Erfolgreicher Brute-Force-Angriff auf PwdHash

Mir ist heute aufgefallen, dass mein Browser die Password-Hashing-Seite PwdHash der Stanford University aufgrund eines Eintrags in die Liste der malwaredomains.com als Verteiler von Schadsoftware einstuft und den Seitenaufruf dementsprechend blockiert. Die Sperre scheint berechtigt zu sein: Die Seite Ransomware Tracker hat unter der URL http://pwdhash.com/d5sif eine Payload für den Verschlüsselungstrojaner Locky gefunden, sodass nun eine Reihe von Adblockern die Webseite automatisch sperren. Ich weiß nicht, ob die Betreiber sich dessen bewusst sind (der Link ist Stand jetzt noch aktiv), auf eine über das Feedback-Formular abgeschickte E-Mail habe ich bisher noch keine Antwort bekommen. Die Seite selbst, also das JavaScript, das die Passwort-Hashes errechnet, scheint jedoch nicht betroffen zu sein.

Im Zuge meiner Recherche ist mir zudem der Vortrag „Cracking PwdHash: A Bruteforce Attack on Client-Side Password Hashing“ der an der University of Cambridge angesiedelten Forscher David Llewellyn-Jones and Graham Rymer untergekommen, den die beiden Anfang Dezember im Rahmen der Konferenz Passwords 2016 in Bochum gehalten haben. In knapp 40 Minuten legen die Forscher dar, wie sie am Beispiel von drei umfangreichen Leaks der letzten Jahre Pwdhash-gesicherte Passwörter cracken konnten — ohne dass Pwdhash einen wirklichen Schutz bot. Die Schwachstellen von PwdHash liegen zum einen am Verfahren selbst und zum anderen jedoch auch am User.

Pwdhash nutzt zum Erstellen der gehashten Passwörter lediglich HMAC-MD5 und verzichtet auf ein zusätzliches Salt. Zudem ist das vom User eingegebene Passwort auf real 22 Stellen limitiert und ein paar Eigenarten (etwa dass Passwörter mit einem Kleinbuchstaben am Anfang in einen Hash mit großen Anfangsbuchstaben resultierten, vice versa) erleichtern die Arbeit. Baut man in einen effektiven Passwort-Cracker wie Hashcat nun eine Routine ein, die die per Wörterbuch generierten Passwörter durch Pwdhash jagt, dann lassen sich auf einer nur 65 Cent/h teuren Amazon-EC2-Instanz stolze 2400 MH/s (Million Hashes pro Sekunde) errechnen und somit zu einfach gestrickte Masterpasswörter der User cracken.

Llewellyn-Jones and Rymer haben daher eine erweiterte Version von Pwdhash vorgestellt, die diese Schwachstellen behebt. Der Code ist auf Github zu finden, eine Demo-Implementation analog zur „original“ Pwdhash-Seite gibt es ebenfalls. Der Proof of Concept nutzt PBKDF2-SHA256, erlaubt Passwörter mit mehr als 22 Zeichen und lässt den User ein Salz definieren (das man natürlich auch immer wieder eingeben müsste, was sich jedoch durch Einsatz einer Browsererweiterung mit einer entsprechenden Option vermeiden ließe). Bis dieser Ansatz bei Pwdhash (und den entsprechenden Browser-Erweiterungen) zum Einsatz kommt — wenn überhaupt — sollte man daher sehr genau darauf achten, dass man ein ordentliches Masterpasswort verwendet. Wer „password“ oder „qwertzuiop“ in Pwdhash als Masterpasswort eingibt, ist nicht sicherer unterwegs, nur weil das an beispielsweise google.de übermittelte Passwort „MW7wFvVQST“ heißt.

Zudem sollte man sich öfters mal auf Have i been pwned oder kurz HIBP umsehen, ob die eigene E-Mail-Adresse in einem öffentlich gewordenen Hack auftaucht. Die Seite hat die Datenbanken von 168 (Stand heute) Webseitenleaks indexiert, sodass man sehr leicht nachprüfen kann, ob die eigene E-Mail-Adresse ins Visier von Hackern geraten sein könnte. Wer möchte, kann seine E-Mail-Adresse auch auf der Webseite registrieren und erhält automatisch eine E-Mail, sobald die Adresse in einem von HIBP indexierten Leak auftaucht.