Onderzoeker bedenkt 'martel-proof' wachtwoord
Een lang wachtwoord mag dan lastig zijn te kraken, tegen iemand die met fysiek geweld dreigt biedt het weinig bescherming, maar een onderzoeker heeft daar nu een oplossing voor bedacht. Rubber-hose cryptanalysis is het via geweld verkrijgen van een wachtwoord. In 2009 zouden de Turkse autoriteiten mogelijk het wachtwoord uit creditcardhandelaar Maksym Yastremskiy hebben geslagen, hoewel dit nooit is bewezen en de Turkse autoriteiten dit ontkennen.
Wachtwoord
Het wordt echter niet uitgesloten dat in sommige landen rubber-hose cryptanalysis wordt toegepast. Om gebruikers in dit soort landen te beschermen bedacht Hristo Bojinov van Stanford University een systeem waarbij gevoelige informatie in de hersenen wordt opgeslagen, maar waarbij het niet mogelijk is om de informatie bewust te verstrekken. De techniek combineert cryptografie en hersenwetenschap.
Tijdens verschillende tests moesten vrijwilligers een wachtwoord leren en later dat wachtwoord gebruiken om de test te kunnen slagen. Ze konden het wachtwoord echter niet geven als hier om werd gevraagd. Het systeem is gebaseerd op impliciet leren, waarbij mensen onbewust een patroon aanleren.
Volgorde
Bojinov en zijn collega's ontwikkelden een spel waarbij spelers vallende objecten moeten opvangen door op een toets te drukken. De objecten verschenen in één van zes mogelijke posities, waarbij elke positie met een andere toets overeenkomt. Zonder dat de spelers het wisten was de positie van de objecten niet altijd willekeurig.
Binnen het spel was een volgorde van 30 opeenvolgende posities die honderd keer tijdens het spel herhaald werd. Spelers maakten minder fouten als ze deze volgorde tijdens andere rondes tegenkwamen. Twee weken later bleken de spelers de volgorde nog steeds te kennen.
Het systeem is nog niet klaar voor gebruik. De onderzoekers willen eerst onderzoeken hoe snel mensen de geleerde 'wachtwoorden' vergeten en hoe snel ze deze aanleren. Bojinov zal op 8 augustus tijdens het USENIX Security Symposium zijn bevindingen presenteren.
Met dank aan Michael voor de tip
Reacties (18)
dus.. dan ben je de overvallers het aan uitleggen dat je je eigen wachtwoord eigenlijk niet weet door dit geweldig system. wat ze heus niet geloven, deze zijn immers niet zo up to date als iedereen hier.
dus slaan ze je maar dood omdat ze denken dat je liegt, ook al wil je het hen geven. well done... well done
dus slaan ze je maar dood omdat ze denken dat je liegt, ook al wil je het hen geven. well done... well done
19-07-2012, 15:49 door
Fwiffo
En hoe willen de onderzoekers dit gaan testen zonder bepaalde internationale verdragen te overtreden??
En hoe is dit veiliger dan? Dan gaan ze naast me zitten als ik dat spelletje moet spelen, en daarna nemen ze de controls weer over...
helaas werkt het voor ons niet meer aangezien wij weten waar het 'wachtwoord' zit.
dan liever sloopbare tokens
dan liever sloopbare tokens
Door Anoniem: En hoe is dit veiliger dan? Dan gaan ze naast me zitten als ik dat spelletje moet spelen, en daarna nemen ze de controls weer over...
Ik denk dat ze dit soort factoren nog gaan testen. Onder stress functioneer je heel anders dus mogelijk kan je je het ook niet meer herinneren.
19-07-2012, 16:23 door
Security Scene Team
Door Anoniem: dus.. dan ben je de overvallers het aan uitleggen dat je je eigen wachtwoord eigenlijk niet weet door dit geweldig system. wat ze heus niet geloven, deze zijn immers niet zo up to date als iedereen hier.
dus slaan ze je maar dood omdat ze denken dat je liegt, ook al wil je het hen geven. well done... well done
dus slaan ze je maar dood omdat ze denken dat je liegt, ook al wil je het hen geven. well done... well done
dat is het doel juist ook, al slaan ze je dood. ze hebben niets.. alleen dat het vast komt te staan dat in dit geval de turkse autoriteiten feitelijk wel iemand slaan wat nu de dood tot gevolg zou hebben. ontkenning is niet meer mogelijk dan.
en ja ze kunnen je een gelijkmatig spel laten spelen om erachter te komen. maar als zij niet de zelfde volgorde aanhouden, komt de gebruiker nog steeds niet achter zijn of haar wachtwoord. het is patroon gerelateerd.
het is zoiets als brute-forcing waar miljoenen wachtwoorden los gelaten worden. alleen dit geval zouden ze miljoenen patronen moeten 'brute-forcen'..
ik zeg, een geweldig idee ik zou best mee willen werken om dit tot een succes te maken. keep it up!
19-07-2012, 16:30 door
DeliciouslyImperfect
Door Anoniem: dus.. dan ben je de overvallers het aan uitleggen dat je je eigen wachtwoord eigenlijk niet weet door dit geweldig system. wat ze heus niet geloven, deze zijn immers niet zo up to date als iedereen hier.
dus slaan ze je maar dood omdat ze denken dat je liegt, ook al wil je het hen geven. well done... well done
Tja, als het gaat om bijvoorbeeld lanceercodes van kernwapens, dan wil je ook liever dat ze zo iemand dood slaan dan dat ze een wachtwoord krijgen. Maar inderdaad, in de meeste gevallen zou ik er ook de voorkeur aan geven dat ze het wachtwoord gewoon krijgen.dus slaan ze je maar dood omdat ze denken dat je liegt, ook al wil je het hen geven. well done... well done
19-07-2012, 16:52 door
Security Scene Team
Door DeliciouslyImperfect:
Door Anoniem: dus.. dan ben je de overvallers het aan uitleggen dat je je eigen wachtwoord eigenlijk niet weet door dit geweldig system. wat ze heus niet geloven, deze zijn immers niet zo up to date als iedereen hier.
dus slaan ze je maar dood omdat ze denken dat je liegt, ook al wil je het hen geven. well done... well done
Tja, als het gaat om bijvoorbeeld lanceercodes van kernwapens, dan wil je ook liever dat ze zo iemand dood slaan dan dat ze een wachtwoord krijgen. Maar inderdaad, in de meeste gevallen zou ik er ook de voorkeur aan geven dat ze het wachtwoord gewoon krijgen.dus slaan ze je maar dood omdat ze denken dat je liegt, ook al wil je het hen geven. well done... well done
dus eigenlijk bedoelje: ze slaan me toch wel dood, dus dan kan ik net zogoed alle mensen mee nemen de dood in?
hmm ik ruik hier security fail. ( en in dit geval zou je het wachtwoord niet kunnen geven ) als dit blijkt te werken, worden ook die "noobs" vanzelf bewust van het bestaan van zulke technieken. dus ik geloof best dat de overvaller waar jullie overpraten zou geloven dat dit ook zo is . hij heeft geen keus. als hij je dood slaat, weetie zeker dat hij niks krijgt.
het zou heel goed kunnen bewijzen dat autoriteiten wel mensen dood slaan voor wachtwoorden. iets wat ik toe juich want de overheden schuiven alles toch maar in het doofpotje, wil je dat dan?
Security zou niet moeten bestaan op princiepes en wat je in zo'n geval zou doen alsje bijv een pistool op je hoofd gezet krijgt. security moet zekerheid bieden dat de persoon met het pistool vast tegen jou hoofd, geen lanceer codes kan bemachtigen. denk je eens in: als hij die kern wapens zou lanceren, en hij laat je leven om dat je het gegeven hebt je toch wel dood gaat door de kern wapens. dus....
Security Scene Team; als het om zulke dingen gaat als lanceer codes geef ik je gelijk. maar andere gevallen zoals kredietkaart handelaar... waar eigenlijk nog een oplossing aan te geven is ook al geef je het wachtwoord... neem ik aan dat sommige mensen liever het wachtwoord willen geven dan hun familie leden zien lijden.
maar goed, ik geef je gelijk als het om extreme gevalle gaat.
maar goed, ik geef je gelijk als het om extreme gevalle gaat.
19-07-2012, 18:04 door
WhizzMan
Dit wijkt volgens mij niet veel af van computers die handtekeningen herkennen door de beweging en de druk op de pen op te slaan en niet naar de uiteindelijke afbeelding te kijken.
Wat je hier niet mee voorkomt is dat als het wachtwoord op wat voor manier dan ook alsnog achterhaald is, de kwaadwillenden hun doel bereiken. Door met een wachtwoord te werken wat wel lijkt te werken, maar subtiel de kwaadwillenden alleen maar laat denken dat ze geslaagd zijn, bereik je denk ik meer. Je slaat alarm dat de persoon die het wachtwoord gegeven heeft in verkeerde handen is gevallen, zodat daar maatregelen op genomen kan worden en de kwaadwillende is voor korte of langere tijd in de veronderstelling dat zijn doel bereikt is. Zeker als je daardoor iemand subtiel foute informatie kan geven waardoor zijn spionageactiviteiten contraproductief zijn, heb je hier meer aan dan een biometrisch kunstje wat ongetwijfeld weer te omzeilen is.
Wat je hier niet mee voorkomt is dat als het wachtwoord op wat voor manier dan ook alsnog achterhaald is, de kwaadwillenden hun doel bereiken. Door met een wachtwoord te werken wat wel lijkt te werken, maar subtiel de kwaadwillenden alleen maar laat denken dat ze geslaagd zijn, bereik je denk ik meer. Je slaat alarm dat de persoon die het wachtwoord gegeven heeft in verkeerde handen is gevallen, zodat daar maatregelen op genomen kan worden en de kwaadwillende is voor korte of langere tijd in de veronderstelling dat zijn doel bereikt is. Zeker als je daardoor iemand subtiel foute informatie kan geven waardoor zijn spionageactiviteiten contraproductief zijn, heb je hier meer aan dan een biometrisch kunstje wat ongetwijfeld weer te omzeilen is.
19-07-2012, 19:25 door
DeliciouslyImperfect
Door Security Scene Team:
dus eigenlijk bedoelje: ze slaan me toch wel dood, dus dan kan ik net zogoed alle mensen mee nemen de dood in?
hmm ik ruik hier security fail.....
Door DeliciouslyImperfect:
Door Anoniem: dus.. dan ben je de overvallers het aan uitleggen dat je je eigen wachtwoord eigenlijk niet weet door dit geweldig system. wat ze heus niet geloven, deze zijn immers niet zo up to date als iedereen hier.
dus slaan ze je maar dood omdat ze denken dat je liegt, ook al wil je het hen geven. well done... well done
Tja, als het gaat om bijvoorbeeld lanceercodes van kernwapens, dan wil je ook liever dat ze zo iemand dood slaan dan dat ze een wachtwoord krijgen. Maar inderdaad, in de meeste gevallen zou ik er ook de voorkeur aan geven dat ze het wachtwoord gewoon krijgen.dus slaan ze je maar dood omdat ze denken dat je liegt, ook al wil je het hen geven. well done... well done
dus eigenlijk bedoelje: ze slaan me toch wel dood, dus dan kan ik net zogoed alle mensen mee nemen de dood in?
hmm ik ruik hier security fail.....
Uuuuh, nee. Wat ik bedoelde was dat wachtwoorden gelukkig meestal niet gaan om dingen waarmee je de halve wereld bevolking kunt uitroeien. En in al die andere gevallen vind ik: laat ze er maar vandoor gaan met de bedrijfsgeheimen, de goudreserve of weet ik het wat, een mensenleven is belangrijker.
19-07-2012, 19:51 door
spatieman
sorry, waar ging dit artikel over?
ben nog al vergeetachtig.
ben nog al vergeetachtig.
Het zou best kunnen dat je iets weet zonder te weten dat je het weet en het daardoor ook de informatie niet bewust kunt geven. Ik geef het volgende voorbeeld uit persoonlijke ervaring.
Op mijn achttiende, haalde ik zowel een motor- als een autorijbewijs. Ik heb de eerste motor twee jaar gehad en toen heb ik hem weg gedaan omdat ik er achter kwam dat jeugdige overmoed, motorrijden en een lang leven statistisch niet goed samen gaan.
Vijf jaar gelden - veertig jaar na die eerste motor - begon het bloed weer te kriebelen en heb ik toch weer een motor aangeschaft. Als je mij toen gevraagd had of de eerste versnelling naar boven of naar beneden is, had ik het niet kunnen zeggen. Mijn hersenen waren het vergeten. Maar de voet, of zo je wilt het ruggemerg, wist het na veertig jaar nog wel. Ik stapte er open en zonder er over na te denken drukte de voet het versnellingspedaal naar beneden voor de eerste versnelling...
MV
Op mijn achttiende, haalde ik zowel een motor- als een autorijbewijs. Ik heb de eerste motor twee jaar gehad en toen heb ik hem weg gedaan omdat ik er achter kwam dat jeugdige overmoed, motorrijden en een lang leven statistisch niet goed samen gaan.
Vijf jaar gelden - veertig jaar na die eerste motor - begon het bloed weer te kriebelen en heb ik toch weer een motor aangeschaft. Als je mij toen gevraagd had of de eerste versnelling naar boven of naar beneden is, had ik het niet kunnen zeggen. Mijn hersenen waren het vergeten. Maar de voet, of zo je wilt het ruggemerg, wist het na veertig jaar nog wel. Ik stapte er open en zonder er over na te denken drukte de voet het versnellingspedaal naar beneden voor de eerste versnelling...
MV
20-07-2012, 10:46 door
wizzkizz
Door DeliciouslyImperfect:
Tja, als het gaat om bijvoorbeeld lanceercodes van kernwapens, dan wil je ook liever dat ze zo iemand dood slaan dan dat ze een wachtwoord krijgen. Maar inderdaad, in de meeste gevallen zou ik er ook de voorkeur aan geven dat ze het wachtwoord gewoon krijgen.
Er is al een heel goed werkend systeem voor dergelijke zeer kritieke systemen: je geeft een aantal mensen een klein stukje van de toegangscode. Op die manier is het niet mogelijk dat één persoon die rakketten gaat laten lanceren en het is ook een stukje gemakkelijker uit te leggen dan: ik kan het wel, maar ik weet het niet. Echt waar, ik weet het echt niet!Tja, als het gaat om bijvoorbeeld lanceercodes van kernwapens, dan wil je ook liever dat ze zo iemand dood slaan dan dat ze een wachtwoord krijgen. Maar inderdaad, in de meeste gevallen zou ik er ook de voorkeur aan geven dat ze het wachtwoord gewoon krijgen.
Door Anoniem: Het zou best kunnen dat je iets weet zonder te weten dat je het weet en het daardoor ook de informatie niet bewust kunt geven. Ik geef het volgende voorbeeld uit persoonlijke ervaring.
Ik begrijp helemaal wat je bedoeld; skiën is een ander voorbeeld. De meeste mensen moet je niet vragen welke volgorde van bewegingen ze moeten maken om een bocht of noodstop te maken maar als je ze een helling afduwt met de latten onder sturen en remmen ze vanzelf. Het systeem is dus gebaseerd op het aanleren van reflexen. Hoe zou dit op de lange termijn echter invloed kunnen hebben op reflexen die van nature al in mensen aanwezig zijn?
De interface (spelletje met voldoende blokjes in duidelijke resolutie en acceptabele FPS) lijkt me echter niet handig voor devices met gewoonlijk kleine regeldisplays, zoals kluizen, toegangscontrole van panden, etc.
Er zou iets anders verzonnen en gestandaardiseerd moeten worden in de IT wereld. Een token dat aan de ene kant b.v. een vingerafdrukscanner (of andere biometrische verificatie) heeft waarvan de afdruk niet kan worden uitgelezen wordt en alleen een "true" of "false" kan geven aan een ander gedeelte van de token die bij een "true" een gevraagde code aan een systeem kan leveren door een universele interface. Neemt iemand zijn token mee, dan wordt automatisch uitgelogd in het betreffende systeem en anders na x aantal minuten. Verliest men de token dan zou men er niets mee kunnen omdat bij elke login b.v. de vingerafdruk gevraagd worden en bij b.v. verkeerde invoer of gedurende x aantal weken niets doen zou een zelfvernietigingssysteem de token onbruikbaar kunnen maken.
Dit zou in ieder geval een oplossing zijn om voor elke online dienst gescheiden en complexe wachtwoorden in te stellen en deze ook nog kunnen onthouden; wat uiteraard niemand doet omdat het veel te lastig is. Social engineering zou zo ook tegengewerkt worden omdat er geen wachtwoord is wat een gebruiker kan afgeven.
De vraag is zouden zuinige Nederlanders een dergelijk device daadwerkelijk kopen als een eenvoudig wachtwoord voor alle diensten gratis is?
20-07-2012, 12:53 door
Richard F.
TrueCrypt voor de hersens. Fantastisch dit!
20-07-2012, 13:10 door
Security Scene Team
Door Anoniem: Het zou best kunnen dat je iets weet zonder te weten dat je het weet en het daardoor ook de informatie niet bewust kunt geven. Ik geef het volgende voorbeeld uit persoonlijke ervaring.
Op mijn achttiende, haalde ik zowel een motor- als een autorijbewijs. Ik heb de eerste motor twee jaar gehad en toen heb ik hem weg gedaan omdat ik er achter kwam dat jeugdige overmoed, motorrijden en een lang leven statistisch niet goed samen gaan.
Vijf jaar gelden - veertig jaar na die eerste motor - begon het bloed weer te kriebelen en heb ik toch weer een motor aangeschaft. Als je mij toen gevraagd had of de eerste versnelling naar boven of naar beneden is, had ik het niet kunnen zeggen. Mijn hersenen waren het vergeten. Maar de voet, of zo je wilt het ruggemerg, wist het na veertig jaar nog wel. Ik stapte er open en zonder er over na te denken drukte de voet het versnellingspedaal naar beneden voor de eerste versnelling...
MV
Op mijn achttiende, haalde ik zowel een motor- als een autorijbewijs. Ik heb de eerste motor twee jaar gehad en toen heb ik hem weg gedaan omdat ik er achter kwam dat jeugdige overmoed, motorrijden en een lang leven statistisch niet goed samen gaan.
Vijf jaar gelden - veertig jaar na die eerste motor - begon het bloed weer te kriebelen en heb ik toch weer een motor aangeschaft. Als je mij toen gevraagd had of de eerste versnelling naar boven of naar beneden is, had ik het niet kunnen zeggen. Mijn hersenen waren het vergeten. Maar de voet, of zo je wilt het ruggemerg, wist het na veertig jaar nog wel. Ik stapte er open en zonder er over na te denken drukte de voet het versnellingspedaal naar beneden voor de eerste versnelling...
MV
het is misschien een moeilijk voorbeeld, maar inderdaad dat is het idee er achter.
20-07-2012, 15:57 door
Charley51
Het kan natuurlijk veel simpeler: 2 wachtwoorden invoeren. Het eerste wachtwoord opent het systeem, zoals gewenst. Het 2e wachtwoord triggert een andere actie: er wordt een systeem geopend met onschuldige gegevens, wat geen kwaad kan bij ongeoorloofd gebruik èn er wordt een vooraf ingestelde waarschuwing verstuurd naar een bepaald adres, danwel een gedeelte van de schijf onbruikbaar gemaakt, de gewenste gegevens gewist, of een andere actie gestart, ter voorkoming van uitlekken van gegevens, enz. enz. Een beetje á la het Truecriptconcept: een container binnen een container.
Krijg je een pistool tegen je hoofd gedrukt, dan geef je het 2e wachtwoord, waarbij je natuurlijk zo angstig/onschuldig mogelijk kijkt.
Voor het gemak van het onthouden van het 2e wachtwoord zou je het omgekeerde 1e wachtwoord kunnen hanteren, of een andere makkelijk te onthouden truc kunnen gebruiken.
V.w.b. die kern-raketten: Die kunnen pas na authorisatie van minimaal 3 personen worden afgevuurd, ter voorkoming, dat een depressief figuur in zijn 1-tje een wereldoorlog kan ontketenen. Daarbij zijn ook nog speciale (fysieke) sleutels nodig. Dat systeem zit redelijk goed dichtgetimmerd.
Krijg je een pistool tegen je hoofd gedrukt, dan geef je het 2e wachtwoord, waarbij je natuurlijk zo angstig/onschuldig mogelijk kijkt.
Voor het gemak van het onthouden van het 2e wachtwoord zou je het omgekeerde 1e wachtwoord kunnen hanteren, of een andere makkelijk te onthouden truc kunnen gebruiken.
V.w.b. die kern-raketten: Die kunnen pas na authorisatie van minimaal 3 personen worden afgevuurd, ter voorkoming, dat een depressief figuur in zijn 1-tje een wereldoorlog kan ontketenen. Daarbij zijn ook nog speciale (fysieke) sleutels nodig. Dat systeem zit redelijk goed dichtgetimmerd.
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
