Scrypt-Kryptographie (eBook)

Die Kraft hinter dem Mining-Algorithmus von Litecoin entfesseln

Fouad Sabry (Autor)

eBook Download: EPUB

2025 | 1. Auflage
209 Seiten
Eine Milliarde Sachkundig [German] (Verlag)
978-0-00-094770-3 (ISBN)

Infos

Lüfte die Geheimnisse hinter einem der einflussreichsten kryptografischen Algorithmen in der Welt der Kryptowährungen - Scrypt. Als Teil der Reihe 'Litecoin Cryptocurrency' befasst sich dieses Buch mit den entscheidenden Komponenten, die die kryptografische Landschaft geprägt und den Aufstieg von Kryptowährungen ermöglicht haben. Egal, ob Sie Profi, Enthusiast, Doktorand oder einfach nur neugierig auf Kryptografie sind - dieses Buch vermittelt Ihnen wichtiges Wissen, um Ihr Verständnis von Scrypt und seinen Anwendungen zu vertiefen.

Kapitelübersicht:

1: Scrypt: Die Grundlage des Proof-of-Work-Algorithmus von Litecoin mit Schwerpunkt auf seinem speicherintensiven Design.

2: Passwortknacken: Erforscht Techniken zum Knacken verschlüsselter Passwörter und wie Scrypt ihnen widersteht.

3: Schlüsselableitungsfunktion: Untersucht Methoden zur sicheren Generierung kryptografischer Schlüssel aus Passwörtern.

4: Rainbow Table: Erläutert die Angriffsmethode, vor der Scrypt schützt und die Passwortsicherheit gewährleistet.

5: Adler32: Stellt die Prüfsummenfunktion und ihre Rolle für Datenintegrität und kryptografische Sicherheit vor.

6: Wörterbuchangriff: Erklärt, wie Angreifer vorkompilierte Wortlisten verwenden, um schwache Passwörter zu knacken.

7: Microsoft Office-Passwortschutz: Detaillierte Informationen dazu, wie Scrypt die Passwortsicherheit gegen gängige Angriffe erhöhen kann.

8: HMAC: Eine Methode zur Überprüfung der Integrität und Authentizität einer Nachricht, die die Sicherheit von Scrypt erhöht.

9: Pepper (Kryptografie): Beschreibt die Rolle des Pepperings von Passwörtern zur Verbesserung der Sicherheit von Hashing-Algorithmen.

10: Blowfish (Chiffre): Ein symmetrischer Verschlüsselungsalgorithmus, analysiert im Hinblick auf die Sicherheitsmechanismen von Scrypt.

11: Salted Challenge Response-Authentifizierungsmechanismus: Erklärt, wie Salting Scrypt eine zusätzliche Sicherheitsebene verleiht.

12: Master-Passwort (Algorithmus): Eine Diskussion über sichere Passwortalgorithmen, die die Robustheit von Scrypt beeinflussen.

13: Bcrypt: Stellt einen weiteren Hashing-Algorithmus vor und vergleicht ihn hinsichtlich seiner Sicherheit mit Scrypt.

14: PBKDF2: Ein detaillierter Blick auf eine Schlüsselableitungsfunktion und die speicherintensiven Eigenschaften von Scrypt im Vergleich.

15: Lyra2: Ein moderner Algorithmus für das Kryptowährungs-Mining im Vergleich zu Scrypt hinsichtlich der Rechenleistung.

16: Kryptografische Hashfunktion: Ein umfassender Überblick über kryptografische Hashfunktionen und den Beitrag von Scrypt zu diesem Bereich.

17: Proof of Work: Erläutert das Konzept des Proof of Work, wobei Scrypt eine entscheidende Rolle beim Litecoin-Mining spielt.

18: BLAKE (Hashfunktion): Eine neuere kryptografische Hashfunktion und ihre Anwendung in sicheren Algorithmen wie Scrypt.

19: Key Stretching: Eine Methode zur Erhöhung des Rechenaufwands zum Knacken von Verschlüsselungen, zentral für die Funktion von Scrypt.

20: Crypt (C): Ein leichtgewichtiger Verschlüsselungsalgorithmus und seine Beziehung zu speicherintensiven Funktionen wie Scrypt.

21: Argon2: Ein hochmoderner Hashing-Algorithmus und sein Vergleich mit Scrypt hinsichtlich der Widerstandsfähigkeit gegen Angriffe. Dieses Buch ist mehr als nur eine Erkundung von Scrypt; es bietet einen Einstieg in das Verständnis, wie kryptografische Algorithmen die Sicherheit von Kryptowährungen wie Litecoin steuern. Mit topaktuellen Details vermittelt es den Lesern das nötige Wissen, um in der sich entwickelnden Welt der digitalen Währungen erfolgreich zu sein. Fachleute, Studierende und Enthusiasten werden von diesem prägnanten und dennoch umfassenden Leitfaden großen Nutzen ziehen.

Textauszug

Kapitel 2 :Knacken von Passwörtern

In der Kryptoanalyse und Computersicherheit ist das Knacken von Passwörtern der Prozess des Erratens von Passwörtern, der ein Computersystem schützt. Ein gängiger Ansatz (Brute-Force-Angriff) besteht darin, wiederholt Vermutungen für das Passwort zu versuchen und diese mit einem verfügbaren kryptografischen Hash des Passworts abzugleichen. Eine andere Art von Ansatz ist das Passwort-Spraying, das oft automatisiert ist und im Laufe der Zeit langsam abläuft, um unentdeckt zu bleiben, wobei eine Liste gängiger Passwörter verwendet wird. Der Zweck des Knackens von Passwörtern kann darin bestehen, einem Benutzer dabei zu helfen, ein vergessenes Passwort wiederherzustellen (aufgrund der Tatsache, dass die Installation eines völlig neuen Passworts Systemadministrationsrechte erfordern würde), unbefugten Zugriff auf ein System zu erlangen oder als vorbeugende Maßnahme zu fungieren, bei der Systemadministratoren nach leicht zu knackenden Passwörtern suchen. Auf Datei-für-Datei-Basis wird das Knacken von Passwörtern verwendet, um Zugang zu digitalen Beweismitteln zu erhalten, zu denen ein Richter Zugriff gewährt hat, wenn die Berechtigungen einer bestimmten Datei eingeschränkt sind. Die Zeit, um ein Passwort zu knacken, hängt mit der Bitstärke zusammen, die ein Maß für die Entropie des Passworts ist, und den Details, wie das Passwort gespeichert wird. Bei den meisten Methoden zum Knacken von Passwörtern muss der Computer viele Kandidatenpasswörter erstellen, von denen jedes überprüft wird. Ein Beispiel ist das Brute-Force-Cracking, bei dem ein Computer jeden möglichen Schlüssel oder jedes Passwort ausprobiert, bis es erfolgreich ist. Bei mehreren Prozessoren kann diese Zeit optimiert werden, indem gleichzeitig von der letzten möglichen Gruppe von Symbolen und dem Anfang gesucht wird, wobei andere Prozessoren platziert werden, um eine bestimmte Auswahl möglicher Passwörter zu durchsuchen. Gängigere Methoden zum Knacken von Passwörtern, wie z. B. Wörterbuchangriffe, Musterüberprüfungen und Variationen gängiger Wörter, zielen darauf ab, die Anzahl der Vermutungen zu optimieren, und werden in der Regel vor Brute-Force-Angriffen versucht. Eine höhere Bitstärke von Passwörtern erhöht die Anzahl der Kandidatenpasswörter, die im Durchschnitt überprüft werden müssen, um das Passwort wiederherzustellen, exponentiell und verringert die Wahrscheinlichkeit, dass das Passwort in einem Cracking-Wörterbuch gefunden wird. Die Fähigkeit, Passwörter mit Hilfe von Computerprogrammen zu knacken, hängt auch von der Anzahl der möglichen Passwörter pro Sekunde ab, die überprüft werden können. Steht dem Angreifer ein Hash des Zielpassworts zur Verfügung, kann diese Zahl in die Milliarden oder Billionen pro Sekunde gehen, da ein Offline-Angriff möglich ist. Wenn nicht, hängt die Rate davon ab, ob die Authentifizierungssoftware die Häufigkeit des Ausprobierens eines Kennworts begrenzt, entweder durch Zeitverzögerungen, CAPTCHAs oder erzwungene Sperren nach einer bestimmten Anzahl fehlgeschlagener Versuche. Eine weitere Situation, in der ein schnelles Raten möglich ist, ist, wenn das Passwort verwendet wird, um einen kryptografischen Schlüssel zu bilden. In solchen Fällen kann ein Angreifer schnell überprüfen, ob ein erratenes Passwort verschlüsselte Daten erfolgreich entschlüsselt. Für einige Arten von Passwort-Hash können gewöhnliche Desktop-Computer über hundert Millionen Passwörter pro Sekunde mit Passwort-Cracking-Tools testen, die auf einer Allzweck-CPU ausgeführt werden, und Milliarden von Passwörtern pro Sekunde mit GPU-basierten Passwort-Cracking-Tools (siehe John the Ripper-Benchmarks). Die Rate des Erratens von Passwörtern hängt stark von der kryptografischen Funktion ab, die das System zur Generierung von Passwort-Hashes verwendet. Eine geeignete Passwort-Hashing-Funktion wie bcrypt ist um viele Größenordnungen besser als eine naive Funktion wie einfaches MD5 oder SHA. Ein vom Benutzer ausgewähltes achtstelliges Passwort mit Zahlen, Groß- und Kleinschreibung und Symbolen, bei dem häufig ausgewählte Passwörter und andere Wörterbuchübereinstimmungen herausgefiltert werden, erreicht laut NIST eine geschätzte Stärke von 30 Bit. 230 ist nur eine Milliarde Permutationen und würde in Sekunden geknackt werden, wenn die Hashing-Funktion naiv wäre. Wenn gewöhnliche Desktop-Computer in einem Cracking-Versuch kombiniert werden, wie es bei Botnets möglich ist, werden die Möglichkeiten des Passwort-Crackings erheblich erweitert. Im Jahr 2002 gelang es distributed.net, in vier Jahren einen 64-Bit-RC5-Schlüssel zu finden, wobei über 300.000 verschiedene Computer zu verschiedenen Zeiten beteiligt waren und durchschnittlich über 12 Milliarden Schlüssel pro Sekunde generiert wurden. Grafikprozessoren können das Knacken von Passwörtern um den Faktor 50 bis 100 gegenüber Allzweckcomputern für bestimmte Hashing-Algorithmen beschleunigen. Im Jahr 2011 behaupteten beispielsweise verfügbare kommerzielle Produkte, dass sie in der Lage seien, bis zu 2.800.000.000 NTLM-Passwörter pro Sekunde auf einem Standard-Desktop-Computer mit einem High-End-Grafikprozessor zu testen. Ein solches Gerät kann ein 10-stelliges Passwort in Einzelfall an einem Tag knacken. Die Arbeit kann auf viele Computer verteilt werden, um eine zusätzliche Beschleunigung proportional zur Anzahl der verfügbaren Computer mit vergleichbaren GPUs zu erzielen. Einige Algorithmen laufen jedoch langsam oder sind sogar speziell für die langsame Ausführung auf GPUs konzipiert. Beispiele hierfür sind DES, Triple DES, bcrypt, scrypt und Argon2. Die Hardwarebeschleunigung in einer GPU hat es ermöglicht, Ressourcen zu nutzen, um die Effizienz und Geschwindigkeit eines Brute-Force-Angriffs für die meisten Hashing-Algorithmen zu erhöhen. Im Jahr 2012 stellte die Stricture Consulting Group einen 25-GPU-Cluster vor, der eine Brute-Force-Angriffsgeschwindigkeit von 350 Milliarden Erraten von NTLM-Passwörtern pro Sekunde erreichte und es ihnen ermöglichte, 95 {95 hochgestellte 8} Passwortkombinationen in 5,5 Stunden zu überprüfen, genug, um alle 8-stelligen alphanumerischen Sonderzeichen-Passwörter zu knacken, die häufig in Unternehmensumgebungen verwendet werden. Mit Hilfe von ocl-Hashcat Plus auf einer Virtual OpenCL-Cluster-Plattform wurde der Linux-basierte GPU-Cluster verwendet, um "90 Prozent der 6,5 Millionen Passwort-Hashes zu knacken, die den Nutzern von LinkedIn gehören". Für einige bestimmte Hashing-Algorithmen sind CPUs und GPUs keine gute Kombination. Speziell angefertigte Hardware ist erforderlich, um mit hohen Geschwindigkeiten zu laufen. Kundenspezifische Hardware kann mit FPGA- oder ASIC-Technologie hergestellt werden. Die Entwicklung für beide Technologien ist komplex und (sehr) teuer. Im Allgemeinen sind FPGAs in kleinen Stückzahlen günstig, ASICs sind günstig in (sehr) großen Mengen, energieeffizienter und schneller. Im Jahr 1998 baute die Electronic Frontier Foundation (EFF) einen speziellen Passwort-Cracker mit ASICs. Ihre Maschine Deep Crack knackte einen 56-Bit-DES-Schlüssel in 56 Stunden und testete über 90 Milliarden Schlüssel pro Sekunde. Im Jahr 2017 zeigten durchgesickerte Dokumente, dass ASICs für ein militärisches Projekt verwendet wurden, das das Potenzial hatte, viele Teile der Internetkommunikation mit schwächerer Verschlüsselung zu knacken. Seit 2019 unterstützt John the Ripper das Knacken von Passwörtern für eine begrenzte Anzahl von Hashing-Algorithmen unter Verwendung von FPGAs. Kommerzielle Unternehmen verwenden jetzt FPGA-basierte Setups zum Knacken von Passwörtern. Passwörter, die schwer zu merken sind, verringern die Sicherheit eines Systems, weil: - Benutzer das Passwort möglicherweise mit einer unsicheren Methode aufschreiben oder elektronisch speichern müssen, - Benutzer häufig Passwörter zurücksetzen müssen und - Benutzer mit größerer Wahrscheinlichkeit dasselbe Passwort erneut verwenden. Je strenger die Anforderungen an die Passwortstärke sind, z. B. "eine Mischung aus Groß- und Kleinbuchstaben und Ziffern" oder "monatlich ändern", desto größer ist das Ausmaß, in dem Benutzer das System untergraben. In "The Memorability and Security of Passwords" untersuchen Jeff Yan et al. die Auswirkungen von Ratschlägen, die Benutzern über eine gute Wahl des Passworts gegeben werden. Sie fanden heraus, dass Passwörter, die auf dem Nachdenken über eine Phrase und dem ersten Buchstaben jedes Wortes basieren, genauso einprägsam sind wie naiv ausgewählte Passwörter und genauso schwer zu knacken sind wie zufällig generierte Passwörter. Die Kombination von zwei nicht verwandten Wörtern ist eine weitere gute Methode. Ein persönlich entworfener "Algorithmus" zum Generieren obskurer Passwörter ist eine weitere gute Methode. Die Aufforderung an Benutzer, sich ein Passwort zu merken, das aus einer "Mischung aus Groß- und Kleinbuchstaben" besteht, ist jedoch vergleichbar mit der Aufforderung, sich eine Abfolge von Bits zu merken: schwer zu merken und nur ein wenig schwieriger zu knacken (z. B. nur 128 Mal schwerer zu knacken bei Passwörtern mit 7 Buchstaben, weniger, wenn der Benutzer einfach einen der Buchstaben groß schreibt). Wenn Benutzer aufgefordert werden, "sowohl Buchstaben als auch Ziffern" zu verwenden, führt dies oft zu leicht zu erratenden Ersetzungen wie "E" → "3" und "I" → "1": Ersetzungen, die Angreifern gut bekannt sind. In ähnlicher Weise ist die Eingabe des Passworts eine Tastaturzeile höher ein gängiger Trick, der Angreifern bekannt ist. Eine Studie, die im April 2015 von mehreren Professoren der Carnegie Mellon University veröffentlicht wurde, zeigt, dass die Wahl der Passwortstruktur oft mehreren bekannten Mustern folgt. Wenn beispielsweise die Passwortanforderungen eine lange Mindestlänge von 16 Zeichen erfordern, neigen die Benutzer...

Produkt-Details

• Erscheint lt. Verlag: 26.6.2025
• Übersetzer: Daniel Hueber
• Sprache: deutsch
• Themenwelt: Sachbuch/Ratgeber ► Beruf / Finanzen / Recht / Wirtschaft ► Geld / Bank / Börse
• ISBN-10: 0-00-094770-9 / 0000947709
• ISBN-13: 978-0-00-094770-3 / 9780000947703