Grafikkarten als Sicherheitsrisiko?

Seit geraumer Zeit werden Grafikkarten nicht mehr ausschliesslich für die Darstellung von netten Bildern und Videos genutzt, der aktuelle Trend lautet GPU-Computing. So versucht man deren Fähigkeit – stark parallelisiert arbeiten zu können – sich auch auch anderweitig nutzbar zumachen.

Die Idee, das parallele Rechnen der Grafikkarten für Brute-Force-Angriffe auf Passwörter zu nutzen, ist zwar nicht neu, aber ein Blogeintrag auf mytechencounters.com dokumentiert dazu einige Performancemessungen auf einer Radeon 5770. Der Autor lässt dazu einen freien GPGPU-Passwort-Hashcracker (und zu Vergleichszwecken ein weiteres Tool, welches auf der CPU ausgeführt wird) auf NTLM-Hashes los. NTLM wird beispielsweise von Microsofts Windows dazu verwendet, die Passwörter der Benutzerkonten verschlüsselt auf dem Rechner zu speichern. Die Tools versuchen nun durch Ausprobieren das korrekte Passwort zu ermitteln.

Das Erraten eines sechsstelligen Passwortes aus zufälligen Ziffern und Buchstaben benötigte auf der erwähnten GPU maximal 17 Sekunden, das CPU Tool dagegen eine Stunde und 30 Minuten. Ein neunstelliges Passwort dauert schon deutlich länger (GPU: 48 Tage, CPU: 43 Jahre). Verwendet man zusätzlich Sonderzeichen in einem neunstelligen Passwort, erhöht sich erwartungsgemäß der Rechenaufwand weiter. Das GPU-Tool würde nun bereits sieben Jahre benötigen. Der technische Fortschritt bei den Verarbeitungsgeschwindigkeiten der Grafikchips wird diesen Zeitraum in Zukunft weiter rasant schmelzen lassen.

Diese rasante Verabeitungsgeschwindigkeit kann man effektiv aber auch nur dann nutzen, wenn einem der Hash bereits in die Hände gefallen ist, zum Beispiel durch physischen Zugriff auf den Rechner und das Dateisystem. Es nützt einem schliesslich nichts, wenn die Grafikkarte mehrere Milliarden Kombinationen pro Sekunde ausprobieren kann, ein Anmeldeprozess aber bereits bei hundert Versuchen pro Sekunde zusammenbricht. Weiterhin können Hashes "gesalzen" werden, um den Angriffsaufwand zu erhöhen. Dem Nutzer bleibt am Ende aber weiterhin nur die Verwendung von Passwörtern mit acht oder besser mehr Zeichen, wobei das Passwort Sonderzeichen enthalten sollte. Einzelne Wörter selbst sollte ebenfalls vermeiden werden, da diese sehr anfällig für Wörterbuchattacken sind.
[ri]