sicheres Passwort...

[Masamune2]

In der c't oder auf heise Online gab es mal einen Link zu einen Passwort checker, der die nötige Zeit zum Bruteforcen anhand der Kombination relativ exakt angezeigt hat. Wenn also jemand "aaaaaaaaaaaaaaa" als Passwort hat ist das zwar schön lang aber trotzdem je nach Charset als erstes dran.

Kennt den zufällig jemand?

 

[Z3Xyyy]

Kann KeePass auch alles.
Und KeePass ist Open Source.

Nah das kompliziert bezog sich auf die Experimente von User über Aussagen ohne einen PWM.
Mh ob der wirklich alles was Steganos kann, bezweifle ich irgendwo dennoch.
Aber anscheinend kann es inzwischen mehr als ich es in Erinnerung habe.

... und dann noch OpenSource...

Nice, Ich denke, ich werd wohl wechseln.
Danke für die Info.

In der c't oder auf heise Online gab es mal einen Link zu einen Passwort checker, der die nötige Zeit zum Bruteforcen anhand der Kombination relativ exakt angezeigt hat. Wenn also jemand "aaaaaaaaaaaaaaa" als Passwort hat ist das zwar schön lang aber trotzdem je nach Charset als erstes dran.

Kennt den zufällig jemand?

Also Steganos, und wahrscheinlich auch KeePass, zeigt dir an wie lange bestimmte CPU-Systeme brauchen. Aber wie du schon sagtes es kommt auf die verwendeten Charsets an und man sollte bedenken die Zeit die angezeigt wird, geht oft vom Maximum aus, also mit bestimmter Technik oder gar den Zufall wird es wohl weit aus schneller geknackt.

Mein Tipp: Lieber noch 1 -2 Zeichen mehr dran hängen als geplant, das multipliziert das ganze auch nochmal hoch.

.... und natürlich regelmäßig ändern.
Denn da nützt auch nen Super-Computer nichts weil die Zeitspanne zu gering ist. ^^

 

[Agi Hammerklau]

Die Sache mit den "paar Zeichen" mehr muss aber auch von der jeweiligen Software unterstützt werden. Ich hatte mal solange Probleme bis mir der zweite Hotline-Mitarbeiter sagte dass nur eine bestimmte Anzahl von Zeichen möglich sein. Waren es mehr gelang der nächste Einlogg nicht und nach Erstellung eines neuen Kennwortes dasselbe...

 

[Z3Xyyy]

@Fauler Willi
Danke für den Tipp, hatte sowas mal im Verdacht, aber nicht gedacht das es tatsächlich so isr.
Wie siehts denn bei KeePass und Steganos aus, sind schon Infos bekannt ?
Zur Not werd ichmal den Support bemailen und hier posten.

 

[Vakuum Maximum]

In der c't oder auf heise Online gab es mal einen Link zu einen Passwort checker, der die nötige Zeit zum Bruteforcen anhand der Kombination relativ exakt angezeigt hat. Wenn also jemand "aaaaaaaaaaaaaaa" als Passwort hat ist das zwar schön lang aber trotzdem je nach Charset als erstes dran.

Kennt den zufällig jemand?

Heute gabs zufällig einen Akrtikel in dem dem dieser Artikel verlinkt war:
http://www.heise.de/security/meldun...ackdauer-fuer-Passwoerter-voraus-1037592.html

 

["?"]

Zurzeit überlege ich auch , wegen den ganzen Datenbank Diebstählen (Mindfactory , Neckermann, ...), wie sicher mein Passwort ist.

Was wenn die Datenbanken mit meinen "HochSicherheitsPasswort" geklaut wurde? Wie viel Schutz bietet dann ein PW mit Sonderzeichen und 8+ Stellen? Oder wie sieht's mit Keyloggern aus?

Das beste wäre wohl da den Schutz der Kunden bei solchen Läden einzurichten. Nur an verifizierte Adresse liefern zB.

 

[Causam]

@Herrmann
wenn die Betreiber nicht geschlampt haben sollten sämtliche Passwörter als 'gesalzener' Hash in der Datenbank liegen, welche man dann nur mit extremem Aufwand wieder rekonstruieren können.

 

[Jojooo15]

Das mit der Datenbank ist natürlich schon beruhigend, dass dort idR Hash- Werte gespeichert werden.

Was ich mich aber schon die ganze Zeit frage, ist es denn tatsächlich eine reale denkbare Bedrohung, mit BruteForce ein PW irgendeines Internet Services zu attackieren? Fast alle Internetseiten blockieren den Account doch nach 3-5 fehlerhaften Einloggversuchen - dann geht erstmal nichts mehr.

Oder denke ich falsch und da gibt es noch andere Möglichkeiten?

Und, haltet Ihr es für sinnvoll die Passwörter in Gruppen einzuteilen? Beispielsweise: eMail Account 1 pw, online foren 1 pw, online banking 1pw... ?

Danke und einen schönen abend!

 

[Masamune2]

Das Passwort wird dabei ja nicht über den Login auf der Seite ausprobiert sondern direkt mit dem Hash der entwendet wurde.

 

["?"]

Wie viele Stellen sind eigentlich empfehlenswert? Über 6 ist ja klar, aber ab wann ist es nur eine Übertreibung? (wegen andere Sorgen wie Keylogger etc)

Ich war wegen den Mindfactory, Neckermann etc Vorfall so verunsichert das ich bis zu 33 Stellig gegangen bin.

Dumm nur das ich am Ende bei einen Paswortwechsel bei KM Probleme bekam da er es zwar zum Anmelden annahm, aber nicht beim PW ändern. Da war es zu lang.

 

[Elemination!]

Ja, bei manchen kann man nichtmal ein langes Passwort eingeben, nur bis 6 Zeichen!

 

["?"]

denkt ihr das alles über 25 Stellen Schwachsinn ist?

 

[Masamune2]

Ja, in der Regel schon... So sicher würde ich höchstens das Passwort eines Truecrypt Containers oder einer Keepass Datenbank setzen.

Bei Hashes die relativ schnell zu berechnen sind (md5 z.B.) brauchst du bei einem 8-stelligen (komplexen!) Passwort schon etwa ein halbes Jahr mit Grakaunterstützung.
Nimm jetzt einfach 10 Stellen und ein Angreifer benötigt Jahrzehnte....

Immer unter der Voraussetzung das dein Passwort einen möglichst großen Keyspace enthält (Kleinbuchstaben, Großbuchstaben, Zahlen und Zeichen) und nicht in einem Wörterbuch vorkommt.

 

[Azdak]

Um mal die Analogie zu einem anderen Satz zu benühen:
Besser als ein langes Passwort ist nur ein noch längeres Passwort!

Wenn du gut damit zurecht kommst ein 25 Zeichen langes Passwort einzugeben, dann ist überhaupt nichts dagegen einzuwenden.
"Gefährlich" sind dann nur noch die Systeme, die dir zwar die Eingabe eines langen Passwortes erlauben, aber nur die ersten X Zeichen davon verwenden. "Komplexe" Passwörter werden eigentlich nur dort benötigt wo lange Passwörter nicht verwendet werden können.

 

["?"]

wenn ich jetzt mehr als 8 Stellen habe, und für jede Seite ein anderes, dann werde ich ja wohl mit KeePass am besten kommen. Und die KeePass Datenbank hat ein 13 Stelliges Passwort

 

[Masamune2]

Kleine Anmerkung noch hierzu:

Für Keepass würde sogar ein kürzeres Passwort genügen, da die Verschlüsselung mit mehrfachen Runden des Hash-Algorithmus arbeitet. Der erhöht den Rechenaufwand beim Brute-Force enorm, sodass weniger Passwörter pro Sekunde getestet werden können.
(Einzustellen im Reiter Security beim Erstellen der Datenbank)