Brute Force

Beide Techniken schützen Passwörter in der Datenbank, aber auf unterschiedliche Weise:

• Salt: Ein zufälliger Wert, der pro User generiert und zusammen mit dem Hash in der DB gespeichert wird. Er verhindert Rainbow-Table-Angriffe.
• Pepper: Ein geheimer Wert, der für alle User gleich ist, aber nicht in der Datenbank, sondern im Applikationscode oder einem Hardware-Sicherheitsmodul (HSM) gespeichert wird.

Selbst wenn die Datenbank geleakt wird, kann der Angreifer ohne den "Pepper" keine Hashes knacken.

Beim klassischen Brute-Force testet man 1.000 Passwörter gegen 1 User (führt zur Kontosperrung). Beim Password Spraying testet man 1 sehr häufiges Passwort (z.B. Sommer2024!) gegen 1.000 verschiedene User.

Da pro User nur ein Versuch stattfindet, schlagen die meisten Sperrmechanismen nicht an. In großen Unternehmen mit tausenden Mitarbeitern findet man so fast immer einen Account mit schwachem Passwort.

Eine CPU ist wie ein hochintelligenter Professor, der eine komplexe Aufgabe nach der anderen löst. Eine GPU ist wie 5.000 Grundschüler, die gleichzeitig einfache Additionsaufgaben lösen.

Hashing ist eine sehr einfache, mathematische Operation, die milliardenfach wiederholt werden muss. Eine moderne RTX-Grafikkarte kann Milliarden von Hashes pro Sekunde berechnen, während eine CPU nur auf wenige Millionen kommt.

Kaum noch. Rainbow Tables sind riesige Datenbanken mit vorberechneten Hashes. Sie funktionieren aber nur bei Hashes ohne Salt.

Da fast alle modernen Frameworks (wie Argon2, bcrypt oder scrypt) automatisch einen Salt verwenden, sind Rainbow Tables für moderne Web-Applikationen nutzlos geworden. Sie werden heute primär noch für alte Windows-Hashes (LM-Hashes) oder veraltete Legacy-Systeme verwendet.

Direktes Brute-Forcing des MFA-Codes ist schwierig (da meist nur 3-10 Versuche erlaubt sind). Aber: Angreifer nutzen MFA-Fatigue (den User mit Push-Benachrichtigungen bombardieren, bis er genervt auf "Akzeptieren" klickt) oder Session-Hijacking.

Dabei wird nicht das Passwort geklaut, sondern das bereits authentifizierte Session-Cookie nach dem Login. In diesem Fall fragt der Server nicht mehr nach MFA, da er glaubt, der User sei bereits eingeloggt.