passwortbasierte

Passwortbasierte Verfahren verwenden Passwörter als primäres Geheimnis bei der Identifikation oder dem Zugriff auf Daten. Als Oberbegriff bezeichnet der Ausdruck alle Methoden, die ein vom Benutzer gewähltes Kennwort nutzen, um eine Identität zu prüfen oder einen Schlüssel abzuleiten. In der passwortbasierten Authentifizierung gibt der Nutzer ein Passwort ein, das gegen eine gespeicherte Repräsentation geprüft wird. Wichtige Bausteine sind Salt, Hash-Funktion und oft eine zusätzliche Pepper, um Vorberechnungen zu erschweren.

Bei der passwortbasierten Authentifizierung werden Passwörter gehasht und mit einem Salt versehen, das pro Konto zufällig erzeugt wird. Das Salt verhindert, dass gleiche Passwörter zu identischen Hashes führen. Um Brute-Force-Angriffe zu erschweren, kommen Key-Derivation Functions (KDF) wie PBKDF2, bcrypt, scrypt oder Argon2 zum Einsatz, oft mit einer festgelegten Iterationszahl und begrenzten Zeitfenstern. Bei der passwortbasierten Verschlüsselung (PBE) dient das Passwort der Ableitung eines kryptografischen Schlüssels, der zum Verschlüsseln von Daten verwendet wird. Auch hier kommen KDFs mit Salt und Parameter zum Einsatz, sodass der Schlüssel sicher aus dem Passwort abgeleitet wird.

Sicherheitserwägungen: Schwache Passwörter, Wiederverwendung und Phishing bleiben zentrale Risiken. Gegenmaßnahmen umfassen Multi-Faktor-Authentifizierung, starke Passwortrichtlinien, Nutzung von Passwortmanagern, Rate-Limiting, Kontosperrungen und regelmäßige Aktualisierung je nach Risiko.

Standards und Praxis: Richtlinien wie NIST SP 800-63 empfehlen den Einsatz starker KDFs, angemessener Parameter und die Trennung von Passwort- und Schlüsselmaterial. Passwortbasierte Verfahren bleiben weit verbreitet, stehen jedoch im Spannungsfeld mit passwortlosen Ansätzen, die Phishing-resistenter und benutzerfreundlicher sein können.