Im Anschluss an die aktualisierten Passwortempfehlungen von Microsoft hat das National Institute for Standards and Technology (NIST) nun seine eigenen aktualisierten Passwortrichtlinien veröffentlicht. Diese Empfehlungen stimmen in vielen Punkten mit denen von Microsoft überein und verleihen ihnen somit zusätzliche Glaubwürdigkeit; in einigen Bereichen gehen sie sogar noch weiter. Wenn zwei bedeutende Einflussnehmer der Sicherheitsbranche unabhängig voneinander zu derart ähnlichen Schlussfolgerungen gelangen, ist dies ein deutliches Signal dafür, dass Unternehmen ihre Passwortrichtlinien kritisch überprüfen sollten – sowohl für ihre internen Systeme als auch für ihre nach außen gerichteten Dienste, die über einen Identitätsspeicher verfügen.
Warum das NIST-Dokument wichtig ist
Was ist diese neue NIST-Veröffentlichung? SP 800-63-3 trägt den Titel „Digital Authentication Guideline“ (Leitfaden zur digitalen Authentifizierung) und definiert Anforderungen zur Erfüllung von vier Sicherheitsstufen (Levels of Assurance, LOAs – der Grad der Gewissheit, dass eine Entität das ist, was oder wer sie zu sein vorgibt). Eines der Dokumente, SP 600-63-3B, trägt den Titel „Authentication & Lifecycle Management“ (Authentifizierung und Lebenszyklusmanagement) und konzentriert sich auf Leitlinien zur Passwortverwaltung.
Warum ist dieses Dokument so wichtig? Zu den zahlreichen Aufgaben des NIST gehört es, Richtlinien für den öffentlichen Sektor – also für alle Anwendungen in der Bundesregierung – bereitzustellen. Viele dieser Richtlinien sind lediglich Empfehlungen, doch eine Reihe davon sind Vorgaben, die alle Anwendungen einhalten müssen. Das bedeutet einen weitreichenden Einfluss – und dieser reicht sogar noch darüber hinaus, da sich viele andere Branchen und Unternehmen ebenfalls an diese Richtlinien halten.
Betrachten wir die Empfehlungen des NIST, wie sie sich mit den Empfehlungen von Microsoft vergleichen lassen und in welchen Punkten das NIST noch einen Schritt weiter geht. Ein gemeinsames Thema beider Empfehlungssätze ist eine höhere Benutzerfreundlichkeit, insbesondere wenn die Empfehlungen die Sicherheit verbessern oder wenn bestehende, benutzerunfreundliche Richtlinien diese nicht erhöhen. Untersuchungen haben gezeigt: Je strenger Sie die Passwortrichtlinien gestalten, desto größer ist die Wahrscheinlichkeit, dass Benutzer diese umgehen oder eine vorhersehbare Methode (1, 2 usw.) verwenden, die leicht zu knacken ist.
NIST empfiehlt, leicht zu merkende Passphrasen zu verwenden
Das NIST schreibt nun eine Mindestlänge von 8 Zeichen vor, was nicht besonders radikal ist; allerdings wird nun auch eine Höchstlänge von mehr als 64 Zeichen gefordert, um die Verwendung von Passphrasen zu fördern. Dies ist eines der zentralen Themen des Dokuments: die Systeme so zu stärken, dass sie sicherere Passwörter verarbeiten können, die für den Benutzer leichter zu merken sind. Mit anderen Worten: Die Last soll auf den Systemen liegen – nicht auf den Benutzern. Zusammen mit Microsoft empfehlen sie zudem ein Wörterbuch mit gängigen Passwörtern, das verwendet werden kann, um schwache Passwörter (z. B. „passw0rd!“) zu blockieren, wenn der Benutzer versucht, diese festzulegen.
Eine weitere Anforderung, über die wir uns alle freuen werden , ist die Zulassung von Leerzeichen, allen ASCII-Zeichen und möglicherweise sogar Unicode-Zeichen (wie Emojis) in Passwörtern. Können Sie sich vorstellen, Emojis in Ihren Passwörtern zu verwenden? Da muss mir erst einmal jemand ein paar Tastenkombinationen zeigen, bevor ich das ausprobiere! Leerzeichen können Probleme verursachen, da es schwierig ist, ein einzelnes von zwei Leerzeichen zu unterscheiden. Dies wird jedoch durch eine weitere neue Empfehlung etwas erleichtert: Der Nutzer soll die Möglichkeit haben, das eingegebene Passwort anzuzeigen, sofern es nach Ablauf einer bestimmten Zeitspanne wieder ausgeblendet wird. Wir haben beobachtet, dass diese Funktion immer häufiger zum Einsatz kommt, und ich freue mich darüber.
Ablaufende Passwörter stoppen
Sowohl Microsoft als auch das NIST befassen sich mit dem Thema Passwortablauf und empfehlen beide, dass Passwörter nicht willkürlich nach einer bestimmten Zeitspanne ablaufen sollten, es sei denn, es liegen Anzeichen für eine Kompromittierung vor. Im Gegensatz zu lokalen Identitätssystemen wie Active Directory haben sich die meisten Websites schon immer an diese Regel gehalten. Ich möchte ihnen jedoch nicht das Verdienst zuschreiben, in ihren Passwortrichtlinien vorausschauend gehandelt zu haben; sie wollten lediglich den Aufwand vermeiden, den ein Passwortablauf für ihre Helpdesks und ihre Kunden mit sich bringen würde.
Das NIST lehnt wissensbasierte Authentifizierungsverfahren (Hinweise) ab, die von einem Angreifer herausgefunden oder durch Brute-Force-Angriffe geknackt werden können. Seien wir ehrlich: Die meisten Kriminellen kennen mittlerweile den Mädchennamen Ihrer Mutter. Das NIST empfiehlt zudem, keine Zusammensetzungsregeln zu verwenden, da diese für den Benutzer zu kompliziert sind und nicht so viel Sicherheit bieten, wie ursprünglich angenommen.
Zeit, sich von SMS zu verabschieden
Eine große Änderung, die für viel Gesprächsstoff gesorgt hat, ist die Abkündigung ( „wir werden sie zwar noch nicht ganz abschaffen, aber auch nicht mehr weiterentwickeln“) der Verwendung von SMS als zweiter Authentifizierungsfaktor. Zudem wird die Verwendung einer VoIP-Nummer (z. B. Google Voice) für die SMS-Authentifizierung gänzlich abgelehnt, da es sich dabei nicht um einen echten zweiten Faktor handelt: Es ist nichts, was Sie besitzen. Ihre Bedenken hinsichtlich SMS im Allgemeinen bestehen darin, dass der Dienst nicht so sicher ist, wie er sein sollte, da er nicht für diese Art der Nutzung konzipiert wurde. Kriminelle haben Malware entwickelt, die SMS-Nachrichten umleiten kann, und durch SIM-Swapping können Kriminelle die Nachrichten eines Nutzers kapern.
Sollten Sie in einer Branche tätig sein, die Compliance-Richtlinien wie HIPAA einhalten muss, können Sie diese neuen Empfehlungen leider nicht einfach umsetzen, sofern sie im Widerspruch zu den Richtlinien stehen. Sie müssen abwarten – möglicherweise Jahre –, bis die Richtlinien den Empfehlungen angeglichen werden.
Sind Sie mit einer dieser neuen Richtlinien nicht einverstanden? Es handelt sich um einen Spezifikationsentwurf, und das NIST bittet ausdrücklich um Ihre Mitwirkung und Ihr Feedback auf GitHub.
