Shadow-Passwort

Unter dem Begriff Shadow-Password wird eine Methode zum Schutz von Passwörtern verstanden, die in vielen Unix-Systemen verwendet wird. Das Passwort wird dabei vor dem Zugriff durch unbefugte Benutzer geschützt, um das Brechen von zu schwachen Passwörtern durch Brute-Force- oder Wörterbuchangriffe zu verhindern.

Problemlage

Vor der Einführung von Shadow-Passwörtern wurden alle relevanten Benutzerdaten, also auch der Hashwert des Passworts, in einer Datei gespeichert. Diese Datei (/etc/passwd) musste für alle Benutzer zugänglich (lesbar) sein, um auch Anwendungsprogrammen – beispielsweise zur Anzeige von Dateirechten – das Auflösen von Benutzerkennungen zu Benutzernamen zu ermöglichen, und konnte dadurch leicht für Angriffe auf das System genutzt werden.

Lösung in Unix-Systemen

Die einfach erscheinende Lösung, Passwort-Hash und Nutzerdaten durch zwei separate Dateien voneinander zu trennen, erfordert innerhalb des Betriebssystems eine wirksame Trennung von Nutzerrechten und Systemrechten, da ein Zugriff auf die Passwort-Hashes durch unprivilegierte Nutzer, zum Beispiel bei der Anmeldung am System, möglich bleiben muss.

Erstmals wurde ein solches System von den Unix-Derivaten System V 3.2[1] und BSD 4.3 Reno verwendet.[2] Nutzer anderer Systeme blieben vorerst ausgeschlossen. Im Jahre 1987 entwickelte Julianne Frances Haugh die Shadow Password Suite, die ursprünglich die Befehle login, su und passwd enthielt.[3] Entwickelt wurde die Shadow Password Suite für SCO Xenix[4], aber bald auf andere Plattformen portiert, z. B. 1992 auf Linux.

Verbreitung

Inzwischen sind Shadow-Passwörter zum Standardverfahren im Unix- und Linuxbereich geworden. Damit wurde die im ursprünglichen Konzept von Unix enthaltene Sicherheitslücke erfolgreich geschlossen und der unbefugte Zugriff auf die Password-Hashes der Benutzer wirksam verhindert. Die Möglichkeit für einen normalen Nutzer, diese mit Hilfe von Brute-Force und Wörterbuchangriffen zu missbrauchen, ist eingeschränkt, wenn auch nicht unmöglich. Verschiedene netzwerkbasierende Authentifizierungssysteme, wie zum Beispiel Yellow Pages (YP) bzw. Network Information Service (NIS), übertragen die Passwort-Hashes über das Netzwerk und ermöglichen dem Angreifer einen unerlaubten Zugriff. Der Trend geht daher in die Richtung, stärkere Verschlüsselungsverfahren für die Passwörter zu verwenden.

Einzelnachweise
  1. http://groups.google.com/group/comp.unix.wizards/msg/c90ab8dc75918192
  2. http://groups.google.com/group/comp.bugs.4bsd/msg/2ada37c991f02480
  3. http://groups.google.com/group/comp.sources.misc/msg/dcce54f8bd71c067
  4. http://groups.google.com/group/alt.sources/msg/cd6b178f686ad221
This article is issued from Wikipedia. The text is licensed under Creative Commons - Attribution - Sharealike. The authors of the article are listed here. Additional terms may apply for the media files, click on images to show image meta data.