Da hab ich wohl aufs falsche Pferd gesetzt...


Sephiroth said:
Hallo,

jahrelang hab ich mir möglichst kryptische Zeichenketten in die Birne gehämmert und nun das:
http://xkcd.com/936/

Wie sind da eure Meinungen/Vorlieben?

Gruß
Das hat meine Batterie gleich mal aufgeladen :)

Die Aussage ist zwar richtig, aber sie berücksichtigt m.E. zwei Dinge nicht:
a) lange Passwörter sind viel umständlicher zu tippen
b) es gibt einen aktiven und passiven Wortschatz und Wörter die viel wahrscheinlicher verwendet werden als andere (das ist zwar mit den 44 bit Entropy halbwegs berücksichtigt, aber ich denke nicht völlig korrekt). D.h. mit einem geeignet sortierten Wörterbuch ist das leichter automatisch zu knacken. Vor allem wenn man weiß, dass KEINE Sonderzeichen und Ziffern drin vorkommen.
 
Weißt du denn, ich ich als Passwort nicht "GP2XMäuseTaschentuchZollstöcke" habe? ^^
 
Ziz said:
Weißt du denn, ich ich als Passwort nicht "GP2XMäuseTaschentuchZollstöcke" habe? ^^
Ja, mit 99,99999999999999999999999875321% Wahrscheinlichkeit :)
 
Sephiroth said:
Wie sind da eure Meinungen/Vorlieben?
Ich pflege da die Meinung meine Vorliebe für mich zu behalten. ;)

Längere Passwörter ergeben mehr Möglichkeiten, die aber letztlich nichts nützen wenn Wörterbücher helfen die bevorzugten Wörter zu priorisieren.

Das Problem scheint eher zu sein, dass die Menschen nicht mehr in der Lage sind sich etwas zu merken. Sowas kann man trainieren, nur werden heute noch Gedichte in der Schule gelernt?
 
double7 said:
nur werden heute noch Gedichte in der Schule gelernt?
Natürlich. Und im Studium wird dann nochmal besonders wert drauf gelegt stupide Dinge auswendig zu lernen. ;)
 
Ziz said:
Weißt du denn, ich ich als Passwort nicht "GP2XMäuseTaschentuchZollstöcke" habe? ^^
Also hier im Forum kann ich mich zumindest nicht mit dem Passwort unter deinem Namen einloggen. :ph34r:

Je länger ein Passwort wird desto größer wird auch die Wahrscheinlichkeit, dass man sich vertippt, aber vor allem bin ich am Ende einfach zu faul jedes mal, wenn ich mich wo einloggen will einen vollständigen Satz tippen muss. Wo kämen wir denn da hin? :crazy:
 
Mein Passwort meine verschlüsselten System ist irgendwas über 40 Zeichen lang.
Ich vertippe mich so 10% der Fälle. Aber das ist mir die Sicherheit einfach wert. ;-)
 
eine geschriebene matheaufgabe ist die lösung für faulis.
dreipluszweigleichfünf
oder
einviertelvonachtistzwei
oder in kombination
ein3viertel=1komma7fünf
 
kaiser-sahin said:
eine geschriebene matheaufgabe ist die lösung für faulis.
dreipluszweigleichfünf
oder
einviertelvonachtistzwei
oder in kombination
ein3viertel=1komma7fünf
Nerds ;)
 
nerds, ? lol :D
ich sischa nicht.

sei erlich, darauf bist DU nicht gekommen ;D
 
gta04 said:
[...] Die Aussage ist zwar richtig [...]

Sicher? Ich wäre mir da nicht so sicher.

Beispiel Tr0ub4dor&3:

Es wird davon ausgegangen, dass der erratende weiß, dass es sich exakt um ein Wort handelt, welches vielleicht im ersten Zeichen groß, der Rest aber klein geschrieben ist und es exakt 3 mögliche, aber nicht sichere Substitutionen besitzt (deren Position bekannt ist!) und dem ein Sonderzeichen und eine Ziffer exakt hinten angehangen ist. Und dass das Wort aus einem Wörterbuch mit nur 65535 Wörtern stammt, ist auch klar. Ach und es gibt nur 16 Sonderzeichen und wir rechnen auch nicht dezimal sondern oktal. Insgesamt hat er sich ziemlich eingeschränkt, damit er auf 2²⁸ kommt...

(Als Beispiel alleine schon "4Troubaror" oder "Troubador33" findet er so nicht)

Bei zweitem Beispiel ist das Wörterbuch noch eingeschränkter (gerade mal 2048 Worte) und der ratende weiß, dass es exakt 4 Worte sein müssen. Aber der ratende berücksichtigt auch unsinnige und schlecht zu merkende Wortkombinationen, die keinen Sinn ergeben und dass alles nur klein geschrieben wird (oder nur groß oder einfach exakt wie im Wörterbuch, egal; wie auch immer, der ratende weiß es). (z.B. "ist haus milch grün")

Insgesamt lustig und man weiß sofort, worauf xkcd hinaus will. Aber in der Praxis wohl weniger tragisch... wenn auch der Tipp, einfach lange Sätze zu nehmen, kein schlechter ist. Früher waren die Passwortspeicher beschränkt, z.B. Unix auf 8 Zeichen, weshalb man sich möglichst schwer zu knackende 8-Zeichen-Passwörter merken _musste_. Aber heute ist die Länge (AFAIK in fast allen Lebenslagen) recht unbeschränkt und daher leicht zu merkende Pass-SÄTZE anzuraten.

(PS, der typische Disclaimer: Da ich nur Laie in dem Gebiet bin, kann ich natürlich auch katastrophale Denkfehler begangen haben! :slap: Ich bitte um Korrektur, sollte es so sein. :-D)
 
Man müsste halt eigentlich überall unterschiedliche Passwörter haben, die möglichst lange sind. Ich denke grundsätzlich kommt es nicht drauf an ob Satz oder Zeichenwirrwarr, so lange beides lange genug ist. Ich denke Sätze sind eigentlich, wenn die Passwortlänge unbeschränkt ist, besser, weil einfacher zu merken. Damit ich einen 16-stelligen Zeichenwirrwarr (sagen wir Buchstaben gross+klein und zahlen, also 62^16 Möglichkeiten) auswendig kann muss ich es schon jeden Tag eintippen, ein schlauer Merksatz (sagen wir 10-20 Wörter, am besten im lokalen Dialekt und ohne irgendwelche möglicherweise auch dafür vorhandenen Rechtschreibkonventionen zu beachten, mit Satzzeichen und ein paar Zahlen, die einen reellen, aber nicht persönlichen, Bezug haben, um sie bei Bedarf nachschlagen zu können) merke ich mir viel leichter.
Beispiele für sichere Passwortsätze:
  • Es git e Huufe verschednigi Elemänt, zum Bischbel die us dr zwöite Hauptgruppe: Be, Mg, Ca, Sr, Ba, Ra.
  • Ich ha mi eigetlech no nie für Gschicht interessiert, bsondrs ned do drfür, dass dr Napoleon am 15.08.1769 in Korsika gebore isch und am 5.5.1821 uf St. Helena gstorbe isch.
So etwas kann ich mir leicht merken (abgesehen von den Elementen, den Daten und den Orten, aber die kann man ja im Zweifelsfall nachschauen) und es gibt eine riesige Anzahl Möglichkeiten. So ein Passwort kann, denke ich, getrost als sicher angesehen werden. Weder durch Bruteforce noch durch Wörterbuchattacken sollte man solche Passwörter knacken können.

Da liegt der schwächste Punkt dann wo anders: Man darf auch hier eigentlich nicht das selbe Passwort zweimal verwenden.Man kann problemlos für wirklich wichtige Dinge solche Passwörter machen (Server, Geldsachen, e-Mail-Adressen, die man im Zusammenhang mit solchen Dingen verwenden, usw.) und keins doppelt verwenden, aber wenn man sich schnell irgendwo anmelden muss, um z. B. etwas herunterzuladen ist der Aufwand zu gross.

Für solche eher unwichtigen Dinge, für die man Psswörter en masse braucht, fallen mir zwei Strategien ein:
  • Man nimmt einfach irgendein langes Passwort, an das man sich später nicht mehr erinnern können muss (z. B. 50 Stellen Zeichensalat). Zuhause kann man dann einen Passwortmanager verwenden, den die meisten Browser ja eingebaut haben und wenn man das Passwort unterwegs einmal braucht lässt man sich das Passwort halt zuschicken, das ist ja meistens kein grosses Problem.
  • Man nimmt den Domain-Namen oder den Namen des Angebots und kombiniert es irgendwie, wobei aber <Domain><passwort> oder <Second Level Domain><passwort><Top Level Domain> nicht besser sind als <passwort> alleine, wenn jemand ein Passwort hat, hat er immer noch alle. Damit man <passwort> bei unterschiedlichen Diensten gleich lassen kann, nimmt man am besten den Hash aus einer Kombination. "gp2x.ente123.de" ergäbe so etwa, wenn man md5 verwendet "da0bbbfd4c31925996a239a6e11c1423"
    Wenn jemand diesen Hash hat kommt er davon nicht auf das eigentliche Passwort und kann so (auch wenn er das System genau kennt) keine weiteren Passwörter herausfinden. Wenn man überall md5sum oder etwas vergleichbares hat, ist das sicher eine super Methode, die man eigentlich auch für wirklich wichtige Passwörter verwenden könnte (nur sollte dann <passwort> auch entsprechend sicher sein).

Natürlich hilft auch das noch nichts. Es gibt immer noch Keylogger, Leute die einem über die Schulter schauen, usw. Man kann davon ausgehen, dass es in jedem Fall möglich ist ein Passwort zu knacken. Aber wenn man sichere Passwörter hat, die man nicht wiederverwendet und auch sonst einigermassen auf seine Sicherheit achtet (Sicherheitsupdates schnell installiert, zum Beispiel) kann man denke ich davon ausgehen, dass es für einen Angreifer so aufwändig wäre, an Passwörter für z. B. einen PayPal-Account heranzukommen, dass er sich lieber ein anderes Ziel sucht.
Andererseits, wenn ein Angreifer wirklich unbedingt will und sich dafür Zeit nimmt und am besten auch noch einen Haufen Geld hat, z. B. für solche netten Geräte, die (bei kabelgebundenen Tastaturen) nicht einmal im gleichen Gebäude sein müssen, um gedrückte Tasten mitzuschneiden hat man nicht wirklich eine Chance, aber die meisten hier sollte nicht vor solchen Angriffen Angst haben müssen. Vermute ich zumindest.
 
Back
Top