Passwort-Sicherheit... EIN gutes Passwort für alle Accounts ausreichend?

[Masamune2]

Das Passwort 1$Gdk?$&NX-../§" ist quasi unhackbar, bzw. dauert einfach ewig. Es sei denn, jemand will ganz gezielt dein Profil haben!

Bis der Seitenbetreiber es einfach im Klartext gespeichert hat oder lediglich mit MD5 ohne Salt.

 

[Vitec]

1 Passwort für alle Accounts zu nutzen ist ungefähr so wie wenn du überall das Passwort GOD verwendest.Ein Hacker sucht nunmal den leichtesten Weg und wenn er ein Passwort von dir herausgefunden hat bietet es sich an diese auch bei allen anderen Accounts, wo er weis das du diese nutzt auszuprobieren, da es kaum Arbeit macht.
Und bei den meisten wird das auch zum erfolg führen.
Ich hab mittlerweile 2 A4 Seiten für die wichtigsten Zugangsdaten. Und da sind eben nur die die man öfter braucht von den ganzen Zugangsdaten von Seiten wo man sich vielleicht 1 mal anmeldet red ich da noch gar nicht.

Was ich aber auch mache ist mit mehreren E-Mailadressen zu arbeiten.

Es wäre wirklich nötig das jemand ein System erfindet das relativ sicher ist und den ganzen Passwortmist abschaffen würden.
Glaube das wäre so etwas wie Facebook oder Google, derjenige hätte auf lebzeiten ausgesorgt

 

[Luxuspur]

Eben nicht. Die Datenbank ist verschlüsselt.

wenn dein Rechner gekapert wurde kannst du sicher sein das auch das PW bekannt ist ebenso wie bei einer verschlüsselten HDD/SSD! Dann wartet der Keylogger brav bis du den Dienst nutzt und dein PW eingibst oder die Platte mountest und entschlüsselst!

 

[Madman1209]

Hi,

Du musst ja auch nicht für jeden Popel-Account ein extrem sicheres und einzigartiges Passwort haben

warum denn nicht? Ist ja nicht so, dass das ein Mehraufwand wäre oder man sich das merken müsste.

1. Geh auf random.org (o.Ä.) und lasse dir ein 24 stelliges Passwort generieren
2. Ergänze selbst an beliebigen sechs Stellen Sonderzeichen, Umlaute oder was auch immer
3. Speichere das Passwort in einem verschlüsselten Keymanager wie KeyPass ab

Fertig. Innerhalb von zwei Sekunden gemacht, 30 Stellen lang (und damit auf absehbare Zeit nicht per BruteForce zu knacken) und gut.

VG,
Mad

 

[ata2core]

Hallo,

Seit wann 2FA bei Origin? Muss ich gleich mal einrichten.

Imho ist ein Passwortmanager auch nicht so prall, wird der Rechner gekapert ist alles weg.

Am besten die allerbeste Methode:

Zettel und Stift, und dann alles aufschreiben, ich weiß sehr altmodisch im digitalen Zeitalter.

Gruß
Casa

Wenn die Zweifaktoren Authentifizierung nur auf Grundlage EINES PCs realisiert ist, ist das nur eine Einfaktoren Authentifizierung. Zweifaktoren Authentifizierung wird das erst, wenn die Authentifizierung über zwei Geräte stattfindet, z.B. PC und Smartphone.

 

[M@rsupil@mi]

Seit wann 2FA bei Origin?

*im PW-Manager nachschau*
Habe es bei mir im Anfang 2014 eingerichtet. Da war es noch Code per SMS / Mail. Inzwischen gibt es auch eine App.

Am besten die allerbeste Methode:

Zettel und Stift

Was auch nur so lange funktioniert, wie keiner den Zettel in die Hand bekommt. Das mag dann vielleicht nicht der Angreifer aus China sein, aber vom Einbrecher über Kinder / Geschwister bis hin zu Gästen und Ehepartnern können da auch reichlich Leute im schlimmsten Fall drauf "zugreifen".

Fertig.

Und noch einfacher wird es, wenn man das PW gleich von KP generieren lässt.

 

[ghostwriter2]

Ohne die restlichen Kommentare zu lesen: NEIN

So lange es Seiten/Foren/shops gibt, welche das Password im KLARTEXT Speichern, niemals das selbe Password verwenden (und ja, ich habe mir auch WTF gedacht, als mir mein Orginalpassword & Benutzernamen per E-Mail zugeschickt wurde)

edit:
Wie bestimmt mal gepostet kannst du natürlich ein langes/sicheres Password mit individuellen extras ändern, z.B. ComputerBasejlfjklfd/()/()()fjhdspojhpods oder PayPaljlfjklfd/()/()()fjhdspojhpods oder Facebookjlfjklfd/()/()()fjhdspojhpods ... Jedes mal ein neues Password und Kinderleicht zu merken. In Büros kann auch das vorherige drücken der Umschalt-Taste helfen, selbst wenn der Kollege das Password mitliest (inkl. Groß/klein) kriegt er es nicht in den PC und weiß nicht warum ^^

 

[Luxuspur]

Wenn die Zweifaktoren Authentifizierung nur auf Grundlage EINES PCs realisiert ist, ist das nur eine Einfaktoren Authentifizierung. Zweifaktoren Authentifizierung wird das erst, wenn Authentifizierung über zwei Geräte stattfindet, z.B. PC und Smartphone.

die 2 Geräte können durchaus auf einem PC liegen ... zum beispiel dein PW und ein Hardware Security Modules
oder Trusted Platform Module auf dem selben PC.

 

[Smily]

Klar, das ist halt das Ding. Auch wenn es natürlich stimmt, dass 123 ein Mist-Passwort ist, weil man es erraten kann!
Aber die Gefahr, dass es einfach ausgelesen wird

• per Keylogger auf dem PC
• per Fishing-Seite
• vom Anmeldeserver, weil der es im Klartext gespeichert hat

ist viel höher, als das jemand es wirklich im Trial&Error Verfahren knackt .

 

[crvn075]

wenn dein Rechner gekapert wurde kannst du sicher sein das auch das PW bekannt ist ebenso wie bei einer verschlüsselten HDD/SSD! Dann wartet der Keylogger brav bis du den Dienst nutzt und dein PW eingibst oder die Platte mountest und entschlüsselst!

Tolles Totschlag-Argument. Wenn der Rechner tatsächlich auf diese Art und Weise gekapert wurde, dann gibt es sowieso keine Möglickeit mehr, überhaupt irgendetwas auf sichere Weise zu machen. Dann wartet der Keylogger halt 3 Wochen, bis du für ~95% aller relevanten Seiten einmal dein PW manuell eingegeben hast.

 

[florian.]

Was auch nur so lange funktioniert, wie keiner den Zettel in die Hand bekommt. Das mag dann vielleicht nicht der Angreifer aus China sein, aber vom Einbrecher über Kinder / Geschwister bis hin zu Gästen und Ehepartnern können da auch reichlich Leute im schlimmsten Fall drauf "zugreifen".

Denn lässt man auch nicht auf dem Küchentisch liegen.
Und wenn jemand einbricht, dann merkt man das eigentlich relativ Zeitnah.
Meist fehlt dann nicht die Passwortliste, sondern alles Tragbare

 

[Luxuspur]

Tolles Totschlag-Argument. Wenn der Rechner tatsächlich auf diese Art und Weise gekapert wurde, dann gibt es sowieso keine Möglickeit mehr, überhaupt irgendetwas auf sichere Weise zu machen. Dann wartet der Keylogger halt 3 Wochen, bis du für ~95% aller relevanten Seiten einmal dein PW manuell eingegeben hast.

du sprachst von einem gekaperten PC und da ist das nun mal Fakt! der ist nicht mehr sicher! Und die Wahrscheinlichkeit das jemand damit dein PW kriegt ist millionenfach höher als das er das per bruteforce macht ... wozu riesen Rechenaufwand treiben wenn es so einfach geht!

50% der User fallen auch heute noch auf ein titten.jpg.exe rein! Teste einfach mal selbst!

 

[M@rsupil@mi]

Es wäre wirklich nötig das jemand ein System erfindet das relativ sicher ist und den ganzen Passwortmist abschaffen würden.

Klingt gut: SQRL - Secure Quick Reliable Login

Demo:
https://www.youtube.com/watch?v=2QQ-Hi7npbM

Tolles Totschlag-Argument. Wenn der Rechner tatsächlich auf diese Art und Weise gekapert wurde, dann gibt es sowieso keine Möglickeit mehr, überhaupt irgendetwas auf sichere Weise zu machen. Dann wartet der Keylogger halt 3 Wochen, bis du für ~95% aller relevanten Seiten einmal dein PW manuell eingegeben hast.

Würden zumindest endlich mal alle "wichtigen" Seiten die 2-Faktor-Anmeldung haben, dann würde auch das eher wenig bringen.

Man wird sicherlich für vieles einen "Weg" finden. Allerdings ist es IMO sehr viel wichtiger, wie halt die Masse erreicht werden kann. So lange da weiterhin von (Pi x Daumen) 60-80% die gleichen und leichte Passwörter verwendet werden, so lange lohnt es sich für Angreifer nicht jetzt wirklich etwa Keylogger an Scannern vorbeizuschleusen. Beim CEO von Firma XY mag das vielleicht noch realistisch sein, aber der Otto-Normalverbraucher verwendet entweder 12345 oder gibt es Phishingseite XY an, dass der seinen Vornamen + Jahreszahl als PW verwendet.

 

[icyFranky]

Kleiner Tipp für die Passwortgenerierung
denk dir ein halbwegs sicheres PWD aus
und dann hängst du z.B. den Shopnamen/website dazu

So intelligent halte ich das auch So weiß man das Passwort immer und es ist trotzdem immer anders ^^

Trage meine Zugänge in eine Passwortgeschützte Excel Liste ein,
denn Benutzername ist nicht immer dieselbe E-Mail Adresse..

Sich an ein Tool zu binden finde ich nicht schlau, vom Browser Masterpasswort halte ich auch nichts..

 

[crvn075]

Klar, das ist halt das Ding. Auch wenn es natürlich stimmt, dass 123 ein Mist-Passwort ist, weil man es erraten kann!
Aber die Gefahr, dass es einfach ausgelesen wird

• per Keylogger auf dem PC
• per Fishing-Seite
• vom Anmeldeserver, weil der es im Klartext gespeichert hat

ist viel höher, als das jemand es wirklich im Trial&Error Verfahren knackt .

Es gibt genug Leute, die geleakte, gehashte Passwörter aus Datenbanken an ihre Grafikkarten und oclHashcat verfüttern. Das wird neben Phishing-Seiten immer noch die Hauptquelle für Passwörter sein. Ganz ohne dass du was falsch gemacht hättest oder die Passwörter im Klartext auf dem Server liegen würden. Ein zu einfaches Passwort ist immer schlecht.

du sprachst von einem gekaperten PC und da ist das nun mal Fakt! der ist nicht mehr sicher! Und die Wahrscheinlichkeit das jemand damit dein PW kriegt ist millionenfach höher als das er das per bruteforce macht ... wozu riesen Rechenaufwand treiben wenn es so einfach geht!

Sag ich doch. Kompromittiert ist kompromittiert. Warum führst du das dann als Gegenargument zum PW-Save an (habe ich zumindest so verstanden), wenn jede andere Methode, Passwörter zu verwalten, bei einem kompromittierten Rechner genauso chancenlos wäre?

 

[M@rsupil@mi]

Sag ich doch. Kompromittiert ist kompromittiert.

Nicht ganz. Nur weil man etwa einen Verschlüsselungstrojaner auf dem System hat, sind deswegen nicht die PW im PW-Manager in Gefahr.

Sich an ein Tool zu binden finde ich nicht schlau

Und was ist daran das Problem oder die große Bindung? Ist ja nicht so, dass so ein Tool plötzlich morgen nicht mehr funktioniert und raus bekommt man die Daten ja immer irgendwie.

 

[icyFranky]

Eine Fehlerquelle mehr und die Angst, daas das kaputt oder verloren geht. Muss immer rausgekramt werden vor dem Eintippen. Vielleicht nicht immer zur Hand (wird ja alles mobiler) Die wenigsten würden das sicher ablegen und regelmäßig sichern. Bevor man das Tool repariert/knackt, da lasse ich dann leiber neue PWs an meine E-Mail Adresse senden zum Ändern.
Mit einer cleveren Methode hat man das nicht.

 

[M@rsupil@mi]

Jeder muss halt selber wissen, was einem wie wichtig ist. Sicherheit und Bequemlichkeit gehen leider nicht immer Hand in Hand.

Aber gut ich gehöre auch nicht zu modernen Zielgruppe, die unterwegs in Bus & Bahn zwischen 20 anderen Leute eine Onlineüberweisung tätigen muss.

 

[Bullet22022]

Hi,
ich habe die Diskussion mal so überflogen, da ich selbst auch der Meinung bin relativ unsichere Passwörter zu benutzen. Deswegen überlege ich auch schon länger mir einen PW-Manager anzulegen, der mir die Liste auch ausdrucken kann.
Aber mal an alle die einen solchen Manager schon benutzen. Wie macht ihr das wenn ihr unterwegs seid und nicht auf die Liste zugreifen könnt?

 

[Smily]

Ein zu einfaches Passwort ist immer schlecht.

Das wollte ich auch nie sagen. Nur, es gibt so viele Leute, die sich nach SAT1 Akte Tipps ein sicheres Passwort zulegen und dann der Meinung sind: "Alles klar, ich bin jetzt sowas von sicher, niemand kann mir was. Dann verwende ich das Passwort einfach überall, weil es kann ja eh niemand knacken."