bcrypt

aus Wikipedia, der freien Enzyklopädie
Wechseln zu: Navigation, Suche

bcrypt ist eine kryptologische Hashfunktion, die speziell für das Hashen und Speichern von Passwörtern entwickelt wurde. Die auf dem Blowfish-Algorithmus basierende Funktion wurde von Niels Provos und David Mazières konzipiert und auf der USENIX-Konferenz im Jahre 1999 der Öffentlichkeit präsentiert.

Hintergrund[Bearbeiten]

Um Benutzer einer Anwendung oder Website zu authentifizieren, wird in der Regel eine Kombination von Benutzername oder E-Mail-Adresse und einem Passwort eingesetzt. Die Website muss das Passwort hierzu speichern, allerdings ist das Speichern des Passworts in unverschlüsselter Form ein beachtliches Sicherheitsrisiko. Falls Passwort und Benutzername einem Dritten bekannt werden (etwa, falls die Website gehackt wird), kann dieser sich gegenüber der Website authentifizieren. Da viele Anwender für viele Dienste die gleiche Kombination von Benutzername und Passwort verwenden, kann dies auch weitere Dienste betreffen.

Dieses Problem wird in der Regel mittels kryptographischer Hashfunktionen umgangen. Dabei wird mit einer solchen Funktion ein Hashwert des Passwortes ermittelt und gespeichert. Solche Funktionen zeichnet aus, dass das Original-Passwort nicht wiederhergestellt werden kann. Um den Benutzer zu authentifizieren, wird die Eingabe des Benutzers mit der gleichen Funktion gehasht und die beiden Hashwerte verglichen – wenn die Original-Passwörter gleich sind, sind auch die Hashwerte gleich.

Die Hashfunktionen MD5 und die Secure Hash Algorithm (SHA1 usw.) sind mit dem Ziel entwickelt worden, die Daten möglichst effizient zu hashen, da sie etwa auch zur Verifizierung von großen Dateien verwendet werden. Diese Effizienz erleichtert es aber auf der anderen Seite, die Passwörter mittels Brute-Force-Attacken zu erraten oder sog. Rainbow-Tables zu erstellen.

Design[Bearbeiten]

Passwort-Hashing-Verfahren wie PBKDF2, scrypt und auch bcrypt wurden dagegen mit dem Ziel entwickelt, das Hashing möglichst aufwändig zu gestalten. Für normale Anwendungszwecke fällt dieser Aufwand gegenüber anderen Faktoren nicht ins Gewicht, erst wenn die Berechnung häufig hintereinander durchgeführt werden soll (wie z. B. bei einem Brute-Force-Angriff), tritt eine erhebliche Verlangsamung ein.

Die Präsentation von bcrypt führte zu diesen Zweck einige Design-Kriterien für Passwort-basierte Schlüsselableitungsfunktionen ein:

  • Bcrypt verfügt über einen je nach Anwendungszweck einstellbaren Kostenfaktor, der den Arbeitsaufwand der Hashwert-Berechnung definiert. Mit diesem Faktor kann auch der Aufwand erhöht werden, wenn sich in der Zukunft die Leistungsfähigkeit der Computer weiterentwickelt.
  • Die Funktion soll für den Kontext, für den sie konstruiert wurde, optimiert sein. Performance-Vorteile für Hardware-Implementierungen und andere Programmiersprachen sollen gering ausfallen, da solche Vorteile einem Angriff zugutekommen.
    • Eine (moderate) Speicheranforderung begrenzt den Vorteil von Hardware-Optimierungen. Bcrypt fordert 14 KB Arbeitsspeicher an.
    • Software-Implementierungen sollen auf Operationen beruhen, die für CPUs optimiert sind, wie exklusiv-Oder, Addition oder Shift-Operationen.

Die NIST-Empfehlung von 2010 zur PBKDF2[1] berücksichtigt nur das erste Kriterium. Aufgenommen und erweitert wurden diese Kriterien jedoch in der Schlüsselableitungsfunktion scrypt und von der Password Hashing Competition.[2]

Funktionsweise[Bearbeiten]

Bcrypt unterscheidet sich nur in einigen Punkten von der Blockverschlüsselung Blowfish. Die Verlangsamung findet hauptsächlich innerhalb der Passwort-abhängigen Berechnung der Runden-Schlüssel und der S-Boxen statt. Diese werden in mehreren Runden abhängig vom Salt und dem Passwort durch die Funktion EksBlowfishSetup modifiziert. Die Anzahl dieser Runden ist 2 hoch der cost-Parameter. Im Anschluss daran wird mit den so erzeugten Runden-Schlüsseln und S-Boxen der 192-Bit-Wert "OrpheanBeholderScryDoubt" 64-mal im ECB-Modus verschlüsselt.

Sicherheit[Bearbeiten]

Kritisch ist die Beschränkung der Länge des Passworts durch bcrypt auf 55 Bytes, auch wenn die meisten Passwörter diese Grenze nicht überschreiten. Die Speicheranforderung von 14 KB wird der Anforderung, Hardware-Implementierungen beispielsweise in FPGAs und ASICs zu limitieren, nicht gerecht. Dennoch schneidet bcrypt bei Vergleichen in Bezug auf Angriffe mit spezialisierter Hardware oft besser ab als die meisten anderen Passwort-basierten Schlüsselableitungsfunktionen, abgesehen von scrypt.[3][4]

Weblinks[Bearbeiten]

Einzelnachweise[Bearbeiten]

  1. Meltem Sonmez Turan; Elaine B. Barker; William E. Burr; Lidong Chen: Recommendation for Password-Based Key Derivation Part I: Storage Applications. NIST SP – 800-132, 2010.
  2. Password Hashing Competition: Call for submissions. Kriterien für Passwort-basierte Schlüsselableitungsfunktionen.
  3. Colin Percival: Stronger Key Derivation via Sequential Memory-Hard Functions. Präsentation auf dem BSDCan'09. Auf S. 14 werden die Kosten zum Brechen verschiedene Funktionen miteinander verglichen.
  4. http://www.openwall.com/presentations/Passwords12-The-Future-Of-Hashing/ Enthält auf S. 45 und 46 einen Vergleich bezüglich FPGAs/ASICs und GPUs.