Firefox: Master-Passwort ist seit neun Jahren unsicher

Gespeicherte Passwörter im Browser sind komfortabel, allerdings aus Sicht der Sicherheit kritisch: Bekommt ein Angreifer Zugriff auf den PC, so kann dieser erheblichen Schaden anrichten. 

Thunderbird und Firefox bieten deshalb die Einrichtung eines sogenannten Master-Passworts an, welches die gespeicherten Passwörter schützen soll. Dem AdBlock Plus-Entwickler Wladimir Palant zufolge ist diese Funktion aber nicht optimal geschützt.

So wird das Passwort via SHA-1 verschlüsselt, wobei allerdings lediglich eine einmalige Iteration gewählt wird, der Hash-Vorgang somit nur einmal getätigt wird. Das ist insofern relevant, als dass die Zahl der Iterationen mit der Wahrscheinlichkeit für einen erfolgreichen Brute-Force-Angriff korreliert. So nutzen kommerzielle Applikationen häufig mindestens 10.000 Iterationen, LastPass sogar 100.000.

Absurd: Der Fehler ist bereits seit neun Jahren bekannt - damals wurde der Bug kurz nach dem Release des neuen Features gemeldet. Dabei würde es bereits reichen, die Zahl der Iterationen schlicht zu erhöhen.

Quelle(n)