System für Passwörter

Hallo CBler,
da das Thema gerade in den News ist schreibe ich mal meine Idee sich für jeden Dienst ein eigenes Passwort zu erstellen und sich dieses zu merken, bzw. sich es herleiten zu können. Man braucht sich nur ein System ausdenken! Klingt so einfach wie es ist Ich habe 3 Systeme - für Finanzen, Gaming/Shopping und alles andere.

Ich schreibe jetzt als Anregung ein Beispiel für ein System. Ich vereinfache es hier, es geht mir nur ums Verständnis. Man unterteilt sich sein Passwort in Blöcke:

z.B.:
Block 1: eine einleitung fürs PW, einen für sich leicht zu merkenden Satz nehmen.
- Mein Passwort für = MPwf oder mit Zahl MPw4

Block 2: den Dienst mit einbeziehen, z.B. erste und letzte Buchstabe des Dienstes, oder Vokale rauslassen.
-Wäre für Computer Base: CmptrBs

Block 3: Ein Datum merken
- z.B. der eigene Geburtstag = Geb1985

so hätte man z.B. MPw4CmptrBsGeb1985 als Passwort für CB. Macht man sich nen Account jetzt z.B. bei Hardwareluxx wäre das PW: MPw4HrdwrlxxGeb1985

Man kann sich so für jeden Dienst ein eigenes, leicht zu merkendes PW machen, dass für Mensch und Maschine gleichermaßen schwer zu knacken ist. Man selbst kommt nicht mehr in die Situation ein PW zu vergessen.

Im persönlichen Umfeld war man Dankbar für die Idee und immer mehr leute eignen sich ein System an.
Ich hoffe es finden auch hier ein paar Leute gefallen an der Idee und nutzen sie für sich.

Sätze sind immer scheisse was glaubst du was es da schon schöne Algorithmen für gibt ^^ Dank Gutenberg Project sind selbst Sätze aus Büchern nicht mehr sicher ... und daraus Buchstaben weglassen, das ist das kleine Hackereinmaleins! Dann auch noch mit persönlichen Daten garniert ...

MPw4HrdwrlxxGeb1985 das Passwort ist nicht sicher. Sonderzeichen fehlen wie ! . * etc. Ich würde dir ein Passwort Tool empfehlen wie OnePass oder so

es geht hier nicht darum, dass ich ein PW serviere, ich habe nur ein System aufgezeigt, wie man sich es selbst einfacher machen kann. das man MPw4CmptrBsGeb1985 nicht nutzen sollte, ist doch eigtl klar. ich habe extra einfache daten genommen, damit das system im vordergrund steht.

Der eigenen kreativität ist doch da keine grenze gesetzt. sonderzeichen einsetzen ist ja wohl das geringste problem, wenn es zugelassen wird. Ein Pw für ein Microsoftkonto darf z.B. nur 16 zeichen lang sein, da hatte ich probleme

es ist jedenfalls sicherer, als für alles nur 1 PW zu benutzen oder vlt nur 3 verschiedene zu haben.

und genau solche System wiegen einem in Sicherheit ohne das man das wirklich ist ... heutzutage "bruteforced" man sowieso nicht, wenn es viel einfacher und schneller geht die Implementierung zu kompromitieren.

Wenn du nur mal ebenso das Web durchforstet: ne einzelne 15GiB Rainbowtable ;p ohne jetzt extra tief zu graben!

wie ist man denn dann wirklich in sicherheit?
knackbar ist alles, besonders wenn die passwörter im klartext auf den servern zu finden sind.

Sicherheit ist ein Irrglaube den es in der IT und insbesondere im Internet nicht gibt. Nichts ist unknackbar, manches ist nur komplizierter zu knacken. Bei deiner Regel denke ich mir: wenn jemand den Trick einmal raus hat, kann er das Passwort von jedem deiner Accounts erraten, weil sie alle nach dem gleichen Muster aufgebaut sind.

Ich persönlich verwende einen Passwortmanager wie KeePass, um meine Passwörter zu speichern. Diese sind zwischen 16 - 32 Stellen lang und sehen so aus: 1te14@bK]CrTp|&nB>mYV[1!V

Man muss sich halt ein gutes Masterpasswort ausdenken und merken, um die eigentliche Liste zu öffnen, aber dafür ist es einigermaßen sicher. Nachteil ist halt, dass ich diese Passwortliste nur auf meinem privaten Computer lokal speichere und mich daher mal nicht eben auf Arbeit in Google anmelden kann. Aber das fördert ja auch die Produktivität.

wenn jemand den Trick einmal raus hat, kann er das Passwort von jedem deiner Accounts erraten, weil sie alle nach dem gleichen Muster aufgebaut sind.

Zum Vergrößern anklicken....

natürlich kann er das ^^ aber das muss ja erst mal geschehen, aber immer noch schwieriger als "passwort1234" für alle dienste zu nutzen - was ja anscheinend das volkspasswort ist. der sinn für mich ist, dass ich mir meine passwörter herleiten kann, egal wo ich bin. bei passwortmanagern habe ich das problem, dass ich meine passwörter nicht überall zur verfügung habe.

ein anderes großes problem sind die admins der dienste, PW max 16 zeichen oder sonderzeichen nicht erlaubt ... kannste machen nix außer vereinfachen.

Ich nutze LastPass. Ein starkes Master-Passwort, dass ich nirgends sonst verwende, zusammen mit Zwei-Faktor Authentifizierung. Passwort-Datenbank lokal verschlüsselt und überall verfügbar. Generierte Passwörter mit 24 Zeichen (Buchstaben, Groß-/Klein-, Zahlen, Sonderzeichen).

Ich würde / nutze auch einen Passwort Manager. Vielleicht kein LastPass

http://www.heise.de/security/meldung/Hackerangriff-auf-Passwort-Manager-LastPass-2691498.html

Ich nutze KeePas. Und seit dem ich es nutze, kenne ich meine eigenen Passwörter auch nicht mehr. Sie sind einfach nicht mehr merkfähig.

Das ein Online-basierter Service auch mit Hacker-Angriffen zu kämpfen hat, dürfte klar sein. Allerdings wurden keine Daten geklaut, außer ein paar E-Mails. Weder Master-Passwörter noch die verschlüsselten Passwort-Archive wurden kompromitiert.

Weder Master-Passwörter noch die verschlüsselten Passwort-Archive wurden kompromitiert.

Zum Vergrößern anklicken....

LastPass zeigt sich in seiner Mitteilung zuversichtlich, dass die eingesetzte Verschlüsselung "die große Mehrheit der Nutzer" in diesem Fall schützen wird.

Zum Vergrößern anklicken....

behauptet der Anbieter finde den Fehler!

100% Sicherheit gibt es nicht, Aber Sicherheit und Vertrauen fällt mit einer Kompromitierung!

PW haben weder in der Cloud noch auf dem PC gespeichert was zu suchen! Unendeckter Trojaner ( was bei Zero Days 99,9% der Fall ist ) und das war es mit der Sicherheit! Ist zwar auffwendiger PW zu merken, aber wenn dir jemand versucht dein Hirn "auszulesen" bist du der Erste der es weis

Auch diese Methode ist nicht unfehlbar spätestens nach der 2ten Kniescheibe, aber dann weist du wenigstens das dein PW nicht mehr sicher ist

Die Sicherheit steht und fällt mit der Sicherheit des Master-Passworts. Das gilt für alle Dienste. Dein Argument ist invalide.
Eine entsprechende Sicherheit wie mit LastPass/KeePass oder anderen kriegst Du mit einem "nur gemerkten" Passwort nicht hin, sobald Du mehr als 2-3 Dienste hast, die du nutzt. Keiner kann sich ernsthaft dutzende Buchstaben-, Zahlen- und Sonderzeichen-Kombinationen in ausreichender Länge (24+ Zeichen) merken. Keiner. Also nutzt man doch wieder die gleichen Passwörter. Und das ist ein größerer Fehler als ein irgendwo verschlüsselt gespeichertes Passwort-Archiv.

Wenn man 100%ige Sicherheit will, erschießt man sich am besten gleich selbst. Dann braucht man sich nicht mehr um die Sicherheit seiner Daten sorgen.

Alienate.Me schrieb:

Macht man sich nen Account jetzt z.B. bei Hardwareluxx wäre das PW: MPw4HrdwrlxxGeb1985

Man kann sich so für jeden Dienst ein eigenes, leicht zu merkendes PW machen, dass für Mensch und Maschine gleichermaßen schwer zu knacken ist.

Zum Vergrößern anklicken....

Wobei es deutlich einfacher wird sobald dein "Passwort nach Muster" auf einer Seite entwendet wird (passiert ja fast jede Woche irgendwo bei ner bekannten Seite). Dann wird es nämlich sehr viel einfacher das PW für alle anderen Seiten zu erraten bzw. die Kombinationsanzahl ist drastisch reduziert.

Luxuspur schrieb:

Ist zwar auffwendiger PW zu merken, aber wenn dir jemand versucht dein Hirn "auszulesen" bist du der Erste der es weis

Zum Vergrößern anklicken....

Ist gar nicht notwendig. Keylogger reicht auch.

von solchen abgekürzten sätzen hale ich nicht soviel, lässt sich m.e. nicht so gut schreiben wie "sätze" und die entropiebits von zb diceware sind ziemlich hoch, weil zufällig ausgewürfelt.

https://de.wikipedia.org/wiki/Diceware

deine passwortstrategie finde ich nicht sehr schlau, du schwächst sie indem du sie kürzt; wofür? die paar sonderzeichen usw. machen das passwort nur leicht stärker, während jedes zeichen mehr DEUTLICH mehr "sicherheit" bringt.

ein weiteres problem ist die nicht vorhandene zufälligkeit, dadurch schränkst du den raum an möglichkeiten doch ziemlich ein. nach den zwei beispielen gibt es vlt. 100 (!) möglichkeiten für eine neue seite, das ist ziemlich schnell durch. das datum dahinter ist noch eine weitere schwächung, weil es nicht soviele möglichkeiten gibt. ebenso wie geburtstage.

das mag für menschen auf den erste blick schwer knackbar sein, ist es m.e. für computer aber nicht und schwerer zu merken bzw. einzugeben ist es auch. war es bei dem einen dann mpf oder mp4? oder doch etwas ganz anderes? durch immer die selben wortkombinationen im verschlüssekten text wurde übrigens auch die durch enigma verschlüsselten funksprüche deutlich schneller geknackt. da war natürlich deutlich mehr interesse dahinter als bei einem hinzkunz wie uns

diceware ist völlig zufällig und damit bringt es keinem etwas, wenn sie ALLE (!) passwörter bis auf eines haben, es sind keine rückschlüsse auf das eine möglich, selbst für nahestehende nicht; durch die modifikation (die jeder für sich selbst festlegen sollte) ist außerdem nicht einmal der gesamte schlüsselraum bekannt.

Luxuspur schrieb:

Sätze sind immer scheisse was glaubst du was es da schon schöne Algorithmen für gibt ^^ Dank Gutenberg Project sind selbst Sätze aus Büchern nicht mehr sicher ... und daraus Buchstaben weglassen, das ist das kleine Hackereinmaleins! Dann auch noch mit persönlichen Daten garniert ...

Zum Vergrößern anklicken....

jaja...dann rechne dir einmal durch wie viele möglichkeiten es da gibt, selbst bei einigen tausend wörtern und zb 7 wörtern im pw. sind das sehr sehr sehr sehr sehr viele.

Alienate.Me schrieb:

es ist jedenfalls sicherer, als für alles nur 1 PW zu benutzen oder vlt nur 3 verschiedene zu haben.

Zum Vergrößern anklicken....

auf jeden fall

Falcon schrieb:

Keiner kann sich ernsthaft dutzende Buchstaben-, Zahlen- und Sonderzeichen-Kombinationen in ausreichender Länge (24+ Zeichen) merken.

Zum Vergrößern anklicken....

wofür sollte man das auch?

auf dieser seite ist da ein interessantes beispiel:

"Which of the following two passwords is stronger,
more secure, and more difficult to crack?

D0g.....................

PrXyc.N(n4k77#L!eVdAfp9"

vulgo schrieb:

"Which of the following two passwords is stronger,
more secure, and more difficult to crack?

D0g.....................

PrXyc.N(n4k77#L!eVdAfp9"

Zum Vergrößern anklicken....

Erstens enthalten beide sowohl Groß-/Kleinbuchstaben, Zahlen, als auch Sonderbuchstaben. Also ist es nicht besonders erstaunlich, dass ein Passwort, welches - bei gleichen Eigenschaften - länger ist, "sicherer" ist.

Zweitens steht meine Aussage weiterhin. Willst Du jedes mal die Punkte zählen, wenn Du das Passwort eingibst? Außerdem besteht weiterhin die Nötigkeit für jede Webseite, für jeden Dienst, für jede App/wasauchimmer sich immer noch ein anderes Passwort zu merken. Denn, egal wie sicher das Passwort ist, einmal komprimitiert hat man ein Problem. Unnötiger Aufwand. Ich habe derzeit über 250 verschiedene Passwörter in meinem Safe gespeichert. Das merke ich mir nie im Leben. Man nehme einen Passwort-Safe und möglichst lange Passwörter, fertig.

wenn man so ein passwort gewählt haben sollte (wovon extra abgeraten wird) dann zählt man eben die punkte, wo ist die schwierigkeit? du wirst auch kaum alle passwörter auf einmal erstellt haben und wenn man sich nicht einmal 250 datensätze merkt, wie will man sich dann zb kunstwerke+datum+ schaffer merken? das tun aber viele menschen - ich auch - und demnach bin ich der meinung, dass man sich auch 250 PW gut merken könnte, wenn man will.

Kann man natürlich machen. Aber zusätzlich zum PW gibt es ja teilweise noch einen ordentlichen Haufen zusätzliche Infos. Sei es Geheime Frage / Antwort, Wiederherstellungskennwörter, 2-Faktor-Anmeldung, etc. pp.

Das alles zumindest halbwegs gesichert in einem PW-Safe abgelegt wäre für den Otto-Normalverbraucher schon ein solider Anfang. Damit allein wäre schon viel erreicht, weil aktuell sieht es doch zu 9x% anders aus: PW ist extrem simpel & überall gleich bzw. wenn es benötigt wird, dann hat man es vergessen oder den Zettel / das PW-Büchlein verlegt.

Ansonsten braucht es halt auch mal eine neue / besser Art der Anmeldung im Netz. SQRL (Secure Quick Reliable Login) klingt da durchaus interessant.

Geheime Fragen und Antworten dürfen niemals (!) sinnvoll sein. Wer da bspw. wirklich den Namen seines Haustiers angibt, ist selber Schuld. Wiederherstellungskennwörter gibt es ja meist eh nur bei Diensten, die auch Zwei-Faktor-Authentifizierung anbieten. Das sind auch nur Einmal-Pins, die druckt man sich aus, legt sie sicher ab, fertig.