Passwort-Sicherheit - Kompliziertheit überschätzt?

[jagy]

Ich bin gerade dabei zu überlegen, was ich mit meinen Passwörtern mache. Ich habe zwar nicht abcd1234, aber ich habe auch kein 20-stelliges Passwort mit Sonderzeichen, Asci-Codes etc.

Hinweise, was man machen sollte und was man besser machen sollte, gibt es viele Mnemonische Systeme, Passwort-Manager, etc pp

Jetzt bin ich auf diesen Artikel gestoßen:
http://www.baekdal.com/tips/password-security-usability

[jagy]

edit: Hier ist seine Antwort auf Kritik: http://www.baekdal.com/tips/usable-security-reply-to-security-now/ habs noch nicht gelesen.

[esme]

Das ist doch nicht das große Problem, ein absurdes Passwort im Kopf zu behalten. Das Problem ist doch, dass man an allen Ecken und Enden Passwörter braucht und entweder ein Passwort mehrfach verwendet oder die Passwörter notiert oder einen Passwortmanager hat, der dazu führt, dass man alles gleichzeitig verliert, wenn es damit ein Problem gibt. Alle Möglichkeiten sind irgendwo unschön.

Für mich ist das Thema auch sehr aktuell, weil unser Computernetzwerk gehackt und abgehört wurde und wir den Hinweis bekommen haben, dass *jedes* Passwort, das wir in den letzten Wochen eingetippt haben, aufgezeichnet sein könnte. Ich bin dann mit meiner Browserhistory dagesessen und habe Passwörter versucht zu ändern, an die ich mich gar nicht erinnert habe, weil sie seit Jahren im Cookie leben.
_________________
Gunkl über Intelligent Design:
Da hat sich die Kirche beim Rückzugsgefecht noch einmal grandios verstolpert und jetzt wollen sie auch noch Haltungsnoten für die argumentative Brez'n, die sie da gerissen haben.

[vrolijke]

Auf der Arbeit habe ich allein schon 6 Passwörter. Davon sind vier, die jede drei Monate erneuert werden müssen. bei zwei davon reicht es aus, wenn man eine Stelle ändert. Die beiden andere Passwörter müßen so sein, daß kein Buchstabe an der gleiche Stelle stehen darf wie beim vorhergehende.
Und sowas soll man sich nicht aufschreiben dürfen?

Die einzigen Passwörter, die ich nicht aufschreibe, sind die von der Bank.
Wenn jemand hier im FGH fälschlicherweise meine Eingangsdaten nehmen würde. Würde es wahrscheinlich nicht lange dauern, bis er auffliegt, und der Schaden, den er damit anrichtet hällt sich nun wirklich in Grenzen.
_________________
Glück ist kein Geschenk der Götter; es ist die Frucht der inneren Einstellung.
Erich Fromm

Sich stets als unschuldiges Opfer äußerer Umstände oder anderer Menschen anzusehen ist die perfekte Strategie für lebenslanges Unglücklichsein.

Grenzen geben einem die Illusion, das Böse kommt von draußen

[Rolandroid]

[zelig]

Ich verwende eine normale Tabelle auf einem verschlüsselten Laufwerk an verschiedenen Orten. Eins hat den Masterstand.

[Navigator2]

[jagy]

[DerBernd]

[Navigator2]

[nocquae]

[Navigator2]

[nocquae]

Vielleicht nochmal etwas zur Komplexität:

Der Artikel hat natürlich recht in dem Punkt, dass Sonderzeichen nicht nötig sind.
Gewöhnlich wird für sowas der informationstechnische Entropiebegriff verwendet, um die Komplexität eines Passworts anzugeben. Seit über 20 Jahren wird schon immer eine Entropie von 30 als „sicher“ angegeben, obwohl einerseits die Rechenleistung in dieser zeit dramatisch angestiegen ist und andererseits die Entropie nicht unbedingt aussagekräftig ist.
Kurz gesagt bedeutet eine Entropie von H = 30, dass es 2³⁰ Kombinationsmöglichkeiten bei der Länge des Passworts und dem Zeichenvorrat gibt.
Beispiel A: Passwortlänge 8 Zeichen, nur Zahlen (0-9)
Da ist es klar, dass es für jede Stelle des Passworts 10 Möglichkeiten gibt, bei nur einer Stelle gibt es 10 Kombinationsmöglichkeiten, bei zwei Stellen 10 * 10 = 100, bei drei Stellen 10 * 10 * 10 = 1000 usw., also jeweils ‹Zeichenvorrat›^‹Länge›, in diesem Fall also 10⁸ = 100.000.000 Möglichkeiten.
Bei Brute Force-Angriffen hat man statistisch gesehen das Passwort nach der Hälfte der Versuche geknackt, hier also nach 50.000.000.
Ein heutiger handelsüblicher Rechner hat so ein Passwort unter optimalen Bedingungen nach ca. 17 Sekunden geknackt.

Die Formel ‹Zeichenvorrat›^‹Länge› macht schon deutlich, dass die Länge wichtiger ist als der Zeichenvorrat, weil die Entropie mit der Länge viel schneller ansteigt als mit dem verwendeten Zeichenvorrat.

Wenn ich nur Kleinbuchstaben verwende habe ich einen Zeichenvorrat von 26, wenn ich Großbuchstaben mit dazunehme 52. Kommen Zahlen dazu 62 und bei den gebräuchliche Sonderzeichen sind es insgesamt 95.

Wenn ich ein 8-stelliges Passwort aus Kleinbuchstaben verwende habe ich 26⁸ = 208.827.064.576 Kombinationsmöglichkeiten, bei einem 8-stelligen Passwort aus Klein- und Großbuchstaben 52⁸ = 53.459.728.531.456.
Verwende ich nun zwar nur Kleinbuchstaben, aber erhöhe die Länge des Passworts auf 12 Stellen habe ich schon 26¹⁰ = 141.167.095.653.376 Möglichkeiten, man sieht also, dass dieses 12-stellige Passwort aus Kleinbuchstaben deutlich „sicherer“ ist als eines, das zwar auch Großbuchstaben verwendet, dafür aber nur 8 Zeichen lang ist.

All das ist aber graue Theorie, die in der Praxis kaum eine Rolle spielt. Wenn ich nicht gerade einen Betrieb habe, dessen Geschäftsgeheimnisse für irgendjemanden interessant sind, gibt es kaum einen Grund, warum ich einem gezielten Angriff ausgesetzt sein sollte, für den irgendwer mehr als ein paar wenige Sekunden aufwendet.

Das „sicher“ habe ich oben in Anführungszeichen gesetzt, weil sich diese Theorie eben nur auf Brute Force-Angriffe anwenden läßt, die beim Privatanwender praktisch keine Rolle spielen.

Das, was für den Privatanwender eine Rolle spielt ist eben das Szenario, was gerade bei Sony akut ist. Als Hacker konzentriere ich meine Arbeit nicht auf einzelne Privatanwender bei denen ich nichtmal sicher weiß, ob es bei denen etwas lohnendes zu holen gibt. Das wäre entsetzlich ineffizient. Ich konentriere stattdessen meine Arbeit auf Punkte von denen ich weiß, dass es dort große Mengen an Daten auf einmal zu holen gibt, basierend auf zwei Annahmen:

Menschen sind faul und verwenden gerne die gleiche Kombination aus Passwort und Usernamen an zig verschiedenen Stellen und Menschen sind faul und wollen sich nicht gerne komplizierte Passwörter merken sondern verwenden lieber Kombinationen wie „Passwort1234“, „17081977“ oder dergleichen.

Geburtsdaten als Passwörter sind so ein Klassiker, weil man immer gesagt bekommt, man solle keine Geburtsdaten als Passwörter verwenden und sich dann jeder User denkt „Haha, wie sollte denn irgendwer Wildfremdes in China das Geburtsdatum meiner Freundin kennen?”.
Einfache Antwort: braucht er nicht. Er braucht sich nur zu denken: Geburtsdaten sind nur 6- bis 8-stellige Zahlen und dazu noch vorhersagbar aufgebaut: an erster Stelle kann ich nur Zahlen von 0 bis 3 haben, Stelle 3 kann nur „0“ oder „1“ sein, Stellen 5 und 6 sind vermutlich „1“ und „9“ usw. All diese Überlegungen reduzieren die Anzahl an Kombinationen, die ich durchprobieren muss ganz erheblich, einfach weil es nur wenige Menschen gibt, die am 45.13.2065 geboren wurden. Für diese Erhebliche Reduzierung kann ich locker noch verschiedene Notationen durchprobieren, z. B. „17081977“, „17.08.1977“, „17.8.1977“, „08/17/1977“, „08171977“, usw. usf.

Nun werden diese Kombinationen aber wie oben angedeutet gar nicht in der Passworteingabemaske einer Webseite durchprobiert. In diesem Punkt ist der von jagy verlinkte Artikel schlicht naiv.

Passwörter müssen gespeichert werden. Wenn nur eine Webseite ein Passwort im Klartext speichert und ich dieses Passwort auf 50 verschiedenen Seiten verwende, dann bin ich sowieso am Arsch, auch wenn mein Passwort „7{oiO0]Ð@lö7&ø-Q” lautet.

Daher werden Passwörter in der Regel als Hashwert abgespeichert, dass läßt sich vergleichen mit einer Quersumme bei Zahlen. Eine bestimme Zeichenkombination ergibt in jedem Hashalgorithmus immer die gleiche Kette, aus dieser läßt sich aber das Passwort nicht berechnen, daher geht man den umgekehrten Weg: Man berechnet für alle möglichen Zeichenkombinationen schonmal die Hashwerte und legt die in einer gewaltigen Tabelle ab.
Wenn man dann in den Besitz eines Hashwertes gelangt durchsucht man seine Tabelle einfach nur nach diesem Wert und schon hat man ggf. das Passwort.
_________________
In Deutschland gilt derjenige, der auf den Schmutz hinweist, als viel gefährlicher, als derjenige, der den Schmutz macht.
-- Kurt Tucholsky

[jagy]

Danke für die lange Antwort noc!
_________________
INGLIP HAS BEEN SUMMONED - IT HAS BEGUN!

[Ragmaanir]

Ich verwende KeePassX als Passwort-Manager. Als Backup kopiere ich einfach nur die Passwort-DB auf meine zweite Festplatte, meine Externe und auf meinen USB stick. Meine Passwörter sind verschieden. Für unwichtige Accounts verwende ich einfache und ähnliche Passwörter. Für alles was irgendwie wichtig ist generiere ich zufällige Passwörter.
_________________
Dieser Post enthält die unumstößliche, objektive Wahrheit.

[jagy]

xkcd schein das gleiche zu denken mit den normalen wörtern und leerzeichen:


https://www.xkcd.com/936/
_________________
INGLIP HAS BEEN SUMMONED - IT HAS BEGUN!

[Arashi]

Für PWs, die ich öfter wechseln muss benutze ich seit langem eine Passwort-karte und zwar die von hier:
http://de.savernova.com/index.php?id=32
Gibt es auch von anderen Anbietern, auch in anderen Größen.

Das ist quasi die gute Version von PWs aufschreiben - man kann den Zettel im Geldbeutel rumtragen o.ä. und wenn man in verliert hilft er dem Finder nicht wirklich weiter.
Und wenn man ein paar mal gewechselt hat lädt man sich einfach eine neue runter und druckt die aus (am besten mehrmals, falls man sie verliert).

Falls ein Mathe-Ass hier meint, die Dinger taugen nichts ... bitte Bescheid sagen

[Woici]

[Navigator2]

[Ahriman]

[jagy]

pfffff
_________________
INGLIP HAS BEEN SUMMONED - IT HAS BEGUN!

[nocquae]

[LingLing]

Für wichtige Sachen wie den Netzwerkschlüssel des Wlan nehme ich einen Passwortgenerator (pwgen) mit maximaler Länge (63 Zeichen), dass sieht dann so aus.

xjdS0Arl5puOCUG4fDGjaktMI2ZDHYZFZXmzZf8VdO5YOyicMCxMOgroGynXLbv

[Navigator2]

[Navigator2]

[Arashi]

[nocquae]

[Arashi]

Wenn ich dich recht verstehe, ist bei webanwendungen also ein besonders sicheres PWs mehr oder weniger sowieso für die Katz, während bei anderen Sachen wie z.B. dem PW eines Truecryptcontainers mit sensiblen Daten drin gilt: möglichst lang + Zeichenketten die in keiner Sprache ein Wort bilden?
Oder so?

[LingLing]

[beefy]