News Collection #1: Datenleak mit über 773 Millionen E-Mail-Adressen

[Arcturus128]

Auf deinem Blatt Papier wirst du wohl nicht so komplexe und lange (die weniger anfällig für Bruteforce sind) Passwörter haben oder?

Ich nutze keinen Zettel ;-)
Ich wollte ursprünglich nur sagen, dass auch ein Zettel Vorteile hat gegenüber einem Passwortmanager.

 

[Faust II]

dass auch ein Zettel Vorteile hat

Welche?

 

[Sendaba]

Er ist vegan.

 

[Arcturus128]

Welche?

Wurde schon gesagt.

 

[Faust II]

Wurde schon gesagt.

Ein Zettel ist nicht für Malware anfällig. Niemand kann ihn digital klauen. Die Wahrscheinlichkeit, dass ihn jemand physisch klaut ist meist deutlich geringer.

Für Malware und Diebstahl etwas weniger anfälliger, dennoch nicht ganz ausgenommen wie erklärt. Ich selber hatte noch eingebracht, der Zettel ist nicht an eine Datei gebunden (Die Datei ist schnell gelöscht, für den Zettel braucht es mehr "Aufwand"). Sind wir bei 4 - "unzählige Vorteile" - Welche denn noch?

Wohlgemerkt die ganzen Nachteile dem gegenüber.

 

[JonnyGranada]

Gibt es irgendwo eine Anleitung wie man seine Passwörter offline überprüfen kann?

 

[Der-Orden-Xar]

Wenn du die bei Keepass gespeichert hast: Von der Keepass-Seite das hibp-offline Plugin laden, dazu die orderd-by-jash Liste von HIBP.
Der Rest sollte über die Anleitung zum Plugin recht schnell gehen.

Für 1Password soll es auch so eine Möglichkeit geben.
Falls nicht, oder falls du keinen Passwortmanager verwendest: PW-Liste von HIBP laden und selbst die hashes bilden und suchen.

 

[Faust II]

@Der-Orden-Xar
Weißt du zufällig wie groß die .txt ausgepackt ist?

 

[Phear]

@fdgr6r5dfghfdtg

 

[Faust II]

Danke. Das geht ja noch.. dachte schon das wird irgendwas weit über 100...

 

[JonnyGranada]

Falls nicht, oder falls du keinen Passwortmanager verwendest: PW-Liste von HIBP laden und selbst die hashes bilden und suchen.

Da liegt mein Problem, ich finde einfach keine vernünftige Anleitung womit ich die SHA1 hashes selbst erstellen kann, und da ich die runter geladene txt nicht mit dem editor oder notepad+ öffnen kann, hab ich auch keine Ahnung wie ich das selbst überprüfen soll.

 

[Der-Orden-Xar]

Bevor ich das Plugin entdeckt habe, habe ich es mit FsumFrontEnd (für HASH) und glogg (zum öffnen der Textdatei) versucht. Umständlich, aufgrund der Größe auch nicht wirklich schnell, aber es funktioniert.

 

[JonnyGranada]

Ok danke, aber das suchen dauert ja echt ewig.

 

[Arcturus128]

Für Malware und Diebstahl etwas weniger anfälliger, dennoch nicht ganz ausgenommen wie erklärt.

Sehe ich nicht so. Der Zettel ist für Malware unangreifbar, ganz anders als ein Passwort-Manager. Natürlich kann bei der Eingabe des Passwortes dieses abgegriffen werden, aber das trifft auf absolut jede Methode zu, denn eingegeben werden muss das Passwort so oder so. Das kann also nicht als Argument gegen einen Zettel gebracht werden.

 

[Faust II]

@Leli196
Der Unterschied ist, bei KeePass bleiben die Daten für ein Paar Sekunden im Clipboard und danach verschwinden sie. Bei der Zettelmethode muss ich es eingeben. Tastatureingaben können leichter abgefangen werden als der Inhalt des Clipboards zu einem bestimmten Zeitpunkt. Kann man jetzt so oder so sehen. Für mich bleibt es kleiner aber trotzdem ein weiterer Punkt.

Was haben wir noch für Vorteile bei dem Zettel, außer genannten?
(Bitte verstehe mich nicht falsch, ich will den Zettel nicht schlecht reden, ich interessiere mich nur für die Pros und Kontras beider Methoden. Bin der Ansicht die KB ist sinnvoller, aber lasse mich trotzdem gern belehren, man lernt nie aus. )

Vielleicht haben andere Zettelverteidiger noch ein Paar Ideen?

 

[new Account()]

Der Unterschied ist, bei KeePass bleiben die Daten für ein Paar Sekunden im Clipboard und danach verschwinden sie. Bei der Zettelmethode muss ich es eingeben. Tastatureingaben können leichter abgefangen werden als der Inhalt des Clipboards zu einem bestimmten Zeitpunkt.

Also wenn man AutoType benutzt (was vermutlich aus Bequemlichkeitsgründen die meisten nutzen werden), werden Tastatureingaben simuliert. -> Keylogger
Eine Option bietet hierbei an, dass bei Autotype eine Kombination von Zwischenablage und Tippsimulation verwendet wird, was wohl sicherer als beide Varianten ist, aber bei einem gezielten Angriff genauso unsicher ist: Sowohl die Zwischenablage zu protokollieren als auch die Tipper abzufangen ist kein Hexenwerk sobald eh schon Malware läuft.

 

[Old Knitterhemd]

Also es sollte eigtl auch klar sein, dass bei einem gezielten Angriff, die Lage ohnehin noch mal anders aussieht.

In erster Linie geht es darum, sich möglichst breitflächig abzusichern.

Ich denke selbst Google Chrome Passwortspeicher sind sicherer als "namemeineshundes123" überall.


Ich nutze Keepass viel, habe aber auch manche Kennwörter nur analog auf Zetteln.

Ebenso kann man seine Datenbanken ja anpassen, am Mobilgerät die DB mit Foren und solchen Dingen und am Hauptgerät/Arbeitsgerät eine komplette Offline Datenbank.

Oder alles auf 2 USB Sticks - 1* DB und 1* Keyfile plus Masterkennwort.

Oder per YubiKey und so weiter.

Auf Grund der vermehrten Anfragen, habe ich mal einen Schnelleinstieg verfasst:

KeepassXC und Keepass2Android