Hash-Funktion

Das National Institute of Standards and Technology schreitet mit der Standardisierung von SHA-3 voran und bittet nun um Kommentare von Krypto-Experten. Zuletzt war der Prozess scharf kritisiert worden.

Mit dem Ende der Einreichungsfrist der Password Hashing Competition sind 24 Algorithmen akzeptiert worden. Es fällt auf, dass einige der konkurrierenden Methoden von bekannten Password-Crackern entwickelt wurden.

SHA-1 ist nicht mehr sicher, wird aber trotzdem noch gerne verwendet. Selbst Behörden wie das US-amerikanische NIST und das deutsche BSI hielten sich zu Beginn des Jahres nicht an die eigenen Vorgaben.

Forscher werfen dem NIST vor, den SHA-3-Algorithmus Keccak für die Standardisierung unsicherer zu machen. Sichere Hashverfahren werden insbesondere für digitale Signaturen und Integritätschecks von Software benötigt.

Die Entwickler haben 618.473 Zeilen Quellcode angefasst, um zahlreiche Krypto-Verfahren zu implementieren. Außerdem knackt das Tool nun auch Passwörter, die länger als 15 Zeichen sind – und hält sich auf Wunsch an Passwort-Policies.

Wer den wohl gemeinten Tipps folgt und für jeden Dienst ein eigenes Passwort verwendet, braucht entweder ein fotografisches Gedächtnis oder die richtigen Tricks, um das scheinbare Chaos in den Griff zu bekommen.

Ein eigentlich cleveres Konzept zum Nachladen von Code entpuppt sich als potentielle Hintertür, weil dabei ungeeignete Krypto-Funktionen zum Einsatz kommen. So könnten Dritte Teile des Mega-Codes manipulieren.

Kurz vor der für den Sommer erwarteten Kür eines Nachfolgers für den Secure Hash Algorithm 2 (SHA2) kommen Zweifel auf, ob er wirklich gebraucht wird. Das NIST spricht bereits nicht mehr von einer "Nachfolge", sondern von einer "Ergänzung".

Unter Lion haben auch Nutzer ohne Root-Rechte Zugriff auf die Passwort-Hashes aller anderen Nutzer, berichtet ein Sicherheitsexperte. Anhand der Hashes kann man das ursprüngliche Passwort herausfinden.

Der Wettbewerb des US-amerikanischen NIST für einen Nachfolger des angeschlagenen SHA-Hashes geht in die letzte Runde. Von den 14 Algorithmen der Runde 2 blieben nur noch fünf übrig – und drei davon haben ihre Wurzeln in Europa.

Die geringen Zugriffszeiten von schnellen, modernen Flash-Speichern ermöglichen das Auslagern größerer Rainbow-Tables auf den Massenspeicher.

Durch einen überraschend simplen Angriff lassen sich unautorisierte API-Anfragen im Namen einer anderen, registrierten Applikation stellen.

Im Wettbewerb um die nächste Generation kryptografischer Hash-Funktionen, SHA-3, gehen 14 Algorithmen in die zweite Runde.

Der Algorithmus zählte trotz seiner vergleichsweise geringen Geschwindigkeit zu den Favoriten. Auch die Begründung von Entwicklungsleiter Ron Rivest für den Rückzug überraschte selbst Insider.

Experten haben Pufferüberläufe und andere Sicherheitsprobleme in einigen Implementierungen der Kandidaten für den neuen Hash-Standard entdeckt.