Was ihr schon immer wissen wolltet... 3 (1. Beitrag beachten)

[HongKong Fui]

ihr glaubt nicht aber nach 2h hatten wir das Passwort, welches ungefähr so war: Hdha25189%"°!

nee, glaube ich auch nicht...

denn diese aussage

Welche minimale Länge ist ausreichend?

Schwer zu sagen: Meine Meinung ist, und darüber lässt sich streiten, dass eine Passwortlänge dann ausreichend ist, wenn das Entschlüsseln länger als die durchschnittliche Lebensdauer eines Menschen dauern würde. Damit der Zufall des Auffindens des passenden Passworts so gering wie möglich ist, sollte man diesen Wert zusätzlich mit dem Wert 1.000 multiplizieren.

Ein Blick in die Tabelle verrät da schon einiges: Um ein 13-stelliges Passwort zu knacken - vorausgesetzt Sie nutzen ein Passwort, das aus Zahlen, Klein- und Großbuchstaben besteht - bräuchte man eine prognostizierte Zeit von 7.873.074 Jahren. Dieser Wert dividiert durch 1.000 ergibt knapp 7.873 und überschreitet somit bei weitem die durchschnittliche Lebensdauer eines Menschen ;-)

von dieser webseite die kamikatze gepostet hat zeigt eindeutig, dass das nicht sein kann ...

 

[Commander Alex]

@meow
Über Bruteforce oder ein anderes System, da gibt es ja noch andere, weil für Bruteforce brauchst du selbst mit dem System fast schon unendlich lange.

 

[Kamann]

Da wäre es doch schön wenn Behörden über solche Sachen wie Distirbuted Computing (Folding@Home) die Passwörter durchrechnen lassen kann .
Gibt es nicht Listen mit allen möglichen Zeichenkombinationen mit denen man das "knacken" in wenigen momenten bewerkstelligen kann? Weil Brute-Force ist ja nichts weiteres als try-and-error, nur das die Rechenkerne die Berechnung der Zeichenkombinationen durchführen. Solche Listen, sprich Datenbanken wären zwar riesig groß, aber Speicherplatz ist günstiger als Rechenkapazität. Ausserdem müsste man nur einmal eine solche Liste aufstellen und entstprechende Behörden hätten sie dann ein für alle mal.

Weiß jemand zufällig wieviele Sonderzeichen es gibt? Ich bin leider zu faul um nachzuzählen.

 

[Krik]

Es gibt sogenannte Rainbow Tables, also Tabellen in denen Passwort verschlüsselt und unverschlüsselt nebeneinander drin stehen. Der Computer braucht dann also "nur noch" die Tabelle mit dem verschlüsselten Passwort vergleichen.

Diese Tabellen sind allerdings teilweise wirklich groß. Und je nach Verschlüsselungsalgorithmus werden die Tabellen zu groß und brauchen zu lange, um generiert zu werden, was sie bei zu langen Passwörter nicht empfehlenswert macht.

Simples Rechenbeispiel:
Wir haben ein Passwort mit einer Länge von 10 Zeichen aus einem Alphabet von 50 Zeichen. Das macht 10^50 Kombinationen.
In der Rainbow Table werden Klartext des Passworts oder Hashwert des Klartextes und das verschlüsselte Passwort nebeneinander gespeichert.
Im dümmsten Fall hätte man dann also eine Tabelle, die 10 * 2 * 10^50 Einträge Bytes hat. Das wären etwa 1,8 * 10^39 Terabyte. Das ist mehr Speicher, als Geräte auf der Welt zusammen haben.

Rechenkraft ist in diesem Fall günstiger als Speicherplatz. Dabei ist das Beispiel gar nicht mal so weit hergeholt. Nimm ein 10-Zeichen Passwort mit Groß- und Kleinbuchstaben und du hast 10^52 Kombinationsmöglichkeiten, also Hundert mal mehr Möglichkeiten als ich oben vorgerechnet habe.



@Sonderzeichen
Wie definierst du Sonderzeichen? Sind á, à und â Sonderzeichen für dich? Sind es chinesisches Zeichen? Sind es ägyptische Hieroglyphen?

 

[Haudrauff]

Also ich glaube meine Eingangsfrage aus #2103 ist wohl für mich ausreichend geklärt.
Wenn irgendeine Behörde Computer beschlagnahmt, dann stehen die bei verschlüsselten Archiven genauso wie der Ochs vorm Berg so wie ich das tun würde.

Aber eine Teilfrage von mir wurde noch nicht aufgelöst: wie sieht es mit den Zugangspasswörtert der Computer selbst aus? Wenn wir mal von nen aktuellen OS ausgehen. Gibts da ähnlich große Hürden? Oder kann man das umgehen indem man die FP ausbaut und irgendwie direkt auf die Daten zugreift?

 

[Krik]

Die Passwörter werden in einer versteckten Datei im System gespeichert. Natürlich verschlüsselt.
Man kann sich zwar die Passwortdatei besorgen, wenn man die HDD ausbaut und in einem anderen Rechner darauf zugreift, aber entschlüsseln muss man es dann trotzddem noch.

Auf die Daten kann man im Normalfall zugreifen, solange sie nicht verschlüsselt sind. (Unter Windows zB mit EFS, Truecrypt usw., unter Linux zB mit dm-crypt und Truecrypt.)

 

[Kamikatze]

Gibt es nicht Listen mit allen möglichen Zeichenkombinationen mit denen man das "knacken" in wenigen momenten bewerkstelligen kann? Weil Brute-Force ist ja nichts weiteres als try-and-error, nur das die Rechenkerne die Berechnung der Zeichenkombinationen durchführen.

Irgendwie bringst du da etwas durcheinander:

Brute-Force ist das simple durchprobieren aller Möglichkeiten. Passwortlisten dienen dazu, nicht alle, sondern nur sehr geringe Teilmengen - normalerweise die am häufigst verwendeten Passwörter (normalerweise Wörter der Sprache) - durchzuprobieren, um das Knacken erheblich zu beschleunigen. Das nennt man dann eine Wörterbuchattacke. Besteht dieses Wörterbuch allerdings wieder nur aus allen möglichen Kombinationen, dann ist das wieder nur eine simple Brute-Force-Attacke, nur dass eben die Möglichkeiten nicht durch einen Algorithmus berechnet, sondern der Reihe nach aus einer Datei/Datenbank ausgelesen werden, was wiederum vollkommen sinnlos ist, da es kaum etwas einfacheres gibt, als alle Möglichkeiten "live" zu errechnen.

Selbst wenn das Ermitteln der Möglichkeiten hochkompliziert wäre - diese riesige Liste müssten erst einmal vom Speichermedium gelesen werden und jeder einzelne Entschlüsselungsversuch benötigt ebenfalls Zeit. Da ist nichts mit "in wenigen Momenten".

Die von e-Laurin erwähnten Rainbow Tables sind wieder etwas anderes. Da Passwörter natürlich nicht im Klartext gespeichert werden, werden sie durch eine Einwegfunktion gejagt, das sind Funktionen, die aus einer Eingabe ein Ergebnis (Hashwert) berechnen, man vom Ergebnis nicht mehr auf die Eingabe zurückrechnen kann (normalerweise gibt es auch noch unendlich viele möglichen Eingaben für ein bestimmtes Ergebnis).

Eine Rainbow Table ist jetzt eine Tabelle mit Eingaben und den errechneten Ergebnissen, um, wenn man seinen eigenen Hash gefunden hat, zu sehen, aus welcher Eingabe (das ungehashte Passwort im Klartext) dieser generiert wurde.

 

[.mojo]

Aber eine Teilfrage von mir wurde noch nicht aufgelöst: wie sieht es mit den Zugangspasswörtert der Computer selbst aus? Wenn wir mal von nen aktuellen OS ausgehen. Gibts da ähnlich große Hürden? Oder kann man das umgehen indem man die FP ausbaut und irgendwie direkt auf die Daten zugreift?

Die Windows XP Passwort verwaltung ist ein witz.
Es gibt tausende Programme mit denen du die Passwörter aller Konten überschreiben oder löschen kannts. Oder neue Admin accounts anlegen.
Auslesen zwar nicht, aber das ist ja hinfällig wenn du es überschreiben kannst.

Mit Start ausführen "syskey" kannst du die PasswortDB vopn Windows verschlüsseln, dann musst bei jedem boot vor der eigentlichen Benutzerkennung noch ein extra Kennwort eingeben. Dies lässt sich nicht mehr rückgängig machen. Erst dann kann man windows passwörter als halbwegs sicher ansehen.

 

[Haudrauff]

@.mojo
Ich deffiniere Windows XP auch nicht als "aktuelles OS".

Bei Vista und 7 sieht da die Sache schon anders aus (denk ich).


PS: Dennoch sollte XP bei meiner Fragestellung wohl Gewicht haben. Es ging ja darum wie die Behörden bei einer Firmendurchsuchung an die ganzen Passwörter kommen.
Und ich denk mal XP wird noch von vielen Firmen benutzt.

 

[.mojo]

du ja, viel viele Firmen nicht.
bzw, vielleicht schon, aber das ist ihnen egal. Das ist das generelle Problem bei IT in Firmen. "Warum neu kaufen. geht doch auch so".
Ich weiß ehrlich gesagt nicht wie das bei Vista/7 ist, aber ich gehe auch schwerr davon aus, dass es geändert wurde.

Gestern beim Tatort gucken stellte sich mir eine Frage:

Wenn bei einer Hausdurchsuchung der Polizei in einer großen Firma dutzende von Computern und Laptops beschlagnahmt werden, wie kommen die Techniker an die ganzen Passwörter?

Naja.. darauf bauen ja viele Filesharer.. sie verschlüsseln die Platten und bei einer Beschlagnahmung kommen die Behörden nicht an die Daten.

Ich weiß nicht ob von euch noch jemand den Server "Razorback" (ich glaube so hieß er) kennt.
Der wurde damals auch beschlagnahmt, aber da hatte der Betreiber, laut meinen Infos, die auch falsch sein können, sämtliche logs und alles drum und dran auf ne RAM Disk schreiben lassen. Ermittler beschlagnahmen das Teil, ziehen den Stecker und alles war futsch.
Auch ne nette Idee.

 

[Krik]

Lol, ja, Razorback Die RAM-Disk war afaik 16 GB groß.

Ich erinnere mich noch gut. Ich glaube, das war dann später der Grund, warum Rechner, die noch laufen, meist nicht ohne Arbeitsspeicher-Dump eingesackt werden.

 

[Kamikatze]

Es ging ja darum wie die Behörden bei einer Firmendurchsuchung an die ganzen Passwörter kommen.

Das Passwort wird ja auch gar nicht benötigt, wenn man auch so ohne weiteres auf alle Daten zugreifen kann.

Wie schon oben bei den Pausen nach fehlgeschlagenen Authentifizierungs-Versuchen erwähnt: Man muss immer unterscheiden, ob solche implementierte Sicherheit nur innerhalb der verwendeten Software stattfindet oder ob sie mit den Daten verbunden ist (in dem Fall Verschlüsselung). In ersterem Falle tauscht man einfach die Software für den Datenzugriff aus und jeglicher Schutz ist weg.

 

[Haudrauff]

"Derjenige, der die Welt erschaffen hat."

Im genauen Wortlaut auf Latein! Weiß das wer?

 

[NullPointer]

"qui creavit mundum" bedeutet "der die Welt erschaffen hat". Eine genaue Übersetzung für "derjenige" habe ich leider nicht parat, würde das aber auch nicht so formulieren

 

[Warhorstl]

derjenige = is

 

[fypolis]

Sag mal weiss einer von euch, was es mit "she-wolf" o.ä. auf sich hat? Ich habe den Begriff schon mehrfach gehört aber bin nie hinter dessen Bedeutung gekommen. Ein Album von Shakira zb. heisst so (She Wolf) oder auch in den Lyrics von den Red Hot Chili Peppers "..Give me she-wolf style.." Jemand ne Ahnung was das bedeutet?

 

[<NeoN>]

Wie wärs mit Google? räuberische/raubtierhafte Frau oder Werwolfdame... Das Lied hat wohl nix mit dem filmischen Hintergrund zu tun

 

[Haudrauff]

Ist das vielleicht ne Freundin von She-Hulk? Also eine Comikfigur?

http://i114.photobucket.com/albums/n243/ivanhope/She-Hulk.jpg

 

[fypolis]

Ah okay, ich hatte bei Google nichts gefunden und wenn ich den Satz mit " Gib mir Raubtierhaften-Damen Stil" übersetze sehe ich da keinen Sinn

 

[Krik]

Meinung von einer Eng-Deut-Übersetzerseite:

Schätze es ist quasi das weibliche Gegenstück zum Werwolf, und damit quasi Metapher für die weibliche Sexualität (wie der Werwolf ursprünglich für die männliche, auch wenn diese Bedeutung im Laufe der Zeit in den Hintergrund gerückt ist) - allerdings eher in der männlichen Phantasie, und nicht aus weiblicher Sicht ;-)

Das Wort wird allerdings auch mit anderen Kontexten in Verbindung gebracht. Ich persönlich würde es mit "Mannsweib" übersetzen.

http://dict.leo.org/forum/viewWrongentry.php?idThread=244511&idForum=6&lp=ende&lang=de