is door wachtwoorden of geheimen te splitsen over meer dan slechts twee servers, zegt Boneh. Juels zegt dat RSA van plan is om dat in de toekomst mogelijk te maken en software uit te brengen die het mogelijk maakt om de geheim-splitsende aanpak te gebruiken om versleutelde gegevens te beschermen, bijvoorbeeld voor bestanden die zijn opgeslagen in een cloudservice.
Boneh merkt echter op dat er andere manieren zijn om iemands geheimen te stelen. Bij wachtwoordbeheer is de eindgebruiker vaak de grootste zorg. Als de computer van de gebruiker is geïnfecteerd met malware, kan er weinig worden gedaan om deze te beveiligen zonder een fysiek token te gebruiken, zegt Boneh, verwijzend naar systemen waarvoor mensen draag een sleutelhanger of gebruik een telefoon-app om elke keer dat ze inloggen een tijdelijk wachtwoord op te geven.
Deze benadering, bekend als tweefactorauthenticatie, is meestal alleen vereist voor zakelijke of financiële accounts, maar Google en Facebook bieden het nu aan voor hun online accounts vanwege de stevige handel in het compromitteren van dergelijke accounts.