News Yahoo will klassische Passwörter abschaffen

[snakebite]

Was soll das?

Ist der moderne Mensch heutzutage zu doof sich seine email Adresse inkl. dazugehörigem Passwort zu merken?!

Wenn er davon im Schnitt 5 hat müssen lediglich sich 10 Wortkreationen gemerkt werden. Das kann doch wohl nicht zuviel verlangt sein. Herrgott! Die Welt verblödet!

 

[geislpxs]

Ehja? Und was ist mit Wörterbuch attacken?
Der Vorteil von solch komplizierten Passwörtern ist das wenn jemandem über die Schultern geguckt wird das Passwort nich gleich erkannt wird! Schau mal jemandem über die Schultern der "Hallo do Depp" schreib oder der "K4Tg2KrPW&gjm" tippt. Viel Glück beim erraten und Merken des zweiten

14 Stelliges Leetspeek PW reich mir momentan....glaubs...

Wörterbuchattacken sind kein Problem... Ab dem ~dritten Wort sicherer als die Zeichenlänge an sich (über 75000 Wörter alleine in der deutschen Sprache. Und dann kann man noch konjugieren und Dialekte nutzen oO). 14 Zeichen Leetspeak sind bei ner Bruteforceattacke kaum sicherer als 14 kleine a. Mit hoher Wahrscheinlichkeit werden 14 Zeichen Leetspeak vermutlich sogar schneller geknackt als 15 kleine a...
In der Zeit in der du "K4Tg2KrPW&gjm" tippst, kannst du auch eine sicherere und leichter zu merkende Passphrase tippen
Passphrase absehen? Aber sicher doch. Wenn man mit einem Finger tippt vielleicht

Nicht das Verwenden, sondern das Erlauben von Sonderzeichen erhöht die Sicherheit und nichts geht über die Länge. Das checken leider viele Admins nicht...

 

[TheLastHotfix]

Ich denk



drüber nach ; ) den Fingerabdruckscan am iPhone will ich jedenfalls nimma missen, sehr komfortabel.

 

[Wolfsrabe]

[...]Meines Erachtens wären hier Fingerabdrucksensoren wesentlich sinnvoller und unkomplizierter.[..]

Öhm... also die Telefonnummer preiszugeben, ist ja schon ziemlich dicht an der Privatsphäre dran. Aber immerhin handelt es sich hierbei immernoch lediglich um eine Nummer eines technischen Gerätes. Und die Nummer kannst du wechseln.

Deinen Fingerabdruck behälst du dein Leben lang. Soll heißen, hast du dich einmal damit irgendwo registriert, bist du das auch dein Leben lang.

Willst du das wirklich?

 

[TheLastHotfix]

Wenn Dich das System mit der Fliegenklatsche eliminieren will scheitert es aber garantiert nicht an derartigen Fingerabdrücken, und andererseits ... da ich keine Schandtaten geplant habe ist es mir herzlich egal, spätens mit dem EU-Pass oder wenn man in die USA einreist wird man ohnehin erkennungstechnisch erfasst.

 

[HighTech-Freak]

Nix für ungut, aber ich benutze 2-Faktor Authentifizierung schon lange auch auf Seiten die es eigentlich nicht unterstützen.
Einfach jedes Mal das Passwort per Mail zurücksetzen und gut is... Dank Pushmail schneller als ein Passwort aus einer PW Liste zu kramen.

Sichere, leicht zu merkende und serviceindividuelle Passwörter sind doch kein Problem. Das Problem sind inkompetente Admins, die die maximale Passwortlänge beschränken und die Nutzung bestimmter Zeichen erzwingen

Bsp: deinemutterschwitztbeimkackencomputerbase ist so ziemlich sicher und viel leichter zu merken und schneller einzutippen als irgendein ~0)HdOlöKHvliu(8u08=(=&(

/signed Vorallem maximale Passwortlänge und unnötige Komplexität.
Dann kannst zB das Passwort +meinpwatCB#2015! in ähnlicher Variation nicht mehr auf anderen Seiten verwenden, da irgendein Vollpfosten von Admin gemeint hat, + oder ! darf ned im Passwort sein. Außerdem isses vlt. noch zu lang.

Und wie logge ich mich dann am handy in meine Mails ein? Auch per SMS? ist ja super sicher...

Jo, am Handy is das natürlich voll für die Fisch. SMS is auch nicht der Weisheit letzter Schluss, schon garnicht in Zeiten von LTE. Außerdem funkt das System sowieso nur für Webseiten. IMAP braucht ein statisches Passwort. Google hat das Problem bereits gut gelöst.

 

[Seppuku]

@ geislpxs

Wenn ich Groß- und Kleinschreibung, Zahlen und Sonderzeichen in einem Passwort mit 11 Zeichen verwende, komme ich nicht auf 2^28 Kombinationsmöglichkeiten...
Wenn ich von einem 6 Wörterpasswort und und den geläufigsten 25000 Wörtern ausgehe, welche man sich gut merken kann, dann habe ich natürlich eine höhere Sicherheit. Aber bei Bruteforceangriffen sind beide Varianten relativ sicher/unsicher.
Merken kann man sich die Wörterkombination normalerweise natürlich besser. Aber dein Bild sollte trotzdem nicht die Wahrheit verzerren.

 

[Kreisverkehr]

Du musst deine Handynummer ja auch nicht herausgeben, in den News steht doch das es optional ist, dieses Verfahren zu nutzen.

Schon mitbekommen, aber meine Befürchtung war aber eben, dass es bei Erfolg später in eine Pflicht umgesetzt wird. Mal abgesehen von den Datenbedenken wurde auch schon hier angesprochen, dass der Sicherheitsaspekt selber auch noch schlecht ist.
Außerdem: Irgendwann werden inaktive Simkarten abgeschalten, muss bei jedem Einloggversuch (später?) eine SMS erhalten werden?

Ich finde es weder sinnvoll, durchdacht, notwendig oder besser als (meine) Passwörter.

Witzigerweise schmeißt mich Yahoo eh sporadisch alle zwei Wochen raus und zwingt mich zur Passworteingabe...

Ist der moderne Mensch heutzutage zu doof sich seine email Adresse inkl. dazugehörigem Passwort zu merken?!
[...]Herrgott! Die Welt verblödet!

Ist es so schwer zu verstehen, dass die Welt aus mehr als fünf Mailanbietern besteht, dass Menschen ... lassen wir das. Lies dir paar Zitate durch auf der Seite und reflektiere deine Aussage. Zwei Zitate stell ich hier noch so rein:

“Unsere Jugend ist heruntergekommen und zuchtlos. Die jungen Leute hören nicht mehr auf ihre Eltern. Das Ende der Welt ist nahe” (Keilschrifttext, Chaldäa, um 2000 v. Chr.)"

"Ich habe überhaupt keine Hoffnung mehr in die Zukunft unseres Landes, wenn einmal unsere Jugend die Männer von morgen stellt. Unsere Jugend ist unerträglich, unverantwortlich und entsetzlich anzusehen” (Aristoteles, 384-322 v. Chr.)"

 

[22428216]

1. Will ich NICHT, dass Yahoo und Co. meine Handynummer bekommen.

2. Ich habe ein altes Nokia 3410 was wenig Beachtung bekommt. Oft habe ich es nicht dabei.
Für Leute wie mich sollte es dennoch eine Option geben.

3. Ich nutze Thunderbird. Wie geht das damit? Das Programm hat kein Handy



Für Leute die sich darauf einlassen möchten, ist das sicherlich eine gute Lösung.

 

[Wüstenfuchs89]

Schon mitbekommen, aber meine Befürchtung war aber eben, dass es bei Erfolg später in eine Pflicht umgesetzt wird. Mal abgesehen von den Datenbedenken wurde auch schon hier angesprochen, dass der Sicherheitsaspekt selber auch noch schlecht ist.
Außerdem: Irgendwann werden inaktive Simkarten abgeschalten, muss bei jedem Einloggversuch (später?) eine SMS erhalten werden?

Ich habe es etwas anders verstanden, nämlich das bei jedem einloggen oder eventuell auch nach einem bestimmten Zeitraum ein neues Passwort angefordert werden muss, unabhängig davon ob die SIM-Karte nun aktiv oder mittlerweile inaktiv ist.

Will der Anwender sich nun bei Yahoo anmelden, gibt er seinen Nutzernamen an und lässt sich ein einmaliges Passwort als SMS auf das Smartphone schicken.

Darüber hinaus bezweifle ich, dass Yahoo sowas als Standard einführen und seine Kunden verprellen wird, ganz einfach weil es umständlich ist. Warum auch sollten sie selbst geringe Marktanteile riskieren nur um einen Sicherheitsaspekt zu forcieren? Mittlerweile hat sich auch Otto-Normal Nutzer damit abgefunden, dass Login-Daten geklaut werden können. Wenn also sein Passwort gestohlen wird, wird das in erster Linie nicht auf Yahoo zurück fallen, eine solche Gängelung bei der Passwortvergabe hingegen schon.

 

[Tuetensuppe]

Na klasse, so kommt man bequem zu allen Passwörtern von Bekannten, zu dessen Handys/Smartphones man irgendwie Zugang hat.

 

[MountWalker]

@ geislpxs

Wenn ich Groß- und Kleinschreibung, Zahlen und Sonderzeichen in einem Passwort mit 11 Zeichen verwende, komme ich nicht auf 2^28 Kombinationsmöglichkeiten...

Weil du fälschlicherweise davon ausgehst, dass da besonders viel zufällig gewählt wird, was aber nur möglich ist, wenn du das Passwort auch wirklich zufällig mit einem Passwortgenerator erstellst, womit sich das Hans Wurst dann aber komplett gar nicht mehr merken kann- dann muss es entweder mehr oder weniger gut verschlüsselt im Passwortspeicher des Web-Browsers oder auf einem Papierzettel gespeichert werden und wenn das dann aus Versehen mal flöten geht, braucht man eine Möglichkeit, seine Identität dem Mail-Anbieter gegenüber ohne Passwort zu verifizieren, also greift man entweder auf eine zweite E-Mail-Adresse zurück, die aber das gleiche Passwortproblem hat oder nimmt eine Sicherheitsfrage, bei der ich nicht weiß, ob "Geburtsname deiner Mutter" und Co. sicher ist. Der Punkt an dem Comic ist eben, dass diese Zeichenvorgaben nicht wirklich zu sicheren Passwörtern führen, weil sie nur Leetspeak erzwingen und Leetspeak-Varianten von Wörtern genauso in Wörterbüchern erfasst werden können, wie Wörter selbst. Und solche Varianten kann man eben leicht durch Scripte erstellen lassen, ohne die Leetspeak--Varianten der Wörter einzeln erfassen zu müssen, weil 0 für O und so weiter eben eine wahrscheinlche Variante ist und 3 für O sehr unwahrscheinlich.

Ich fands schon schwierig mich an ein Router-Passwort zu erinnern, das wenisgtens mit der geläufigen Anfangsbuchstaben-Methode* (leicht zu merken) erstellt wurde, als ich mal nach anderthalb Jahren ein Firmware-Update gemacht habe - aber beim Router gibts wenigstens noch die Möglichkeit, den Setup-Defauts-Knopf zu drücken; bei Online-Konten geht das nicht.

*Die Anfnagsbuchstabenmethode benutzt Anfangsbuchstaben eines Satz wahlweise mit oder ohne Großschreibung = dAbmbAbeSwmooGs

 

[Saschka]

Bin da kein Fan von. Bei mir hats mit der Sicherheit bisher auch immer so funktioniert.
Ich mein klar, für Online-Banking etc. finde ich diese Art von Passwort (mobile Tan) absolut nützlich.
Aber für mein Mailkonto ists dann doch etwas überzogen.

 

[Seppuku]

Weil du fälschlicherweise davon ausgehst, dass da besonders viel zufällig gewählt wird, was aber nur möglich ist, wenn du das Passwort auch wirklich zufällig mit einem Passwortgenerator erstellst, womit sich das Hans Wurst dann aber komplett gar nicht mehr merken kann

Um eine Reduktion der Möglichkeiten bei einem konkreten Passwort anstellen zu können, muss die Logik des Passwortes bekannt sein. Ist sie aber bei einer unbekannten Person nicht (zwingend). Von daher ist der Comic unsinnig. Denn dann müsste er fairerweise auch eine strikte Logik/Reihenfolge bei der (zufalls) Wortwahl benutzen: Artikel, Adjektiv, Nomen, Verb,... Das reduziert dann die Variationsmöglichkeiten auch bei dieser Variante deutlich...

 

[Cardhu]

Omg, hoffentlich kommt das nicht hier als Zwang X.x
Hab alle meine Email Adressen da und würde das nur ungerne ändern.
Wenn man sich mal über die Firma da einloggt, wird schon jedes Mal nach ner Handynummer gefragt. Wozu? X.x
Alle wollen überall die Daten von einem. Zum kotzen

 

[MountWalker]

@ Seppuku

Zwingend sind bestimmte Sachen nicht bekannt, aber hinreichend für den Großteil der Nicht-Genie-Anwender. (hinreichend dafür, den Großteil der Passwörter von erbeuteten hashes zu knacken) Allerdings gebe ich dir mit dem zweiten Teil Recht - das muss dann (pragmatisch, für den Großteil der Nicht-Genie-Anwender) auch für die Wortreihenfolge der Wörter gelten.

 

[fandre]

Ohne Empfang oder mit leerem Akku schau ich dann in die Röhre.

Allein schon der Mehraufwand ist doch nervig, wenn man sich nur mal schnell irgendwo anmelden möchte.

 

[BrightM]

Jawohl, lassen wir uns alle Passwörter aufs Handy schicken und wenn wir dann gemerkt haben, dass Handys auch nur Computer sind, die zudem wesentlich schlechter geschützt werden als Heim PCs hinter Virensuiten, dann stellen wirs wieder um...
Das Problem mit den Hackerangriffen auf Handys ist, dass man sie erst merkt wenn sie stattfinden, das tun sie aber zur Zeit glücklicherweise nicht weitverbreitet, weil Handys noch kein lohnendes Ziel sind. Wenn wir aber alle Bankdaten (mTan) und alle Internetpasswörter aufs Handy bekommen, dann lohnt sich dass vielleicht irgendwann

Und zu der Diskussion was ein sicheres Passwort ist, sage ich nur, schaut euch mal an wie stark Computer geworden sind, Bruteforcen kann man alles, es ist eine Frage der Zeit und der eingesetzten Rechenpower. Dafür muss ich gar keinen Supercomputer bauen, es reicht ein einfaches Botnetz mit ein paar tausend normalen HeimPCs, Hacker die wirklich kriminell sind und ein Interesse haben genau dieses PW zu knacken, die werden das schaffen, außer man ändert seine Passwörter regelmäßig, aber was ist regelmäßig? Wie häufig muss ich ein Passwort ändern um das zu verhindern?

 

[Daaron]

Bin da kein Fan von. Bei mir hats mit der Sicherheit bisher auch immer so funktioniert.
Ich mein klar, für Online-Banking etc. finde ich diese Art von Passwort (mobile Tan) absolut nützlich.
Aber für mein Mailkonto ists dann doch etwas überzogen.

Warum sollte es überzogen sein? Schließlich ist dein Mailkonto im Zweifel die Stelle, an der alle anderen Authorisierungen & Passwort-Resets zusammen laufen.
Knackt jemand den Mailkonto, kann er als nächstes z.B. auf dein Amazon-Konto, und per Lastschrift shoppen. Oder er kommt zu PayPal durch, und verballert dein Guthaben. Er klinkt sich in deine Dropbox ein und kapert deine Dateien.

Jawohl, lassen wir uns alle Passwörter aufs Handy schicken und wenn wir dann gemerkt haben, dass Handys auch nur Computer sind, die zudem wesentlich schlechter geschützt werden als Heim PCs hinter Virensuiten, dann stellen wirs wieder um...

Da diese Passwörter 1.) Einmal-Passwörter und 2.) sicherlich nur temporär gültig sind, bringt es einem Angreifer sehr wenig, das Telefon anzugreifen. Wenn er nicht genau in dem Moment auf dein System zugreift, während du die Passwort-SMS bekommst, wars das. Dann ist es entweder schon wieder verfallen, oder der User hat es tatsächlich schon benutzt.

Und zu der Diskussion was ein sicheres Passwort ist, sage ich nur, schaut euch mal an wie stark Computer geworden sind, Bruteforcen kann man alles...

Nein, kann man nicht. Du kannst z.B. (selbst mti einem sehr großen Botnet) mal versuchen, einen Zugang zu attackieren, der über Dienste wie Fail2Ban gesichert ist.
Für alle die's nicht kennen: Fail2Ban sperrt eine IP temporär (üblich: 30Min+), nachdem von ihr mehrere (3-5) fehlerhafte Eingaben in einer gewissen Zeitspanne eingingen. Selbst wen du also ein 10.000 Einheiten großes Botnet hättest, jeder Bot hat pro halber Stunde nur 5 "Schuss". Was sind schon 2,4Mio Zugriffsversuche pro Tag gegen ein SICHERES Passwort?

Und im schlimmsten Fall triggerst du nach X Fehlversuchen einfach eine Sperre auf das angegriffene Konto, die über einen SMS-Code oder ähnlichem erst wieder entfernt werden muss.

 

[jtsn]

Die Verknüpfung mit Mobilfunk scheint immer üblicher zu werden, so daß man wohl bald einen SMS2Mail-Dienst nur für "Zweifaktorauthentifizierung" benötigt. Das Hauptproblem sind allerdings zusätzliche laufende Kosten für die Unterhaltung von Mobilfunknummern, inkl. den Portierungskosten von 30 €.