Brute force und MFA
Brute force ist einer der sechs Angriffstypen des Kartenduells, und MFA ist die Verteidigung, die ihn kontert. Hier erfährst du, wofür sie in der echten Sicherheit stehen, wie sie sich im Spiel gegenüberstehen, und findest alle 19 Karten.
Der Angriff: Brute force
Brute Force probiert Passwort um Passwort, bis eines passt. Die schlaueren Varianten sind Wörterbuchangriffe, die die häufigsten Wörter verwenden, Password Spraying, das wenige Passwörter bei sehr vielen Konten testet, um keine Sperren auszulösen, und Credential Stuffing, das anderswo gestohlene Zugangsdaten wiederverwendet. Es funktioniert, weil viele Passwörter kurz, vorhersehbar oder auf mehreren Seiten gleich sind.
Die Verteidigung: MFA
Die Multi-Faktor-Authentifizierung (MFA) verlangt neben dem Passwort einen zweiten Nachweis: einen zeitlich begrenzten Code, eine Benachrichtigung auf dem Handy, einen Hardware-Schlüssel oder einen Passkey. So reicht ein erratenes oder gestohlenes Passwort nicht mehr aus. FIDO2-Schlüssel und Passkeys widerstehen sogar Phishing, weil sie auf einer gefälschten Seite nicht funktionieren.
Was was stoppt
- MFA gegen Brute force: halber Schaden. Selbst wenn das Passwort erraten wird, fehlt der zweite Faktor: Der Zugang bleibt verschlossen.
- Brute force gegen IDS: doppelter Schaden. Jeder Versuch ist eine reguläre Anmeldung auf der richtigen Seite: Ein langsamer, verteilter Angriff sieht wie normaler Verkehr aus.
- Brute force gegen Patch: doppelter Schaden. Er nutzt keine Lücke, er verwendet die Anmeldefunktion, wie sie ist: Kein Update macht ein schwaches Passwort stark.
- Exploit gegen MFA: doppelter Schaden. Der Exploit geht nicht über die Anmeldung, er umgeht die Authentifizierung komplett: Der zweite Faktor kommt nie ins Spiel.
- Scan gegen MFA: doppelter Schaden. Ein Scan versucht nicht, sich bei einem Konto anzumelden, er schaut nur, was antwortet: Der zweite Faktor spielt keine Rolle.
In allen anderen Paarungen ist der Schaden normal.
Kombos mit Brute force
- Kill Chain (Scan → Exploit oder Brute force, +2 Schaden): Erst findet man heraus, was offenliegt, dann greift man die gefundene Schwachstelle an.
- Diebstahl von Zugangsdaten (Phishing → Brute force, +2 Schaden): Per Phishing erbeutete Passwörter machen Anmeldeversuche viel wirksamer.
Angriffskarten Brute force (10)
Password spray
Probiert wenige gängige Passwörter an sehr vielen Konten aus, um keine Sperren auszulösen.
Wörterbuchangriff
Probiert die häufigsten Passwörter durch, eins nach dem anderen. Klappt öfter, als man denkt.
Credential stuffing
Nutzt anderswo gestohlene Zugangsdaten erneut: Es klappt, weil Passwörter wiederverwendet werden.
Flächendeckende Brute Force
Solider Angriff zu mittleren Kosten.
Credential dump
Du ziehst eine Karte.
Low and slow
Wenige Versuche in großen Abständen: Sie bleiben unter der Alarmschwelle und keine Sperre greift. 2 Züge lang verlieren gegnerische Verteidigungen zu Zugbeginn 1 Widerstand.
Offene API-Schlüssel
Ein in einem öffentlichen Repository vergessener Schlüssel ist so viel wert wie ein Passwort. Vermieden durch Geheimnisse in einem Tresor und Repository-Scans. Der Gegner wirft 1 zufällige Karte ab.
Rainbow table
Starker Angriff ohne Effekte.
MFA-Fatigue
Salven von Bestätigungsanfragen, bis der müde Nutzer zustimmt. Beantwortet mit Nummernabgleich und einer Obergrenze für Anfragen. Gegnerische Verteidigungen sind 2 Züge lang exponiert (+1 Schaden).
Pass-the-Hash
Der Fingerabdruck eines Passworts genügt, um von einer Maschine zur nächsten zu springen, ohne es zu kennen. Begrenzt durch eindeutige lokale Zugangsdaten und Administrationsebenen. Die stärkste gegnerische Verteidigung verliert 2 Widerstand und gegnerische Verteidigungen sind 2 Züge lang exponiert (+1 Schaden).
Verteidigungskarten MFA (9)
OTP-Code
Zweiter Faktor mit einem zeitlich begrenzten Code: Das Passwort allein reicht nicht mehr.
Passwort-Manager
Lange, unterschiedliche Passwörter für jede Seite, ohne dass du sie dir merken musst. Günstige Verteidigung.
Hardware-Schlüssel
FIDO2-Schlüssel: widersteht sogar dem Phishing von Zugangsdaten.
Bastion host
Spott: muss zuerst getroffen werden.
Passkey
Regeneriert: +1 Widerstand zu Zugbeginn.
Netzwerkzugangskontrolle (NAC)
Jedes Gerät muss sich ausweisen, bevor es hineinkommt: Ein Unbekannter bleibt draußen oder landet in Quarantäne. Spott: muss zuerst getroffen werden. Schild: −1 bei jedem Treffer auf deinen Core.
Verschlüsselter Tresor
Ein digitaler Tresor: verschlüsselte Daten, die sich nur mit mehreren Faktoren öffnen. Rüstung: −1 bei jedem erlittenen Treffer.
Zero-Trust-Festung
Eine Architektur, in der jeder Zugriff geprüft wird, auch von innerhalb des Netzes. Rüstung: −1 bei jedem erlittenen Treffer. Schild: −1 bei jedem Treffer auf deinen Core.
FIDO2-Schlüssel
Die Zugangsberechtigung ist an die echte Seite gebunden: Auf einer falschen bringt sie nichts, und Phishing verliert seinen Zweck. Gegenangriff: Wer sie trifft, verliert 1 Integrität.
Passende Guides (auf Englisch)
Für die technische Seite gibt es die simulierten Labore: