Eine Rainbow Table (Regenbogentabelle) ist eine vorberechnete Datenstruktur, mit der Angreifer Passwörter aus ungesalzenen Hashes deutlich schneller ermitteln, als wenn sie jeden Hash während des Angriffs berechnen müssten.
Wie Rainbow Tables funktionieren
Einen Hash zu knacken bedeutet normalerweise, Kandidatenpasswörter zu hashen, bis einer passt. Eine fertige Nachschlagetabelle aller Passwörter samt Hashes wäre schnell, bräuchte aber enormen Speicher. Rainbow Tables, 2003 von Philippe Oechslin vorgestellt und aufbauend auf Martin Hellmans Time-Memory-Trade-off von 1980, finden einen Mittelweg:
- Die Tabelle besteht aus Ketten: Ein Passwort wird gehasht, der Hash per „Reduktionsfunktion“ in einen neuen Kandidaten verwandelt, der wieder gehasht wird – tausendfach hintereinander.
- Gespeichert werden nur Anfangs- und Endwert jeder Kette, was enorm viel Platz spart.
- Um einen Hash zu knacken, berechnet der Angreifer die Kette ab diesem Hash, sucht einen passenden Endpunkt und erzeugt die Kette dann neu, um das Passwort zu finden.
Jede Tabelle gilt nur für einen Hash-Algorithmus sowie einen festgelegten Zeichensatz und eine Länge. Tools wie RainbowCrack und Ophcrack machten das Verfahren populär, besonders gegen die ungesalzenen LM- und NTLM-Hashes von Windows.
Warum Rainbow Tables relevant sind
Gegen ungesalzene schnelle Hashes wie MD5, SHA-1 oder NTLM verkürzen Rainbow Tables das Knacken kurzer Passwörter von Tagen auf Minuten. Viele ältere Datenlecks von Websites legten genau solche Hashes offen. Heute sind GPU-gestützte Wörterbuchangriffe mit Hashcat oft schneller und flexibler, doch Rainbow Tables bleiben ein Lehrbuchbeispiel dafür, warum die Art der Hash-Speicherung zählt.
So schützen Sie sich vor Rainbow Tables
- Jedes Passwort vor dem Hashen mit einem individuellen, zufälligen Salt versehen – das macht vorberechnete Tabellen nutzlos.
- Spezielle Passwort-Hashverfahren wie Argon2, bcrypt, scrypt oder PBKDF2 verwenden.
- Veraltete LM-Hashes deaktivieren und die Abhängigkeit von NTLM verringern.
- Lange Passwörter oder Passphrasen vorschreiben.
