heise+ | Security-Analyse: Wie wir den Papier-Passwortmanager eesy geknackt haben
Kryptografie ist seit jeher ein Katz-und-Maus-Spiel zwischen den Erfindern von Sicherheitsmaßnahmen und den Angreifern, die sie brechen. Während der Erfinder einer Methode versucht, alle Schwächen auszumerzen, sucht der Angreifer nach Lücken. Als wir eesy, einen Passwortmanager aus Papier als Test- „Gerät“ erhielten, sind wir in die Rolle des Angreifers geschlüpft und fanden eine Schwäche.
- Der Papier-Passwortmanager erstellt durch das Verschieben von 14 bedruckten Pappstreifen zufällig wirkende Passwörter.
- Binnen eines Tages fanden wir einen erfolgreichen Angriff und setzten ihn um.
- Die Analyse zeigt, dass logisch klingende Annahmen in der Kryptografie oft ihre Tücken haben.
Im Verlauf unserer Analyse stießen wir auf eine Angriffsmöglichkeit, gingen ihr nach und teilten unsere Erkenntnisse dem Hersteller mit. Am Ende stand ein Python-Programm, das aus einem einzigen geleakten Passwort automatisiert alle anderen im eesy verwendeten Passwörter bestimmen konnte.
Der Passwortmanager
Bevor wir jedoch unsere Analyse darlegen, ein paar Worte zum Angriffsobjekt: Der Papier-Passwortmanager eesy ist eine Erfindung des Herstellers Insolitum Global. Es handelt sich dabei um eine hübsch designte Mappe, die durch das Verschieben von bedruckten Pappstreifen Passwörter generiert.
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.