Kann KI Passwörter knacken und wie schnell?

[Michael Reimann]

Michael Reimann
Kann KI Passwörter knacken und wie schnell? Diese Frage stellt sich angesichts der gerade aufkommenden Welle an KI-Tools auch.

Derzeit hängt die Sicherheit unserer Accounts in weiten Teilen immer noch von der Kombination Name und Passwort ab. Oft zwar inzwischen begleitet von einer sogenannten 2FA (Zweifaktor Authentifizierung) bei der neben dem Passwort noch eine weitere Eingabe eines Tokens (das auf einem zweiten Weg kommt) erfolgen muss.

Dennoch sind Passwörter immer wieder Ziel von Angriffen. Sei es per Phishing-Mail oder durch Datenlecks bei denen große Mengen an Zugangsdaten ins Netz gelangen. Auch das Erraten von Passwörtern spielt bei diesen Datenlecks eine große Rolle. Die Daten werden in der Regel zwar nicht im Klartext gespeichert, sondern (stark vereinfacht dargestellt) als sogenannter Hash gespeichert. Dieser lässt sich nicht zurückrechnen, um das ursprüngliche Passwort zu ermitteln.

Kann KI Passwörter knacken und wie schnell?​

Durch automatischen Ausprobieren nach bestimmten Algorithmen, kann dennoch das Passwort vielleicht gefunden werden indem (wiederum stark vereinfacht dargestellt) Hashes erzeugt werden und diese dann mit denen aus der Datenbank verglichen werden.

Je nach Komplexität des Passwortes kann das eben dauern. Hier setzt jetzt die KI an. vielleicht ist es der KI möglich, diese Passwörter schneller zu erraten, als das mit herkömmlichen Algorithmen möglich ist.

Die Seite "Home Security Heroes" bietet einen AI-Password-Check an. Hier kann ein beliebiges Passwort (man sollte tunlichst natürlich nicht seine echten verwenden) eingegeben werden. Das System zeigt dann, wie lange die KI für die Entschlüsselung des Passwortes gebraucht hat. Außerdem wird auf der Seite das genaue Vorgehen erklärt.

Interessant ist es, wenn man sich vom Safari-Browser ein Passwort generieren lässt und dieses testet. Hier zeigt sich der hohe Sicherheitsstandard der Passwörter, die Apple mit Safari generiert. Die KI würde zum Entschlüsseln ca. 6 quadrillionen Jahre benötigen. Was die vermutliche Lebensdauer unseres Universums leicht übersteigt.

Apple versucht ja mit "Passkey" einen weiteren Sicherheitsstandard zu setzen. Dennoch kann es sicher noch eine Weile dauern, bis hier eine größere Durchdringung stattgefunden hat. Bis dahin sind wir halt immer noch auf Name, Passwort und 2FA angewiesen.

Quelle: Home Security Heroes und Jörg Schieb

Den Artikel im Magazin lesen.

 

[dtp]

Dann können wir die Diskussion ja hier weiterführen.

 

[James Atlick]

Verstehe nicht, was daran "KI" sein soll.
Wörterbuchattacke verbessert mit predictions? Also zum Beispiel . oder ! tendenziell eher als letzte Ziffer?
Neu, AI oder KI ist daran mal so gar nichts. Solche live cracking Wörterbuch Wettbewerbe gab es schon vor Jahren.


Egal, bei Passwörter gilt schon immer: Je länger, desto höher die Entropie.
Darum sind lange Passwörter ohne komplizierte Sonderzeichen besser als kurze komplizierte.
Die üblichen Komplexitätsanforderungen an Passwörter sind darum Quatsch.

"TE#+'y)9j!" ist massiv schlechter als "immerwiedergeheichgerneinskino" obwohl letzteres keine Sonderzeichen, Gross-Kleinschreibung oder Zahlen enthält und die Wörter sogar im Wörterbuch vorkommen.

Keine Ahnung mit welchen Masstäben diese Webseite rechnet, jedenfalls gibt es für
E#+'y)9j= 7 Stunden

und für

immerwiedergeheichgerneinskino = 22 Millionen Jahre

 

[McMartin_de]

Offensichtlich benötigt jede Buchstabenfolge mit der maximalen Zeichenanzahl (18 in diesem Fall) 22 Mio. Jahre, selbst 18x „a“
Eine beliebige, 18-stellige Zahl braucht immer 10 Monate, auch 18x „1“
Ein einziges, beliebiges Sonderzeichen am Ende einer 17-Stelligen Zahlenreihe (auch identische Ziffern) macht daraus direkt 6 Quadrillonen Jahre, während ein beliebiger Buchstabe an gleicher Stelle die Dauer auf „nur“ 96 Trillionen Jahre bringt.

14x der Buchstabe „a“ bringt es immerhin auf 49 Jahre, das würde mir persönlich schon reichen 😆

 

[MACaerer]

E#+'y)9j= 7 Stunden

Diese 7 Stunden klingen für mich nicht so wirklich realistisch. Passwörter dieser Art lassen sich IMHO nur durch eine Brute-Force-Attacke knacken, soll heißen durchprobieren aller Möglichkeiten. Selbst wenn man voraussetzt, dass nur die rund 75 alphanumerischen Zeichen + Satzzeichen für das Passwort verwendet wurden ergibt das 75^8 ≈ 1 Billiarde (10^15) Möglichkeiten. Wenn das in 7 Stunden passieren soll müssten pro Sekunde an die 40 Milliarden Abfragen erfolgen und das zu knackende Gerät muss auch noch darauf reagieren, was ja auch Zeit kostet. Klingt für mich nicht sehr realistisch. Noch drastischer sieht es aus, wenn für das Passwort auch noch Sonderzeichen aus den rund 200 verfügbaren Zeichen aus dem ASCII-Zeichensatz verwendet werden. Fraglich ob der Mac überhaupt so lange lebt um das zu schaffen.

 

[MacAlzenau]

Der KI-Ansatz soll wohl so aussehen, daß nicht stur alphabetisch oder sonstwie durchprobiert wird, sondern daß irgendeine Form von Erfahrung einfließt. Etwa daß häufig die Sonderzeichen am Ende stehen (weil nach dem gewünschten PW das System auffordert, zahlen und Sonderzeichen einzufügen), da das erste Zeichen häufig ein Großbuchstabe ist und so weiter.
Hab ich irgendwo im Netz so gelesen.

Oder daß Amerikaner anscheinend nur Großbuchstaben verwenden (oder Kleinbuchstaben?) - was man aus vielen amerikanischen Filmen lernt, wo jemand dem PW-Knacker sagt „versuchen Sie es mit dem Namen des Hundes“ und der tippt genau einmal was ein und es klappt oder nicht.

Das erhöht natürlich die Wahrscheinlichkeit auf einen halbwegs schnellen Treffer.

 

[Mitglied 233949]

Bei einem iPhone braucht man 80ms für einen Versuch den Passcode zu raten. Da hilft auch schnelleres Raten durch eine AI nichts.

Lässt sich nicht umgehen. D.h. man kann nur 12 Passwörter pro Sekunde probieren.

 

[Carcharoth]

Hab ich irgendwo im Netz so gelesen.

Ich hab da so ne Idee wo das gewesen sein könnte *g*

 

[dtp]

14x der Buchstabe „a“ bringt es immerhin auf 49 Jahre, das würde mir persönlich schon reichen 😆

Na ja, wenn der Algorithmus ausgerechnet mit 14 x "a" anfängt, dürfte es etwas schneller gehen. Die 49 Jahre dürften sich auf den Zeitraum für alle Permutationen beziehen. Er kann also eben auch deutlich kürzer sein.

Wie sehen eigentlich Passworte bei den Chinesen aus?

 

[Carcharoth]

Wie sehen eigentlich Passworte bei den Chinesen aus?

So: "************"

(Spassfakt: Manche Webseiten unterstützen Emojis in Passwörtern)

 

[dtp]

(Spassfakt: Manche Webseiten unterstützen Emojis in Passwörtern)

Na ja, letztlich ist jedes Zeichen nichts anders als eine Bitfolge aus Nullen und Einsen.

 

[Carcharoth]

Na ja, letztlich ist jedes Zeichen nichts anders als eine Bitfolge aus Nullen und Einsen.

Theoretisch ja. Nur gibts da so n Ding namens Zeichencodierung. Kennt man eher unter ASCII, ANSI und UTF-8. Und dann gibts noch mehr verwirrendes Zeug wie z.B. Punycode der Emojis in ASCII-Kompatibilität wandelt. Und wenn das nicht richtig implementiert ist, kanns Probleme geben wenn man ein Emoji als PW nutzt. Daher: Manche Webseiten können das, manche aber nicht.

 

[dtp]

Nur gibts da so n Ding namens Zeichencodierung.

Schon klar. Aber wenn man für die Zeichen mehr Flexibiltät möchte, müssen halt mehr Bits her. Alles andere ist dann eine Frage der Codierung.