Wetenschappers hebben een nieuw systeem ontwikkeld voor het beveiligen van wachtwoorden, waardoor het zo goed als onmogelijk zou moeten worden om wachtwoorden uit een gestolen database te achterhalen. Dit zou de gevolgen van een gestolen database moeten beperken of zelfs elimineren.

Om wachtwoorden te beschermen gebruiken de meeste databases een hash. Dit is een encryptietechniek die één kant op werkt. Van het wachtwoord van de gebruiker wordt een hash gemaakt, die vervolgens in de database wordt opgeslagen. Een aanvaller die de database steelt kan vervolgens proberen om de hashes te kraken en zo de bijbehorende wachtwoorden te vinden.

Als extra beveiligingsmaatregel kunnen de hashes worden gesalt. Hierbij wordt er willekeurige data aan het wachtwoord van de gebruiker toegevoegd, om hier vervolgens een hash van te maken. Een salt zorgt ervoor dat het langer duurt om de hashes te kraken, maar maakt het niet onmogelijk. Daarnaast kan een aanvaller die toegang tot het systeem heeft ook de salt-waarde achterhalen.

PolyPasswordHasher

Volgens wetenschappers van de New York University Polytechnic School of Engineering is dit geen ideaal systeem en ze hebben daarom een andere oplossing bedacht, genaamd PolyPasswordHasher. Deze methode gebruikt een compleet andere aanpak, waarbij de hashes op een systeem zo worden opgeslagen dat ze alleen kunnen worden gecontroleerd als er een bepaald aantal wachtwoorden bekend zijn. Zonder deze juiste hoeveelheid wachtwoorden is het onmogelijk om een willekeurige hashwaarde te valideren.

13 miljard jaar

Als voorbeeld geven de wetenschappers dat het kraken van drie gehashte en gesalte wachtwoorden op een moderne laptop, die een miljard hashes per seconde kan controleren, ongeveer een uur zou duren. Met PolyPasswordHasher zou dit meer dan 13 miljard jaar zijn, de geschatte leeftijd van het heelal. De wetenschappers stellen dat PolyPasswordHasher de eerste beveiligingsoplossing is die deze aanpak kiest en het eerste softwarematige, single-serversysteem dat de zoekruimte voor een aanvaller exponentieel laat toenemen.

Het systeem kan volgens de wetenschappers dan ook de impact van een gehackte database verminderen of zelfs elimineren. Daarnaast zou PolyPasswordHasher eenvoudig aan bestaande systemen zijn toe te voegen. Op dit moment wordt de beveiligingsoplossing als onderdeel van de Password Hashing Competitie getest.