suicicoo said:
Christoph.K said:
hmmmm aber wenn jemand so einen aufwand betreibt ists einfacher tagsüber unser wohnzimmerfenster/terassentür zu zerdeppern und das teil komplett mitzunehmen...
In vielen Situationen geht es Angreifern insbesondere auch darum,
unbemerkt zu bleiben. Sich mit einem Fahrzeug an den Straßenrand zu stellen, und mit relativ günstiger Ausrüstung aus der Entfernung durch die Fensterscheiben der Büros hindurch die elektronischen Dokumente eines Konkurrenzunternehmens auszulesen, ist diesbezüglich eine prima Möglichkeit. Nun, dies ist (vermutlich) eine relativ hypothetische Situation, und es ist wohl z.B. wahrscheinlicher, dass Partnerunternehmen Informationen ausplappern - dass derzeit keine extrem günstigen und extrem einfach durchführbaren Methoden existieren, Bildschirme auf nicht-direktem Wege zu beobachten (was sich dann auch auf die nicht-Unternehmenswelt auswirken würde), liegt aber hauptsächlich darin begründet dass 1) eine Versternifizierung der Kennwörter gang und gäbe ist sowie 2) dass häufig eklatante andere Schwachstellen existieren, welche leicht ausnutzbar sind.
In sofern ist das Anzeigen von Sternchen statt des Klartextpassworts vergleichbar mit dem nicht-Essen eines seit längerer Zeit abgelaufenen Joghurts: einige Personen mögen den Joghurt auch dann noch essen, mit Hinweis darauf dass "da ja sowieso eigentlich nie was passiert". Dabei passiert nur deshalb "sowieso eigentlich nie was", eben WEIL so viele Personen einen solchen Joghurt nicht mehr essen. Es geht nicht darum, welcher Aufwand für einen Angreifer JETZT vonnöten ist, sondern darum, welcher Aufwand für einen Angreifer noch vonnöten wäre würde die Angriffsmethode durch Wegfall der Sicherung lohnenswert (wodurch aller Voraussicht nach bald simplere, schnellere Methoden aufkämen). Äße ein signifikanter Anteil an Personen öfters Joghurt, welcher seit längerer Zeit abgelaufen ist, so wäre die Situation bald nicht mehr ganz so lustig.
suicicoo said:
für sowas müsste man ein opt-out einbaun - welches nach bedarf ausgeschaltet werden kann(-> bei kommerzieller rechnernutzung)
Leider
denken viele Softwarehersteller (und Administratoren) nicht daran, eine entsprechende Funktion einzubauen (respektive zu aktivieren), da diese wenig verbreitet ist (was dazu führt, dass die Verbreitung nicht steigt).
Unglücklicherweise schenken zudem viele Personen Details nicht die Menge an Aufmerksamkeit, welche wirklich gut wäre (es ist ja unumstritten, dass eine solche Funktion nur einen sehr kleinen Teil des gesamten Bereichs der Sicherheit ausmacht). Das halte ich trotz der Tatsache, dass früher oder später ohnehin ein besseres System als das der Kennwörter vonnöten sein wird, für keine gute Sache (schließlich entwickelt sich alles ständig weiter, im Englischen existiert der schöne Spruch "change is constant").
-----
suicicoo said:
ist das mit den 4 objekten nachgewiesen?(nur interessehalbe) denn exakt so merke ich mir/übertrage ich seriennummern u.ä. [...]
Im Rahmen der (derzeit) vergleichsweise relativ geringen Genauigkeit so ziemlich aller Dinge im Bereich der Psychologie
kann kann man von 4 ausgehen, ja. Siehe dazu auch die Einleitung von
"Subitizing" auf Wikipedia (Englisch).
suicicoo said:
[...] das ist aber n guter tipp, der aber wiederrum leider nicht bei touchscreens/virtuellen tastaturen funzt - denn dort können aus ''y{M4'' leicht ~12 ...klicks(?) werden
Es geht hauptsächlich darum, dass sich deine Augen nach der Eingabe eines Zeichenquadrupels anhand fester Bezugspunkte beim Weiterlesen des Kennworts schnell wieder zurechtfinden, möglichst ohne auch nur Teile des Inhalts des Kennworts interpretieren zu müssen (also möglichst ausschließlich anhand der äußeren Form - z.B. "Wo war Ich? Zweite Gruppe, zweite Zeile von unten... da!" anstatt "OK, wo befanden sich innerhalb des Kennworts doch gleich die gerade von mir eingegebenen Zeichen? *les*, *such*... Ähm... hatte ich den Teil jetzt schon eingegeben?"). Die einzige Möglichkeit, herauszufinden ob diese Vorgehensweise dir persönlich hilft, ist Ausprobieren.
-----
Jubal said:
Ich habe 2 pws wo ich an bestimmten Stellen bestimmte Zeichen aus der url einfüge. die PWs sind natürlich total Random.
Oxymoron-Alarm! Da du nicht die ursprünglichen Kennwörter verwendest, sondern die mit Indizien aus der URL versehenen, KÖNNEN die letztlich WIRKLICH zum Einsatz kommenden Kennwörter (also diejenigen, zu welchen sich später Informationen in der Datenbank der Authentisierungsstelle befinden, worauf es ja ankommt) nicht /
absolut/ zufällig sein.
Nichts desto trotz natürlich viel besser als "monkey", "password", "12345" und co.
