Guter Scam, den die Firma da aufgezogen hat.. Meinen Respekt für die Kreativität. Vermutlich keine Daten haben, User-Anfragen einfach mit "Sie sind nicht in der Datenbank" beantworten und Kohle kassieren. Hört sich für mich stark nach Betrug an.
WhyNotZoidberg? schrieb:
Lieber regelmäßig Passwörter ändern, und nicht immer bis zum Super-GAU warten.
Gute Idee, aber besser gleich originelle Passwörter verwenden.
Es nützt nix, wenn man auf 20 Plattformen das gleiche Passwort hat, und das alle 3 Monate ändert. Das muss ein komplexeres Passwort sein, das man auch nicht so leicht vergisst, sich nicht leicht bruteforcen lässt und nicht in Rainbow-Tables auftaucht. Da bietet sich etwas an, das einem eheste in den Sinn kommt, wenn man an diese Plattform denkt bzw. sie aufruft:
Konkretes Beispiel: eine bekannte online-auktionsplattform
Wieviele Leute verachte diese Plattform mitlerwele für ihre Überzogenen Provisionen. Ein typisches Passwort wäre daher zB: #sh!ce4bz0ckerverein
Das Passwort erfüllt alle Kriterien um für Alltagsbenutzung als sicher zu gelten. Man assoziert es leicht mit der Plattform, die MD5 scheint in keiner Rainbowtable auf und Bruteforcing ist auf Grund der Komplexität defacto ausgeschlossen.
Selbst wenn wer die MD5 aus der Datenbank bekommt durch einen Databank-Hack ist ein Passwort-Wechsel nicht unmittelbar nötig, da das Passwort nur auf diese Plattform Verwendung findet und außerdem ein eingeschläustes Software-Modul das nicht gehashte Passwort abfangen müsste. Mit der MD5 aus einem Datenbankdump alleine is nix zu gewinnen. Und wenn das Passwort geändert werden muss, tauscht man halte einen oder mehrere Buchstaben gegen ein Leetspeak-Zeichen oder tauscht Sonderzeichen aus. Das is vollkommen ausreichend (ja, isses, auch wenn manche Theoritker vlt. Gegenteil behaupten mögen)
und praxistauglich.
Damit ist zumindest das Passwort-Problem gelöst. Bleibt die Problematik mit anderen privaten Daten...
