Das grundlegende Problem der Passwortauthentifizierung

Bei der herkömmlichen Passwortauthentifizierung sendet der Client das Passwort oder einen Hash davon an den Server, der es mit einem gespeicherten Wert vergleicht. Dieses Modell ist einfach, konzentriert aber ein enormes Risiko auf dem Server: Ein Datenbankeinbruch legt die Zugangsdaten aller Benutzer gleichzeitig offen.

Wenn ein Angreifer in einen Server eindringt und die Passwortdatenbank stiehlt, kann er offline einen Wörterbuchangriff mit voller GPU-Geschwindigkeit und ohne Ratenbegrenzung durchführen. Moderne GPUs können pro Sekunde Milliarden von Passwortvermutungen gegen bcrypt- oder SHA-256-Hashes testen, wodurch schwache oder häufig verwendete Passwörter trivial wiederhergestellt werden können.

Studien zeigen übereinstimmend, dass die Mehrheit der Benutzer Passwörter auf mehreren Websites wiederverwendet. Eine einzige Serverkompromittierung legt daher Zugangsdaten offen, die bei anderen Diensten funktionieren. Credential-Stuffing-Angriffe automatisieren das Testen geleakter Kombinationen aus Benutzernamen und Passwörtern auf beliebten Websites und machen aus einem Datenleck viele.

Serverseitige Passwort-Härtung (starkes Hashing, Salting, Rate-Limiting) bietet keinen Schutz vor Phishing. Wenn ein Benutzer sein Passwort auf einer gefälschten Website eingibt, erhält der Angreifer das Passwort direkt im Klartext – unabhängig davon, wie sicher der legitime Server es speichert. Phishing ist heute der häufigste Angriffsweg zum Diebstahl von Zugangsdaten.

Datenbanken mit Milliarden geleakter Kombinationen aus Benutzernamen und Passwörtern früherer Sicherheitsverletzungen sind im Darknet öffentlich verfügbar. Angreifer verwenden automatisierte Tools, um diese Zugangsdaten in großem industriellem Maßstab bei Finanzinstituten, E-Commerce-Websites und E-Mail-Anbietern zu testen. Erfolg haben sie immer dann, wenn Benutzer ein bereits kompromittiertes Passwort wiederverwenden.

Bei der herkömmlichen Passwortauthentifizierung kennt der Server während des Anmeldevorgangs zwangsläufig das Passwort des Benutzers im Klartext (selbst wenn dies nur kurz vor dem Hashing der Fall ist). Das bedeutet, dass jedem Serverbetreiber uneingeschränkt vertraut werden muss, damit er Zugangsdaten weder missbraucht noch protokolliert oder versehentlich offenlegt – was in der Praxis nur selten garantiert ist.

Ein ideales Authentifizierungsprotokoll würde es einem Benutzer ermöglichen, zu beweisen, dass er sein Passwort kennt, ohne es dem Server jemals zu verraten. Der Server würde außerdem beweisen, dass er der legitime Server ist (gegenseitige Authentifizierung), wodurch Phishing verhindert wird. Eine kompromittierte Serverdatenbank würde einem Angreifer keine verwertbaren Informationen liefern.

Zero-Knowledge-Proofs bieten dafür einen theoretischen Rahmen: Ein Prover kann einen Verifier davon überzeugen, dass ein Geheimnis gültig ist, ohne das Geheimnis selbst offenzulegen. Passwortauthentifizierungsprotokolle wie SRP und OPAQUE wenden diese Prinzipien an, um eine Authentifizierung ohne direkte Übertragung des Passworts oder Speicherung des Passworts auf dem Server zu ermöglichen.

Starke Passwortauthentifizierungsprotokolle sollten selbst dann gegen Offline-Wörterbuchangriffe geschützt sein, wenn die auf dem Server gespeicherten Daten vollständig kompromittiert wurden. Das bedeutet, dass der gespeicherte Verifier nicht direkt zur Identitätsübernahme verwendet werden darf und kein effizientes Offline-Raten des Passworts ohne Mitwirkung des Servers ermöglichen darf.

Bei Hunderten von Diensten, die eine Authentifizierung erfordern, verlangt das herkömmliche Modell, jedem Dienstbetreiber ein Geheimnis anzuvertrauen, das möglicherweise auch anderswo wiederverwendet wird. Die Lösung besteht darin, die Passwortübertragung vollständig zu beseitigen, ausschließlich nicht wiederverwendbare Verifier zu speichern und die Authentifizierung an die Identität des jeweiligen Servers zu binden, um Phishing zu verhindern.

Zu den modernen Lösungen gehören SRP (Secure Remote Password), OPAQUE und FIDO2/Passkeys. Jede dieser Lösungen behandelt unterschiedliche Aspekte des grundlegenden Problems. SRP und OPAQUE verhindern, dass der Server das Passwort kennt. FIDO2/Passkeys machen Passwörter vollständig überflüssig, indem sie eine an den jeweiligen Ursprung gebundene Public-Key-Kryptografie verwenden.

Welcher Angriff wird durch starkes serverseitiges Passwort-Hashing (z. B. bcrypt) NICHT verhindert?

Die herkömmliche Passwortauthentifizierung setzt voraus, dass Server Geheimnisse überprüfen, die sie selbst kennen, ermöglicht nach Sicherheitsverletzungen Offline-Cracking und ist durch Phishing angreifbar. Die Wiederverwendung von Passwörtern macht aus einzelnen Sicherheitsverletzungen systemische Ausfälle. Das ideale System bietet gegenseitige Authentifizierung ohne Übertragung von Geheimnissen, speichert ausschließlich nicht knackbarere Verifier und bindet die Authentifizierung an die Identität des Servers.