Frage zu AES und Passwort

[sculptor]

Hallo zusammen,

ich habe eine allgemeine Frage zur Verschlüsselung mit AES 256. Wenn ich es richtig verstehen, hat AES 256 eine Schlüssellänge von 256 Bit. Somit gibt es 2^256 Kombinationsmöglichkeiten. Zu viele, als das ein Supercomputer den Schlüssel herausfinden könnte. Welche Rolle spielt jetzt aber genau das Passwort aus dem der Schlüssel generiert wird?

Wenn ich jetzt als Passwort 1234 nehme und daraus ein Schlüssel mit 256 Bit erstellt wird, wieso ist dieser Schlüssel unsicherer als z. B. Akd93lfk@kfl1"?

Liegt es daran, dass Datenbanken für Brute-Force-Attacken solche einfachen Passwörter in einer Datenbank speichern und dadurch schneller auf den Key kommen? So könnte so ein Tool ja für alle Wörterbücher den Schlüssel erstellen lassen und abspeichern und per Brüte-Force-Attacke dann alle diese Schlüssel ausprobieren. Da 1234 sicher in der Datenbank steht ist es leichter zu knacken als eine wilde Kombination aus Buchstaben, Zahlen, Sonderzeichen. Sehe ich das richtig? Falls da so ist, frage ich mich allerdings, warum ich dann überhaupt einen AES-Schlüssel brauche. Würde nicht ein Passwort mit z. B. 30 Zeichen (Buchstaben in Klein- und Großschreibung, Zahlen und Sonderzeichen) ebenso auf eine Stärke von 256 Bit kommen? Gut, das ganze ist natürlich schwerer zu merken, aber theoretisch kann doch ein AES-Verschlüsseung am Ende niemals besser sein als das Passwort welches ich zur Erstellung des Schlüssels verwende.

Ich hoffe jemand kann mir da etwas weiterhelfen und den Zusammenhang zwischen Passwort und Schlüssel erklären

 

[Kaito]

Es gibt verschiedene Wege aus deinem Passwort einen Schlüssel zu generieren, z.B. PBKDF2.
Das Passwort ist idR das schwächste Glied der Kette weil es von Menschen erstellt wird. Das hat mehrere Probleme: es ist verhältnismäßig kurz, hat regelmäßige Formen, enthält bekannte Wörter und so weiter. Letztlich kann ich es mir aussuchen, ob ich dein Passwort bruteforcen will, oder direkt 256 bit Keys generieren und testen. Der "Ort" wo ich ansetze ist etwas unterschiedlich und manchmal kann das eine oder das andere praktischer sein. Zumeist aber ist Ersteres wesentlich einfacher bzw. führt schneller zum Ziel, hauptsächlich wegen der genannten strukturellen Eigenschaften.

 

[Olivetti]

vielleicht als winzige ergänzung: das passwort ist sozusagen der zugang zum eigentlichen schlüssel.
dem aes-key sieht man nicht an, wie und womit er erstellt wurde.

und zur anderen frage: die ergebnisse der tools, die solche schlüssel "vorproduzieren" heissen rainbow tables.