Ihr Passwortmanager verschlüsselt Ihren Tresor nicht mit Ihrem Master-Passwort. Er kann es nicht - eine von Menschen getippte Phrase hat weder die Form noch die Stärke eines kryptografischen Schlüssels.
Stattdessen schickt er diese Phrase durch eine Schlüsselableitungsfunktion, kurz KDF, die daraus einen Schlüssel fester Länge macht. Und diese Funktion ist absichtlich langsam gebaut.
Warum Langsamkeit die Funktion ist
Dauerte die Ableitung eine Mikrosekunde, könnte ein Angreifer mit einem gestohlenen Tresor Milliarden Kandidaten pro Sekunde durchprobieren. Dauert sie den Bruchteil einer Sekunde, ändert das für Sie nichts - Sie tippen Ihr Passwort einmal - und vervielfacht die Kosten des Angreifers bei jedem einzelnen Versuch.
Das ist der ganze Entwurf. Die Verzögerung, die Sie kaum bemerken, zahlt der Angreifer immer wieder.
Die Zahl, die das steuert
Wie langsam die Ableitung ist, hängt an einem Arbeitsfaktor: Iterationen bei PBKDF2, Speicher und Durchläufe bei Argon2.
Das OWASP Password Storage Cheat Sheet setzt inzwischen Argon2id an die Spitze seiner Empfehlungen, mit mindestens 19 MiB Speicher, 2 Iterationen und 1 Grad Parallelität. Wo FIPS-140-Konformität verlangt ist, empfiehlt es PBKDF2 mit 600.000 Iterationen oder mehr und HMAC-SHA-256.
Bei der historischen Entwicklung lohnt das Innehalten. Die empfohlene PBKDF2-Zahl stieg von 10.000 Iterationen im Jahr 2010 auf heute 600.000 - das Sechzigfache, weil die Hardware der Angreifer schneller wurde, während die Mathematik gleich blieb.
Die Einstellung, die niemand nachprüft
Hier ist die praktische Folge, und sie ist der Grund für diesen Text.
Ihr Konto wurde am Tag seiner Erstellung konfiguriert, mit dem Standardwert dieses Tages. Haben Sie es vor Jahren eröffnet, ist der gespeicherte Arbeitsfaktor womöglich noch der, den man damals für ausreichend hielt - nicht der, den man heute dafür hält. Die Empfehlungen sind gewandert; Ihr Konto ist ihnen nicht von allein gefolgt.
Die meisten ernsthaften Manager machen die Einstellung zugänglich, und mehrere haben ihren Standard auf Argon2id umgestellt. Die Änderung ist meist ein Feld in den Sicherheitseinstellungen, und der Schlüssel wird beim nächsten Entsperren neu abgeleitet.
Zwei Vorsichtsmaßnahmen davor. Ein höherer Arbeitsfaktor macht das Entsperren auf Ihrem langsamsten Gerät träger - dem alten Telefon, nicht dem Desktop -, testen Sie also dort. Und exportieren Sie zuerst eine Sicherung Ihres Tresors: Der Vorgang verschlüsselt neu, und eine Unterbrechung zum falschen Zeitpunkt ist nicht der Moment, um zu bemerken, dass man keine Kopie hatte.
Was den Tresor wirklich schützt
Die Reihenfolge zählt mehr als jede einzelne Zahl.
Ein langes, einzigartiges Master-Passwort kommt zuerst. Kein Arbeitsfaktor rettet eine schwache Phrase; er vervielfacht nur die Zeit, sie zu brechen, und das Vielfache einer sehr kleinen Zahl bleibt klein.
Dann die KDF-Einstellungen, die bestimmen, was ein gestohlener Tresor im Angriff kostet.
Dann alles Übrige - Zwei-Faktor-Authentifizierung schützt das Konto auf den Servern des Anbieters, aber nicht eine exportierte Tresordatei, die ein Angreifer bereits hat. Dagegen wirken nur Master-Passwort und KDF.
Kurz gefasst
Ihr Master-Passwort ist nicht der Schlüssel; es ist die Eingabe einer absichtlich langsamen Funktion, die den Schlüssel erzeugt. Diese Funktion hat einen Arbeitsfaktor, aktuelle Empfehlung ist Argon2id oder PBKDF2 mit 600.000 Iterationen, und der Wert in Ihrem Konto ist vermutlich der Standard vom Tag Ihrer Anmeldung. Einmal hinsehen lohnt sich.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Erhalten Sie NordPass30 Tage Geld-zurück-Garantie · Gratis-Tarif verfügbar→Häufig gestellte Fragen
Was ist ein KDF in einem Passwortmanager?
Eine Schlüsselableitungsfunktion macht aus Ihrem Master-Passwort einen kryptografischen Schlüssel. Eine getippte Phrase hat weder die Länge noch die Stärke, um einen Tresor direkt zu verschlüsseln; der Manager schickt sie deshalb durch eine Funktion wie PBKDF2 oder Argon2id, die einen Schlüssel fester Länge erzeugt. Die Funktion ist absichtlich langsam, denn diese Langsamkeit macht das Raten teuer.
Wie viele KDF-Iterationen sollte ich verwenden?
Die aktuelle OWASP-Empfehlung setzt Argon2id an die erste Stelle, mit mindestens 19 MiB Speicher, 2 Iterationen und 1 Grad Parallelität. Wo FIPS-140-Konformität verlangt ist, wird PBKDF2 mit 600.000 Iterationen oder mehr und HMAC-SHA-256 empfohlen. Zum Vergleich: 2010 galten 10.000 - die Zahl steigt, weil die Hardware der Angreifer schneller wird.
Warum ist eine langsame Funktion gut?
Weil Sie die Verzögerung einmal beim Entsperren zahlen und ein Angreifer bei jedem Kandidaten. Eine Ableitung im Bruchteil einer Sekunde ist für Sie unmerklich und vervielfacht die Kosten eines Brute-Force-Angriffs bei jedem von Milliarden Versuchen. Schnelligkeit würde immer nur dem Angreifer helfen.
Sollte ich die KDF-Einstellung bei einem alten Konto ändern?
Ein Blick lohnt sich, denn Ihr Konto trägt den Standard vom Tag seiner Erstellung, und die Empfehlungen sind seither deutlich gestiegen. Zwei Vorsichtsmaßnahmen: Ein höherer Arbeitsfaktor verlangsamt das Entsperren auf Ihrem langsamsten Gerät, testen Sie also dort statt auf einem schnellen Rechner, und exportieren Sie zuvor eine Sicherung, da die Änderung neu verschlüsselt.
Macht Zwei-Faktor-Authentifizierung das KDF weniger wichtig?
Nein, beide schützen Verschiedenes. Zwei-Faktor-Authentifizierung schützt Ihr Konto auf den Servern des Anbieters. Für eine exportierte oder gestohlene Tresordatei, an der ein Angreifer offline in seinem Tempo arbeiten kann, bewirkt sie nichts. Gegen diese Datei zählen nur die Stärke Ihres Master-Passworts und der Arbeitsfaktor des KDF.