DagdaMor schrieb:
Ich persönlich speichere z.B. überhaupt keine PW im Browser oder sonstirgendwo auf meinen Systemen.
Kannst du gerne so machen, habe ich lange Zeit auch so gemacht, bis es irgendwann überhand nimmt und man mit der Zeit merkt, dass die Passwörter in der Regel immer einem Muster folgen.
Ich habe lange Zeit mit einer Matrix gearbeitet, über die man sich die Passworter für die einzelnen Dienste zusammen setzten konnte. Damit hatte ich nirgendwo das gleiche Passwort und im Portmonai eine Checkkarte, auf der die Matrix ausgedruckt war.
Das funktioniert solange toll, bis die Dienste mal wieder gehackt wurden und man dann auch erfährt, dass so manccher Dienst sich selbst heute zu schade ist, die Passwörter passend zu hashen und in der Datenbank abzulegen und so mancher Dienst die Passwörter sogar noch im Klartext ablegt.
Dann muss man nämlich im Zweifle die ganze Matrix updaten oder sich einen Sondereintrag ausdenken.
DagdaMor schrieb:
Es ist zwar aufwändiger jedesmal die PW einzutippen, aber halt auch sichererer.
Nein, es ist nicht "aber halt auch sicherer", die Methode von dir hat ihre Vorteile aber ebenso auch Nachteile.
Wie hier schon richtig von jemand angemerkt wurde, wenn dein System korrumpiert wurde, dann ist es egal ob das Passwort aus einem Passwortmanager kommt oder ob du das Passwort eintippst, sobald ein Keylogger mit läuft, erfährt der Angreifer das Passwort, wenn man es im Browser oder sonst wo ein tippt.
Wenn der Hacker dir einen manipulierten Browser unterschiebt, dann kann er da Anhand von Eventsystemen das Passwort abgreifen. Passwörter werden zwar verschlüsselt (TSL/SSL) im Internet übertragen, liegen aber spätestens im Server zur Validierung wieder im Klartext vor und werden oft erst da gehasht und dann geprüft. Auch hier kann ein Angreifer also agieren.
Der einzige Vorteil, den deine Methoden mit dem schlauen Büchlein, bei mir eben die Scheckkarte, gegenüber einen Passwort-Manager hat: Der physische Zugriff. Man kommt an diese Datenbanken nicht einfach so heran, in dem man das System korrumpiert oder einen Dienst hackt, sondern man muss dich gezielt beklauen.
Gleichzeitig kann man aber auch die eigenen Passwörter im Passwortmanger mit einem entsprechend sicheren Hauptpasswort sichern und damit die Passwörter weiter schützen.
Fest steht aber, egal ob dein Buch oder der Passwortmanger: Wenn die Daten in anderen Händen sind, dann geht der Tanz los, denn man muss dann schnell reagieren und da spielt dann der Passwortmanger wieder seinen Vorteil aus: Knopfdrücken und gut ist. Der arbeitet mit einer ausreichenden Entropie und der Zufall ist gut genug. Ob du das auch hinbekommst bei all den Diensten, die du dann abarbeiten musst?
DagdaMor schrieb:
Außerdem gut für's Gedächtnis
Da gibt es aber bessere Wege um die grauen Zellen auf Trap zu halten, zum Beispiel öfters mal Kopfrechnen beim Einkauf oder mal entsprechenden Knobelspiele spielen und immer schön Wissen sammeln.
Sich Dinge zu merken ist relativ einfach, weil es einfach nur genug Wiederholungen, aber auch Anwendungen braucht. Gleichzeitig gibt es die magische Zahl 7 und da wären wir bei dem Dilemma. Deswegen rät man auch Menschen, die meinen ihre Passwörter lieber im Kopf zu haben: Statt "x-Zeichen" dann doch mit x-Wörtern hantieren, da man sich diese besser merkt und halbwegs genug Entropie bekommt. Sind dann halt 7 Wörter, wenn man darüber hinaus geht, muss man dann auf Sätze zurück greifen, damit es besser wird.
Gibt all die Techniken, die da helfen. Ändert aber nichts daran, dass unser Kopf gewisse "Limitierungen" hat, die man kennen muss, damit man sie überwinden kann, besser kaschieren. Um die Limitierungen zu kaschieren, greift man in der Regel dann auf Muster zurück und sobald man diese Muster erkennt, kann man als Entwickler*in sehr schnell auch den möglichen Raum eingrenzen, in dem jemand seine Passwörter bildet.
Ich kenne viele wie dich, die denken, dass ihr kleines Passwortbüchlein "sicherere" ist und dass schlauer sind, als die Hacker da draußen und dass keiner ihr System durch blickt.
MountWalker schrieb:
Also ich muss sagen, ich finds auch übertrieben für jeden "Dienst", den man irgendwo angeblich nutzt, ein wirklich sicheres Passwort zu benutzen.
Wenn man einen Passwortmanger nutzt, ist es ein leichtes überall ein sicheres Passwort zu nutzen. Wenn man entsprechende Hilfsmittel ablehnt, sieht das ganze dann aber schnell anders aus.
Menschen neigen dazu nach Mustern zu handeln, damit man sich Passwörter leicht merken kann. Klar, man kann jetzt sagen, dass man für irgendwelche Plattform einfach ein leicht zu merkendes "Wegwerf-Passwort" verwendet und ansonsten sich richtig Mühe macht, aber es kann an der Stelle schon passieren, dass man einen ersten Fehler macht und einem Hacker wichtige Informationen ganz unbewusst liefert, denn auch wenn man ein "unsicheres" Passwort verwendet, muss man ggf. Daten dort hinterlegen, die weiteren Aufschluss geben und einen Angriff ermöglichen. Vor allem wenn man nicht nur einen Dienst hat mit Datne, sondern mehrere und dann anfängt Muster zu erkennen.
Deswegen ist auch diese Aussage von dir gefährlich:
MountWalker schrieb:
Also irgendwelche Leute, die auf Kuchenbackenkannich.schlagmichsahnig mal eine Rezeptbewertung abgeben wollen, können sich vielleicht wirklich egal sein lassen, ob dieses Rezeptbewertungskonto leicht hackbar ist.
Klar, kann es ihnen egal sein, wenn die meisten Leute auch Vernünftig mit ihren Daten umgehen würden und wirklich nur bei unwichtigen Seiten mit unsicheren Passwörtern arbeiten würden und bei anderen nicht. Aber wie geschrieben: Es gibt Limitierungen im Gehirn, die man austrickens aber nicht umgehen kann.
Ebenso siegt oft die Bequemlichkeit und dann kommt halt der Glaube, dass man schlauer ist als der Computer und die Hacker. Man hinterlässt mit solchen Accounts aber Spuren und Spuren führen zu mehr Spuren und dann irgendwann zu Mustern und Muster führen dazu, dass man angreifbar wird.
Wenn die Menschen nach entsprechenden Regeln wirklich agieren würden, dann könnte man "unsichere" Passwörter für jeden Wald und Wiesen-Dienst auch verzeihen, aber die meisten Menschen agieren nicht nach den entsprechenden Reglen, die wichtig wären, sondern sie sind Sorglos und von sich noch selbst überzeugt - eine gefährliche Mischung.
Du musst dir selbst immer die Frage stellen: Welche Spuren hinterlasse ich, kann man aus den Spuren Rückschlüsse ziehen und wenn ja welche. Heute werden viele Menschen nicht mehr Stumpf durch Bruteforce oder Rainbowtables, Wörterbuchattacken und Co gehackt, sondern bevor man zu solchen Techniken greift, recherchiert man erst mal, versucht Daten zusammeln, zuverknüpfen und dann geht man auf die Leute los.
MountWalker schrieb:
Das sag ich aber auch regelmäßig, wenn wieder wie jedes Jahr die Aufregernews über alle Portale getrieben wird, wie schlimm es wäre, dass schlechte Passwörter immer noch die beliebtesten seien. Man muss halt immer fragen: Die beliebtesten wofür?
Klar, kann man das Fragen, ist auch erst mal richtig. Manchmal steckt aber genau da dann der erste Angriffsweg auf einen selbst, ohne dass man es merkt.
