Mozilla Firefox und Thunderbird: Master-Passwort gaukelt Sicherheit teilweise vor

Mozilla Firefox nutzt laut aktuellen Berichten bereits seit neun Jahren ein Master-Passwort, das Sicherheit eigentlich größtenteils nur vorgaukele. Das liegt daran, dass die Verschlüsselung offenbar sehr leicht zu knacken ist. Das Problem betrifft auch Mozilla Thunderbird. Beide Anwendungen erlauben euch über die Einstellungen ein Master-Passwort anzugeben, das dann die Verschlüsselung generell für euch absichert. Mozilla wurde für dieses Feature ehemals viel gelobt, muss sich nun aber Kritik gefallen lassen.

So hat Wladimir Palant, Entwickler der Browser-Erweiterung AdBlock Plus, erklärt, dass sich das Master-Passwort leicht über Brute-Force-Methoden knacken lasse. Grob gesprochen ist die SHA-1-Funktion viel zu unsicher, da es hier nur eine einzige Wiederholung gebe. Sinnvoll seien aber mindestens 10.000 Iterations. Programme wie LastPass nutzen sogar 100.000, um die Sicherheit zu gewährleisten, was die Maßstäbe eventuell verdeutlicht.

Laut Palant sei es einem versierten Hacker darum vermutlich möglich, das jeweilige Master-Passwort eines Anwenders in Firefox oder Thunderbird in weniger als einer Minute zu knacken. Dabei ist das Problem schon seit neun Jahren bekannt: Kurz nach Einführung des Master-Passworts in Firefox und Thunderbird beklagte sich der Entwickler Justin Dolske im Mozilla Bug Tracker über das Thema. Gegenmaßnahmen seitens Mozilla blieben aber aus.

Erst jetzt hat Mozilla reagiert und mitgeteilt, dass man an einem Fix arbeite, welcher in Lockbox integriert werden solle. Aktuell kann man die Schwäche bei Mozillas Implementierung eines Master-Passwortes zumindest abmildern, wenn man ein besonders langes Passwort wählt. Laut Palant wäre die beste Lösung für die Zukunft aber, wenn Mozilla sich von SHA1 verabschieden und stattdessen auf Argon2 setzen würde. Dazu sind aber derzeit keinerlei Pläne bekannt.