Online- vs. Offline-Angriffe

Passwortangriffe lassen sich in zwei Bereiche einteilen. Offline-Angriffe arbeiten lokal mit erbeuteten Hashes — schnell, unauffällig und nur durch die Hardware begrenzt. Online-Angriffe raten über das Netzwerk gegen einen aktiven Dienst — langsam, auffällig und durch Ratenbegrenzungen eingeschränkt.

Offline-Cracking (Hashcat, John) setzt voraus, dass Sie die Hashes zunächst erlangen — etwa aus einem Datenbank-Dump, /etc/shadow oder einem aufgezeichneten Handshake. Sobald Sie sie besitzen, können Sie Milliarden Vermutungen pro Sekunde ohne jeglichen Netzwerkverkehr ausprobieren.

Online-Angriffe senden Anmeldeversuche direkt an einen Dienst: SSH, RDP, FTP, Webformulare usw. Die Geschwindigkeit wird durch Netzwerklatenz und serverseitige Ratenbegrenzungen beschränkt, und jeder Versuch kann protokolliert werden oder eine Kontosperrung auslösen.

THC-Hydra ist das Standardtool für Online-Brute-Force-Angriffe. Es unterstützt zahlreiche Protokolle und führt Anmeldeversuche parallel aus. Sie geben einen Benutzernamen bzw. eine Benutzerliste, eine Passwortliste, das Ziel und das Dienstmodul an.

Wichtige Optionen:

• -l einzelner Benutzer / -L Benutzerliste
• -p einzelnes Passwort / -P Passwortliste
• -t parallele Aufgaben
• -f beim ersten Erfolg beenden

Für HTTP-POST-Anmeldeformulare benötigt Hydra den Pfad, den POST-Body mit den Platzhaltern ^USER^/^PASS^ sowie eine Fehlerzeichenfolge, damit das Tool erkennt, welche Antworten falsch sind.

Beim Spraying wird Brute-Force umgekehrt: Ein häufig verwendetes Passwort (z. B. Spring2024!) wird bei vielen Konten ausprobiert. Dadurch lassen sich kontobezogene Sperrschwellen umgehen. Diese Methode ist besonders effektiv gegen Organisationen mit schwachen Passwortrichtlinien.

Beim Credential Stuffing werden aus anderen Datenleaks stammende Kombinationen aus Benutzernamen und Passwörtern erneut verwendet, in der Hoffnung, dass Benutzer ihre Zugangsdaten wiederverwenden. Dafür ist überhaupt kein Cracking erforderlich — lediglich gültige Kombinationen aus einem früheren Dump.

Administratoren erschweren Online-Angriffe durch Kontosperrungen, Ratenbegrenzungen, CAPTCHAs, MFA und die Überwachung vieler fehlgeschlagener Versuche. Gegen Offline-Cracking helfen diese Maßnahmen kaum. Deshalb sind starkes Hashing (bcrypt/Argon2) und Salts für den Schutz vor Offline-Angriffen wichtig.

Wenn Sie die Hash-Datenbank stehlen können, wählen Sie den Offline-Ansatz — er ist schneller und unauffälliger. Wenn Sie nur einen Login-Endpunkt haben, sind Sie auf den Online-Ansatz angewiesen. Probieren Sie dann wenige gute Passwörter langsam bei vielen Konten aus, statt ein einzelnes Konto mit Versuchen zu bombardieren.

Online-Angriffe können echte Benutzer aussperren und Warnmeldungen auslösen — stimmen Sie sich mit dem Kunden ab und beachten Sie die Sperrrichtlinien. Führen Sie Angriffe ausschließlich im Rahmen eines autorisierten Auftrags mit klar festgelegtem Umfang durch.

Unterscheiden Sie die Angriffstypen.

Sie haben Angriffsstrategien verglichen:

• Offline = lokal erbeutete Hashes knacken; schnell und unauffällig
• Online = gegen einen aktiven Dienst raten; langsam, auffällig und durch Ratenbegrenzungen eingeschränkt
• Hydra führt Brute-Force-Angriffe auf Protokolle und Webformulare aus
• Spraying und Credential Stuffing umgehen Sperren bzw. nutzen geleakte Zugangsdaten wieder

Damit ist der Kurs zum Thema Password Cracking abgeschlossen.