Shadow-Passwort
aus Wikipedia, der freien Enzyklopädie
Unter dem Begriff Shadow-Password wird eine Methode zum Schutz von Passwörtern verstanden, welche in vielen Unix-Systemen noch heute verwendet wird. Das Passwort wird dabei vor dem Zugriff durch unbefugte Benutzer geschützt, um somit das Brechen von zu schwachen Passwörtern durch Brute-Force- oder Wörterbuchangriffe zu verhindern.
Inhaltsverzeichnis |
[Bearbeiten] Problemlage
Vor der Einführung von Shadow-Passwörtern wurden alle relevanten Benutzerdaten, somit auch der Passwort-Hash, in einer Datei gespeichert. Diese Datei (/etc/passwd) musste für alle Benutzer zugänglich (lesbar) sein und konnte leicht für Angriffe auf das System genutzt werden.
[Bearbeiten] Lösung in Unix-Systemen
Die auf den ersten Blick einfach erscheinende Lösung Passwort-Hash und Nutzerdaten durch zwei separate Dateien voneinander zu trennen, erfordert jedoch innerhalb des Betriebssystems eine wirksame Trennung von Nutzerrechten und Systemrechten. Da ein Zugriff auf die Passwort-Hashes durch unpriviligierte Nutzer, zum Beispiel bei der Anmeldung am System, natürlich möglich bleiben muss.
Erstmals wurde ein solches System von den Unix-Derivaten System V 3.2 und BSD 4.3 Reno verwendet. Nutzer anderer Systeme blieben vorerst ausgeschlossen.
1987 entwickelte Julianne Frances Haugh die Shadow Password Suite, die ursprünglich die Befehle login, su und passwd enthielt. Entwickelt wurde die Shadow Password Suite für SCO Xenix, aber bald auf andere Plattformen konvertiert so auch 1992 für Linux.
[Bearbeiten] Verbreitung
Inzwischen sind Shadow-Passwörter zum Standardverfahren im Unix- und Linuxbereich geworden. Damit konnte die im ursprünglichen Konzept von Unix enthaltene Sicherheitslücke erfolgreich geschlossen und der unbefugte Zugriff auf die Password-Hashes der Benutzer wirksam verhindert werden. Damit ist die Möglichkeit für einen normalen Nutzer, diese mit Hilfe von Brute-Force und Wörterbuchangriffen zu missbrauchen, eingeschränkt, wenn auch nicht unmöglich. Leider übertragen verschiedene netzwerkbasierende Authentifizierungsysteme wie zum Beispiel Yellow Pages (YP) bzw. Network Information Service (NIS) die Passwort-Hashes über das Netzwerk und ermöglichen somit dem Angreifer einen unerlaubten Zugriff. Unter anderem aus diesem Grund geht der Trend auch mehr in Richtung stärkerer Verschlüsselungsverfahren, wie auch immer geartet, für die Passwörter zu verwenden.
