19.1.2007 10:40

BSI bietet Passwort-Sicherheitsserver an

Das Bundesamt für Sicherheit in der Informationstechnik gab heute bekannt dass es einen Passwort-Indentitäts-Sicherheits-Server (PISS) der Öffentlichkeit zur freien Benutzung zur Verwendung anbietet. Damit will das BSI erreichen, dass die allgemeine Sicherheit der Passwörter in Deutschland steigt und insbesondere die übliche Praxis, ein Passwort bei mehreren Anbietern zu verwenden, eingedämmt wird.

Der Dienst basiert auf einem einfachen und, wie das BSI betont, offenen Protokol: Der Anwender öffnet eine TCP-Verbindung zum PISS-Port 1433 und sendet das Passwort, worauf der Server entweder mit „OK“ oder „NICHT OK“ antwortet. Microsoft Germany, die bei dem Entwurf von PISS beteiligt waren, bieten einen Client auf ihrer Seite zum Download an (36MB, setzt Windows XP SP3 mit installierter .NET-Umgebung vorraus). Aus der Freien Software Gemeinde gibt es bereits ein Perl-Modul, drei Python-Module sowie Applets für KDE und GNOME.

Was hinter den Kulissen von PISS passiert, ist nicht vollständig bekannt. Klar ist, dass das Passwort auf typische Schwächen überprüft wird (Gerüchten nach durch 10 Zeilen Perl-Code, aber andere halten das übertrieben). Darüber hinaus wird überprüft, ob das Passwort bereits einmal zur Überprüfung an PISS übermittelt wurde: In dem Fall wird es ebenfalls als unsicher eingestuft.

Zusatznutzen erhoffen sich die Betreiber von PISS durch statistische Auswertungen. So der Azubi der Abteilung: „Bruce Schneier konnte damit glänzen, das wollen wir auch!“ (Anm. von heisse news: Bruce Schneier hat kürzlich eine Analyse von 60.000 über myspace.com gephishen Passwörter veröffentlich). Interessierte Forscher können für eine kleine Gebühr die Passwortliste samt Zeitangaben und IP-Adressen beim BSI beantragen. Staatliche Stellen bekommen vergünstigen Zugriff direkt auf die Datenbank.

Parallel zur BSI-Pressekonferenz gab eine Sprecher des Bundesinnenministeriums bekannt, dass der geplante „Bundestrojaner“ zur online Durchsuchung von PCs aus Kostengründen nicht weiter verfolgt wird. „Man habe jetzt etwas besseres“, fügte der Sprecher hinzu und musste sich ein hämisches Lachnen verkneifen. (jb)