Nutzerkonten bei Internetdiensten enthalten eine Vielzahl von personenbezogenen Daten wie Nachrichten, Dokumente, Bilder und Bankdaten. Um diese sensiblen Daten vor unberechtigtem Zugriff zu schützen werden Passwörter verwendet. Eine Passwort-basierte Authentisierung hat für Nutzer und Dienstanbieter viele Vorteile. Nutzer können Passwörter bei verschiedenen Plattformen, Geräten und Anwendungen auf die gleiche Art und Weise nutzen. Dienstanbieter können eine Passwort-basierte Authentisierung leicht implementieren sowie mit wenig Aufwand und geringen Kosten betreiben.

Passwörter haben jedoch ein zentrales Problem: Der Konflikt zwischen Sicherheit und Nutzbarkeit. Aus Sicherheitsgründen müssen Passwörter diversen Angriffen wie Wörterbücher, Brute-Force, usw. widerstehen, sich zwischen Konten unterscheiden und regelmäßig geändert werden. Jedoch führen diese drei Sicherheitsanforderungen dazu, dass Passwörter sehr schwer nutzbar sind. Um die Sicherheitsanforderungen zu erfüllen, müssen Nutzer ein großes Portfolio an Passwörtern erstellen und verwalten. Dies führt zu drei Problem: Erstens ist es sehr schwierig sichere Passwörter zu erstellen. Zweitens ist es praktisch unmöglich sich viele Passwörter zu merken. Drittens ist es sehr zeitaufwendig Passwörter regelmäßig zu ändern. Die unterschiedlichen Passwort-Anforderungen sowie Schnittstellen und Prozeduren zur Nutzung von Passwörtern der Dienstanbieter tragen zu einer Verschärfung dieser Probleme bei. Durch das Speichern von Passwörtern auf Nutzergeräten müssen sich Nutzer zumindest ihre Passwörter nicht mehr merken. Jedoch schafft dieser Lösungsansatz neue Probleme: Die Vertraulichkeit, Verfügbarkeit, Wiederherstellbarkeit und Zugreifbarkeit im Notfall der gespeicherten Passwörter muss gewährleistet werden. Trotz jahrelanger Forschung und unzähligen Lösungsvorschlägen sind die Probleme von Passwörtern bis heute nicht gelöst. Daher können Nutzer in der Praxis sichere Passwörter nicht verwenden. Nutzer wählen daher im Alltag einfache Passwörter, verwenden die gleichen Passwörter für mehrere Konten und ändern Passwörter nur sehr selten.

In dieser Arbeit stellen wir das Password Assistance System (PAS) vor. Es ermöglicht Nutzern sichere Passwörter für ihre Konten bei Dienstanbietern im Internet zu verwenden. Dies geschieht durch eine Automatisierung und einer umfassenden Unterstützung bei der Generierung und Verwaltung von Passwörtern. PAS berücksichtigt und umfasst alle Aspekte und Bereiche von Passwörtern. Es generiert, speichert und ändert regelmäßig die Passwörter von Nutzern. Es stellt außerdem die Vertraulichkeit, Verfügbarkeit, Wiederherstellbarkeit und Zugreifbarkeit im Notfall der gespeicherten Passwörter sicher. PAS reduziert damit den Aufwand und die Aufgaben von Nutzern hinsichtlich ihrer Passwörter auf ein Minimum. Nutzer sind mit PAS das erste Mal in der Lage sichere Passwörter in der Praxis einzusetzen.

PAS ist die erste Lösung, die mit den verschiedenen Implementierungen von Passwörtern bei Dienstanbietern umgehen kann. Dies wird durch eine einheitliche Beschreibung der Passwort-Anforderungen, -Schnittstellen und -Prozeduren erreicht. Außerdem ist PAS eine reine Nutzer-seitige Lösung und erfordert keine Änderungen auf Seiten der Dienstanbieter. Mit diesen zwei Eigenschaften ist der Einsatz von PAS in der Praxis gewährleistet.

PAS löst das Problem der Erstellung sicherer Passwörter indem es automatisch Passwörter für Nutzer generiert. Diese Passwörter sind sicher gegen Angriffe, unterschiedlich für jedes Nutzerkonto und entsprechen den jeweiligen Passwort-Anforderungen der Dienstanbieter. Dazu müssen Nutzer nur die URL eines Dienstanbieters angeben. PAS generiert dann ein optimales Passwort automatisch. Eine einheitliche Beschreibung der verschiedenen Passwort-Anforderungen bildet die Grundlage um Passwörter im Einklang mit den jeweiligen Passwort-Anforderungen der Dienstanbieter zu generieren. PAS ist in der Lage diese Beschreibungen automatisch zu erstellen, indem es die Passwort-Anforderungen von den Webseiten der Dienstanbieter extrahiert. Die einheitlichen Beschreibungen der Passwort-Anforderungen wurden in dieser Arbeit bereits für 185.696 Dienstanbieter erstellt. Des Weiteren nutzt PAS optimierte Regeln für die Erstellung von Passwörtern für den Fall, dass die Passwort-Anforderungen eines Dienstanbieters nicht zur Verfügung stehen. Dies gilt für die Mehrheit der Dienstanbieter im Internet, wie wir in einer umfassenden Studie in dieser Arbeit zeigen. Mit diesen Regeln generiert PAS Passwörter, die sicher gegen Angriffe sind und von der Mehrzahl der Dienstanbieter akzeptiert werden.

PAS löst das Problem das sich Nutzer nur wenige Passwörter merken können indem es die Passwörter speichert. Damit ist es möglich unterschiedliche Passwörter für Nutzerkonten zu verwenden. PAS sorgt darüber hinaus dafür, dass die Passwörter auf allen Geräten der Nutzer zur Verfügung stehen einschließlich neuer und geänderter Passwörter. Dies geschieht jedoch ohne die Passwörter auf Servern im Internet zu speichern. Angreifer sind daher nicht in der Lage, die Passwörter von Servern zu stehlen. PAS stellt auch eine Backup Lösung bereit, so dass Nutzer ihre Passwörter nicht verlieren können. Ein Backup muss dabei nur einmal erstellt werden. Eine Aktualisierung ist nicht erforderlich, auch wenn sich Passwörter ändern. Diese Eigenschaft erlaubt es, Backups an sicheren und verschiedenen Orten aufzubewahren. Dies reduziert das Risiko, dass Backups selbst verloren oder zerstört werden, sowie Angreifer Zugriff auf diese erhalten. Darüber hinaus können damit Backups bei vertrauenswürdigen Personen hinterlegt werden, so dass diese im Notfall Zugriff auf die Passwörter haben. PAS bietet darüber hinaus ein Revokationsmechanismus für Nutzergeräte und Backups an. Mit diesem sind Nutzer in der Lage darauf enthaltenen PAS-spezifischen Daten nutzlos zu machen. Angreifer können dann keine Passwörter von gestohlenen Geräten oder Backups entwenden. Nutzer haben damit zu jeder Zeit die volle Kontrolle über ihre Passwörter.

PAS löst ebenfalls das Problem der regelmäßigen Änderungen von Passwörtern. Dies erledigt PAS vollautomatisch. Nutzer müssen weder neue Passwörter erstellen, noch sich bei ihren Konten anmelden. Die einheitliche Beschreibung der Password-Schnittstellen und -Prozeduren der Dienstanbieter ermöglicht eine Automatisierung von Passwort-Änderungen bei beliebigen Diensten. Außerdem ist PAS die erste Lösung die Passwörter autonom ändert. Dies geschieht in regelmäßigen Abständen mit Hinblick auf das Sicherheitsniveau der Passwörter und sobald PAS ein Missbrauch von Passwörtern feststellt.

Die Praxistauglichkeit von PAS ist durch eine Implementierung demonstriert. Die Komponenten von PAS können dabei einzeln genutzt sowie in andere Anwendungen integriert werden. Verbunden zu einer Nutzerapplikation bilden sie den Password Assistant.

Zusammenfassend stellt diese Arbeit ein System bereit, das die Nutzung von sicheren Passwörtern bei Nutzerkonten ermöglicht. Dies wird durch eine Automatisierung und einer umfangreichen Unterstützung bei der Generierung und Verwaltung von Passwörtern erreicht.