Passwörter, Firefox & Faulheit

[NOOB]

Guten Morgen,

aufgrund von starker Faulheit habe ich meine Passwörter meistens direkt in Firefox abgespeichert, den wer will bzw. kann sich schon all seine Passwörter merken?

Meine Passwörter sind auch immer min. 20 Stellen lang und sehen so aus:

Gfjeb68va597mdtc19g8

Also nicht einfach zu merken und eigentlich bin ich damit auch zufrieden. Doch ich mache mir Sorgen das durch ein Script o.ä. meine Passwörter ausgelesen werden können.

Soweit ich weiß gab es auch so ein Bug schon einmal in Firefox. Natürlich sind wichtige Sachen wie Online Banking, Amazon und Paypal weiterhin nur in mein Kopf gespeichert. Aber für all die Foren, Blogs usw. speichere ich meine Passwörter unter Firefox ab - doch wie sicher ist das ?

Die Passwörter werden durch ein Masterpasswort geschützt und zusätzlich benutze ich das Plugin Secure Login. Des weitern versuche ich mich mit WOT, NoScript und Kaspersky IS 2009 zu schützen. Cookies werden auch nur für bestimmte Domains erlaubt.
VISTA 64 bekommt wie alles andere auch immer regelmäßig und zeitnahe Updates.

Habe erst gedacht mit Keepass 2 und Keeform zu arbeiten, jedoch erst immer Keepass zu starten und auch noch zu pflegen ist ein Arbeitsschritt extra und Keeform scheint mir a) noch recht "alpha" zu sein und b) ist es nicht einmal auf der Mozzila Addon Seite (würde mich halt sicher fühlen es von dort zu beziehen).

Ich hoffe zwar das all das ausreicht aber nun ja, so 100 pro fühle ich mich leider noch nicht dadurch.

Daher meine Frage: hat jemand von euch noch ein Tipp, ein Rat, ein Hinweis für mich wo ich Sicherheitshalber noch was machen kann?

 

[serra.avatar]

Tja nette PW verwendest du ja ... nur leider bringen die dir gar nix wenn du sie abspeicherst ... kannste genausogut ohne PW arbeiten ... und knackbar ist grundsätzlich alles ...

 

[NOOB]

nur leider bringen die dir gar nix wenn du sie abspeicherst ... kannste genausogut ohne PW arbeiten ... und knackbar ist grundsätzlich alles ...

Das nichts 100% sicher ist, ist mir natürlich bewusst. Doch warum sind die PW denn genau in abgespeicherter Form unnütze? Können Webseiten so leicht darauf zugreifen?

 

[HaveFun]

Tja nette PW verwendest du ja ... nur leider bringen die dir gar nix wenn du sie abspeicherst ...

Natürlich bringen gute Passwörter was, auch dann, wenn sie lokal gespeicehrt werden.

Schlechte, einfache, kurze Passwörter, die womöglich noch mehrfach benutzt werden, sind ein echtes, riesiges Problem. Einfache Passwörter sind "erratbar" (wörterbuch-attacke, brute-force), und dazu braucht ein Angreifer keinerlei Zugang zum lokalen PC. Und mehrfach benutzte PWs sind sehr gefährlich (es reicht dann ja ein unseriöser oder sogar unvorsichtiger Anbieter).

Ein Problem mit mit Browser gespeicherten PWs kann ja nur bei einem infizierten PC entstehen.
Klar, das Speichern im Browser ist ein gewisses Risiko, aber die Wahl von komplexen, unterschiedlichen PWs ist deutlich wichtiger.

 

[Dese]

das ist totaler quatsch was serra.avatar dir da erzählen will.

natürlich stellt die lokale speicherung ein sicherheitsrisiko dar. aber für einen angreifer auf einen deiner forenaccounts besteht im allgemeinen nicht die möglichkeit auf denien lokalen rechner zu zugreifen. d.h. deine system erhöht durchaus die sciherheit.

ein angriff auf deine lokal gespeicherten daten ist nochmal ne ganz andere sache. und wenn sich ein angreiffer auf deinen lokalen rechner zugriff verschaft, dann ist es meist ohnehin wurscht ob du da passwörter gespeichert hast oder nicht, da er dir dann gleich ne abhöranlage reinsetzen kann.

ja, bugs die möglcihkeiten eröffnen dinge auszulesen kann es genau so geben wie bugs die ermöglichen dir dinge zu installieren/auszuführen. dein system ist sicherer als das der meisten und im grunde hast du so ziemlch alles im rahmen des ff und der passwörter getan was möglcih ist.

und nochmal: ist dein pc infiziert/ hat wer zugriff drauf, dann ist es egal ob du dort passwörter gespeichert hast oder nicht. man kann dir nen trojaner/keylogger etc. draufsetzten.

 

[NOOB]

BTW: Das lokaler Zugang zum PC gefährlich wäre ist mir natürlich bewusst, doch wie hoch ist die Wahrscheinlichkeit das Leute bei mir bewusst einbrechen um meine PW zu erfahren? Ich denke das ist wesentlich geringer als die Wahrscheinlichkeit im Netz auf PW klauende Webseiten zu gelangen.

Ansonsten noch die Frage ob TrueCrypt da was bringt?

 

[Dese]

truecrypt bringt dir hierbei ncihts, da wenn der zugriff im betrieb stattfidnet man ja auf die unverschlüsselten daten zugriff hat.

eiun angriff wird sciher nicht bewußt stattfinden um GENAU DEINE pw zu erschleichen. nein, es wird whallos verschiedenste pcs im netz angegriffen und dann wird geschaut, was man von denen alles bekommen kann. trojaner drauf, keylogger drauf und hoffen, dass sie online banking und co nutzen.

das einzige wobei dir truecrypt hilft, ist wenn dein pc aus ist und sich jemand zu deinen räumlichkeiten zugang verschaffen kann. dann kann er die passwörter auslesen, wenn die daten nicht verschlüsselt sind. allerdings hilft genau dagegen das masterpasswort bereits recht gut

 

[NOOB]

hm trojaner & keylogger müssen doch erst installiert werden bevor sie funktionieren oder?

 

[cl1985]

Gespeicherte Passwörter (egal ob Truecrypt, FF, oder sonst ein Programm) sind immer ein Sicherheitsrisiko. Wird das eine Programm, in dem die Passwörter gespeichert sind, gehackt so hat der Hacker dann gleich alle Passwörter (hoffentlich nur in codierter Form) und Benutzernamen. Wie meine Vorredner schon geschrieben haben gibt es leider keine unhackbaren alternativen. Mit deinen Sicherheitsvorkehrungen solltest du aber halbwegs sicher surfen können.

P.S.: Autologins sind übrigens auch ziemlich problematisch: http://www.galaxy-news.de/mypage/33_theundeadable/blog/384_auto_login_und_seine_konsequenzen.html

Edit: Gute und vor allem aktuelle AntiViren Programme (z.B.: Avira Antivir) sollten trojaner, keylogger und sonstige Malware frühzeitig erkennen können. Eine gute Firewall (z.B.: Zone Alarm) sollte dann noch verhindern, dass wenn Malware trotz aller Vorkehrungen doch Daten sammelt diese dann wenigstens nicht geschickt werden können.

 

[Dese]

@noob: inwieweit ist deine frage relevant? aber ja, sie müssen erstmal auf die platte kommen.

@cl1985: das sit so nicht ganz richtig. wird z.b. der ff gehakt, dann sind die gespeicherten passwörter erstmal nicht automatisch elsbar. sie sind verschlüsselt abgelegt. es bedarf immer noch des masterpassworts. ist man in der lage durch den gehakten ff das masterpassword zu erlauschen, dann kann man aber genauso auch die nicht gespeicherten passwörter bekommen.

 

[NOOB]

@Dese Wegen meiner frage, wollte mich nur vergewissern ob Trojaner/Keylogger ihre "Arbeit" erst aufnehmen können wenn der User (Ich) diese Installiert hat oder ob ein Download schon reicht....

Wo ich gerade den Link von cl1985 sehe, bin nur kurz rübergeflogen - sind die Cookies die Man in Foren bekommt um angemeldet zu bleiben eine Gefahr? Stehen da PW im Klartext?

BTW: Mal darüber so nachgedacht ist dass Thema ja echt wichtig. Ich meine Alle Browser bieten die PW speicherung & Auto Login an, aber keins scheint recht sicher genug zu sein....

 

[Dese]

achso, nein trojaner und keylogerr können unter umständen völlig automatisch auf deinen rechner kommen. das erfordert alelrdings ausgeklügelte konzepte und ausnutzen von teils komplizierten sicherheitslücken. ist eine art wettlauf zwischen denen die sie stopfen und denen die sie entdecken zum ausnutzen.

aber der großteil wird durch dein zutun erst installiert. man läd sich eine software runter die infiziert ist und beim installieren dieser wird halt noch was anderes mit installiert. so als beispiel. es gibt viele möglichkeiten dich dazu zu bringen sowas zu installieren ohne das dir das bewußt ist.

tatsache ist, dass alle sicherheitssystem rel. leicht knackbar sind, wenn man zugriff auf bestimmte dinge hat. onlinebanking ist z.b. trotz tan nummern und smarcards und weiß der geier was rel. einfach zu knacken. relativ, weil es einige bestimmte vorraussetzung dazub brauch. diese sind zwar etwas aufwendig, aber wenn man will immer zu realisieren.

auch wenn ich weiß wie, bin ich dennoch ein nutzer von online banking. es ist eine frage des vertretbaren risikos. und diese frage muss man selbst beantworten. die meisten können es nicht, da ihnen die infos dazu fehlen. so ist das leben. beim automechaniker bin ich auch ganz machtlos und hab kaum ahnung ob ich abgezockt werde

 

[MaverickM]

Ich habe unwichtige Passwörter wie für Foren etc. auch im Firefox gespeichert, und lasse sie sogar über X-Marks auf meinen Rechnern synchronisieren. X-Marks überträgt und speichert die Passwörter mit AES Verschlüsselung.

Wichtige Passwörter vertraue ich aber nur der Software meines Fingerprint-Readers an:
Upek Eikon + die neue PSQL 2009 Software für Windows 7.