Wieso braucht ein Passwort Sonderzeichen?

[Kagee]

a = 1.3 * b
oder auch Kurz: a = b! (aus Physiker Sicht)

Also die theorien zu den Einstellungen von Firmen habe ich mir nun nicht alle durchgelesen, aber zu zum Quote oben:

Ich hoffe nicht, dass du (auch nicht als Physiker) sagst, dass a ca.=b, wenn eigentlich gilt a = 1,3 *b.

Denn dies sind Exponenten. Angenommen a = 1, dann ist die Funktion eine lineare a(x) = x
Für b gilt dagegen b(x) = x^1,3

Für kleiner Werte von x ist dies nicht soo wichtig, dort gilt deine Annahme, dass a=b. Je größer der Zeichenvorrat insgesamt wird, desto größer ist der Unterschied.

Will sagen:
1 ^1 = 1 ^ 1,3
2 ^1 ~= 2 ^1,3
aber:
52 ^1 != 52 ^1,3

Oder habe ich dich falsch verstanden?

 

[PW-toXic]

Ja du hast was falsch verstanden.
a = 1.4 * b drückt aus, dass bei gleiche Anzahl der Möglichkeiten ein Passwort bestehend nur aus kleinen buchstaben 40% mehr Ziffern benötigt als ein Passwort, das aus Groß/Klein-Buchstaben, Zahlen und Sonderzeichen besteht.
Kurzum: Ein Passwort mit 10 Ziffern und Sonderzeichen usw. ist genauso sicher wie ein Passwort mit 14 Ziffern das nur aus Kleinbuchstaben besteht.

Und ja ich sage als Pyhsiker sehr oft (natürlich Abhängig vom Kontext), dass wenn ich weiss, dass a = 1.4 *b, dass a = b ist. Beide Werte befinden sich ein der gleichen Größenordnung.
Eine Größenordnung in der Physik versteht mal als den Exponenten zur Basis 10.

Wieso ich das mit den Passwörtern auch mache: Ob ich jetzt 10 oder 14 bzw. 6 oder 9 Zeichen verwende ist unerheblich, da das für den Menschen keine größere Anforderung ist sich eine aussprechbare Zeichenfolge von 6 oder 9 Zeichen zu merken.
Es ist allerdings erheblich, wenn man anstelle von 26 Ziffern 92 Ziffern hat, da man dadurch das passwort sich nichtmehr als aussprechbare Ziffernfolge merken kann.
Daher rührt auch meine Behauptung dass Sonderzeichen im Kontext des Menschen unsicherer ist als ohne.

 

[F_GXdx]

Nach Adam Riese bzw. TI-36XII (Texas Instruments Taschenrechner^^) heisst das:

a = 1.3 * b
oder auch Kurz: a = b! (aus Physiker Sicht)

Hallo,

Ich bin leider Informatiker und relativ schlecht in Mathe, aber das ist definitiv nicht richtig.

Zunächst mal hast du es sowieso ungeschickt hingeschrieben, daher nehme ich an, dass du in Mathe auch nicht so der Crack bist, und noch am Anfang deines Studium stehst. Man könnte das Ausrufezeichen nämlich leicht für Fakultät halten. Das meinst du aber wohl nicht.

Was du tust, ist eine Komplexitätsabschätzung, dafür verwendet man doch (bekanntlich) Landausymbole!
Du musst also schreiben:

a Element Theta (b)

Desweiteren ist das nicht richtig, vermute ich mal schwer. Mathematisch beweisen will ich es jetzt nicht, aber wie schon geschrieben, sind die Anzahl der Möglichkeiten für ein Passwort mit a-Stellen über dem Alphabet Sigma: Sigma^a.

Beispiel:
Wort der Länge 3 über {a,b}:
2^3=8
Wort der Länge 3 über {a,b,c}:
3^3=27
Wort der Länge 3 über {a,b,c,d}:
4^3=64

Wie man also sieht, entsteht im ersten Fall durch das Vergrößern des Code-Alphabets um 50% eine 250% höhere Komplexität, beim zweiten Fall durch eine Vergrößerung um nur 33% eine ca 150% höhere Komplexität.

Da du Physiker bist und nicht Mathematiker glaubst du es mir jetzt wohl auch ohne weiteren allgemein gültigen Beweis, dass es also nicht linear wächst, sondern sicherlich exponentiell.

edit:
OK, ich bin verunsichert, leider hab ich nicht die Zeit mich jetzt näher damit zu beschäftigen, ich schreibe in ein paar Tagen nochmal.

 

[-=Renegade=-]

Seine Rechnung war schon richtig, nur ob man a = b setzen sollte, nur weil man sich in kleinen Dimensionen befindet, ist fraglich.

Ich hab weiter oben ein praktisches Beispiel für die Dauer der Berechnung eines Hash Keys durchgerechnet, das auf das selbe Resultat kommt: Passwortlänge 10 mit Sonderzeichen entspricht der Sicherheit von Passwortlänge 14 nur mit Kleinbuchstaben, also der Faktor 1,4.
Ausgehend ist das ganze natürlich von einem reinen Brute Force Angriff.

Meiner Meinung nach ergeben sich dabei zwei Möglichkeiten:
Entweder ich verwende ein Wort oder eine Kombination aus Wörtern, die 14 Zeichen hat => massiv anfällig gegen Dictionary Attacks
Oder ich verwende eine zufällige, 14 Zeichen lange Buchstabenkombination => dabei könnte ich die selbe Problematik beim merken bekommen, wie wenn ich 10 Zeichen mit Sonderzeichen verwende.

Der Angriff mit Dictionary Attacks sollte nicht unterschätzt werden, da er idR sehr viel schneller zum Ziel führt und daher bevorzugt wird. Um wieviel die Zeit sich verkürzt, hängt von der Größe des Wörterbuches ab, ist aber trotzdem enorm. Denn nur verhältnismäßig wenige Buchstabenkombinationen ergeben auch Wörter, die in ein Wörterbuch aufgenommen werden (wobei ich den genauen Faktor nicht kenne, aber ich kann mir schon vorstellen das er deutlich unter 10% liegt, aber vllt weiß jemand genaueres?)


so long

 

[Trainmaster]

Um nochmals auf die eigentliche Theorie des Autors zurückzukommen: Die Passwortsicherheit wird durch das Verwenden von Sonderzeichen erheblich verringert. Die Begründung dafür ist, dass Menschen sich komplexe Passwörter mit Sonderzeichen nicht mehr merken können und sie deshalb aufschreiben. Das Aufschreiben des Passwortes wird als Sicherheitsdilemma gesehen.

Wie gesagt, die Theorie ist ja schön und nett, aber:

- Es gibt Menschen, die sich Passwörter aufschreiben, welche weniger komplex sind und keine Sonderzeichen enthalten. In diesem Fall würde das Hinzufügen von Sonderzeichen die Passwortsicherheit erheblich erhöhen! Alleine mit solch einem Beispiel ist deine These widerlegt.

- Eine weitere Unstimmigkeit: In deinem Eingangsbeitrag hast du es vornehmlich auf die Sonderzeichen abgesehen, bringst aber zwischendrin immer wieder Zahlen und Groß-/Kleinschreibung mit ins Spiel. Ja was denn nun? Zahlen sind keine Sonderzeichen. Du solltest deine These umformulieren: Ich bin der Meinung, dass Sonderzeichen, Zahlen und Groß/-Kleinschreibung die Passwortsicherheit erheblich verringern.

- Achte mal genau, was du formulierst. Das Zitieren spare ich mir an dieser Stelle (Beitrag #42). Nur ein Hinweis: Buchstaben sind keine Ziffern.

Abschließend habe ich den Eindruck, dass es in dieser Diskussion mehr um den Faktor Menschen im System geht. Der eigentliche Unsicherheitsfaktor geht von ihm aus. Und eines möchte ich nochmals wiederholen: Die Passwortsicherheit steigt durch Verwendung von Sonderzeichen (Zahlen und Groß-/Kleinschreibung) im JEDEN Falle. Das Passwort an sich wird generell sicherer, kein wenn und aber. Erst der Mensch bringt den Unsicherheitsfaktor ins Spiel, indem er das Passwort niederschreibt. Aber selbst wenn er es sich merken würde, eine gewisse Unsicherheit bleibt immer.


Zuletzt kann ich dir empfehlen, auch scharfe Kritik zu akzeptieren wenn du schon eine gewagte Theorie formulierst.

Bitte klärt mich auf, ob ich hier nur Bullshit erzähle.

Ich bin kein Mensch der vulgären Worte, aber: Jein, es ist "nur" zum Teil Bullshit.

 

[PW-toXic]

Was du tust, ist eine Komplexitätsabschätzung, dafür verwendet man doch (bekanntlich) Landausymbole!
Du musst also schreiben:

a Element Theta (b)

Desweiteren ist das nicht richtig, vermute ich mal schwer. Mathematisch beweisen will ich es jetzt nicht, aber wie schon geschrieben, sind die Anzahl der Möglichkeiten für ein Passwort mit a-Stellen über dem Alphabet Sigma: Sigma^a.

Erstens ist die Landau Notation nicht das was man hier benötigt und zweitens werde ich dir mit der Landau Notation beweisen dass es schon richtig ist:
Gegeben: a = 1.4 * b (Wurde im Thread mehrfach bestätigt)
Zu beweisen: a wächst so schnell wie 1.4 * b, oder wie du selbst sagst in der Landau Notation:
f(x) = x; (entspricht a)
g(x) = 1.4 * x (entspricht 1.4*b)
=> f ist Element der Menge Theta(g)
=> Es gilt also zu beweisen:
1) f ist Element von O(g)
2) g ist Element von O(f)
Siehe Definition des Theta Symbols.
Beweis von 1)
Sei c = 1/1.4; x_0 = 0;
Also muss getestet werden ob folgendes gilt:
f(x) <=? c* g(x)
-> einsetzen
x <=? 1/1.4 * 1.4 * x
x <=? x für alle
Ich denke es steht zweifelsfrei fest, dass x = x ist für alle x > x_0;
q.e.d.
Analog beweist man 2) indem man f und g vertauscht und für c den wert 1.4 verwendet.

Dass der Beweis so einfach ist sollte nicht verwundern, weil genau dies die Definition von der Landau Notation aussagt: "Die Funktionen wachsen gleich schnell bis auf einen beliebig großen aber konstanten Faktor c"

Soviel zu deiner ersten Aussage.

Beispiel:
Wort der Länge 3 über {a,b}:
2^3=8
Wort der Länge 3 über {a,b,c}:
3^3=27
Wort der Länge 3 über {a,b,c,d}:
4^3=64

Wie man also sieht, entsteht im ersten Fall durch das Vergrößern des Code-Alphabets um 50% eine 250% höhere Komplexität, beim zweiten Fall durch eine Vergrößerung um nur 33% eine ca 150% höhere Komplexität.

Da du Physiker bist und nicht Mathematiker glaubst du es mir jetzt wohl auch ohne weiteren allgemein gültigen Beweis, dass es also nicht linear wächst, sondern sicherlich exponentiell.

Ich bin Informatiker mit abgeschlossenen Studienabschluss. Die Physik hat mich in meiner Schulzeit aber sehr geprägt, so dass ich die Methoden der Physik so oft wie möglich anwende um die Komplexität eines Themas so weit wie möglich zu reduzieren.
Was für eine Ausbildung ich habe, tut hier aber nichts zur Sache. Ich versteh nicht was das hier zu suchen hat. Dennoch möchte ich doch behaupten dass im Schnitt die Physiker bei WEITEM mehr Ahnung von Mathe haben als irgendwelche dahergelaufenen Informatiker. Ich habe Physik nicht studiert weil es mir zu schwer war, obwohl ich im Abi eine 1 in Physik mit Auszeichnung hatte.
Nun zu deiner Aussage: Auch hier liegst du leider gnadenlos falsch. Das lernt man aber allerdings bereits in der 11. Klasse Gymnasium und erfordert in keinster Weise eine Universitäre Ausbildung. Im Zweifelsfalls hilft bei diesem Thema sogar wikipedia. Stichwörter die man sich in diesem Fall durchlesen sollte sind:
http://de.wikipedia.org/wiki/Polynomialzeit
http://de.wikipedia.org/wiki/Exponentielles_Wachstum
Und wenn man ganz verrückt drauf ist auch das hier:
http://de.wikipedia.org/wiki/Komplexitätstheorie
Es ist also nicht so ein großes Geheimnis, dass polynomielle Funktionen (erheblich) langsamer wachsen als exponentielle.
Ich werde aber auch das eben kurz beweisen, soweit das ohne LaTeX lesbar ist
Kurze vorarbeit für den Landau beweis:
Die Exponentialfunktion e^x lässt sich auch als eine unendliche Reihe bestehend aus Polynomen darstellen:
e^x = Summe (von n bis unendlich) über (x^n)/(n!)
also:
e^x = 1/1 + x/1 + x^2/2! + x^3/3! + ... usw.
Zu beweisen gilt:
x^a ist Element der Menge O(e^x)
Dazu setzen wir einfach c = 1;
Nun brauchen wir in diesem Fall einfach nur den Quotienten beider Funktionen nehmen:
(e^x) / (x^a) = (siehe uendliche Reihe) Summe (von n bis unendlich) über (x^n)/(n!) / x^a
----
Nun können wir den Nenner x^a einfach komplett rauskürzen indem wir ihn in jeden Summanden in den Zähler stellen
Summe (für n von 0 bis unendlich) (x^n)/(n! * x^a)
Alle Summanden sind positiv, aber nicht zwingend größer 1. Es reicht daher aus einen einzigen Summanden zu finden, der größer als 1 ist.
Dafür betrachten wir einfach den (a+1)ten Summanden der wiefolgt lautet:
x^(a+1) / [(a+1)! * x^a ] = (kürzen von x^a) = x / (a +1)!
Nun brauchen wir nurnoch x_0 auf x_0 = (a+1)! + 1 setzen, und schon ist unser (a+1)-tes Glied größer als 1 und Somit auch für alle x größer als x_0.
q.e.d.

Denn nur verhältnismäßig wenige Buchstabenkombinationen ergeben auch Wörter, die in ein Wörterbuch aufgenommen werden (wobei ich den genauen Faktor nicht kenne, aber ich kann mir schon vorstellen das er deutlich unter 10% liegt, aber vllt weiß jemand genaueres?)

Lass doch einfach mal rechnen:
Ein Wörterbuch das irgendjemand oben verlinkt hat, das sich auf Passwörter bis 9 Zeichen mit Ziffern bezieht hat 52GB. Das sind bei 1byte für ein Zeichen ~ 10^11 Zeichen.
Der Einfachheit halber berechnen wir nun einfach die Anzahl der Möglichkeiten für Wörter der Länge 9: (10 + 26) ^ 9 = 10^14. Dies sind 10^14 * 9 Zeichen.. also 10^15
Die Differenz sind 10^4 -> 0.01%
Da Ich sehr grob überschlagen habe fügen wir einfach eine Größenordnung ein, und wir sind immernoch bei 0.1%

edit: Das ist keine korrekte Berechnung sondern ich Überschlage hier nur im Kopf um die Größenordnungen zu sehen. Man muss natürlich die Anzahl der Wörter zählen und nicht die Anzahl der Zeichen. Ich bezweifel aber dass meine Vereinfachung einen Fehler größer als Faktor 10 ausmacht, da das Problem auf beiden Seiten existiert (Wörterbuch und Anzahl der theoretischen Möglichkeiten)

Um nochmals auf die eigentliche Theorie des Autors zurückzukommen: Die Passwortsicherheit wird durch das Verwenden von Sonderzeichen erheblich verringert. Die Begründung dafür ist, dass Menschen sich komplexe Passwörter mit Sonderzeichen nicht mehr merken können und sie deshalb aufschreiben. Das Aufschreiben des Passwortes wird als Sicherheitsdilemma gesehen.

Wie gesagt, die Theorie ist ja schön und nett, aber:

- Es gibt Menschen, die sich Passwörter aufschreiben, welche weniger komplex sind und keine Sonderzeichen enthalten. In diesem Fall würde das Hinzufügen von Sonderzeichen die Passwortsicherheit erheblich erhöhen! Alleine mit solch einem Beispiel ist deine These widerlegt.

- Eine weitere Unstimmigkeit: In deinem Eingangsbeitrag hast du es vornehmlich auf die Sonderzeichen abgesehen, bringst aber zwischendrin immer wieder Zahlen und Groß-/Kleinschreibung mit ins Spiel. Ja was denn nun? Zahlen sind keine Sonderzeichen. Du solltest deine These umformulieren: Ich bin der Meinung, dass Sonderzeichen, Zahlen und Groß/-Kleinschreibung die Passwortsicherheit erheblich verringern.

- Achte mal genau, was du formulierst. Das Zitieren spare ich mir an dieser Stelle (Beitrag #42). Nur ein Hinweis: Buchstaben sind keine Ziffern.

Deine Kritik ist berechtigt, aber bitte behaupte nicht, dass du meine Aussage per Beispiel wiederlegt hast. Nur weil du einen Fall von sehr vielen nennst, der prinzipiell Möglich ist, hast du noch lange nichts bewiesen oder wiederlegt. Wenn du meine Aussage wiederlegen willst, dann musst du schon eine wissenschaftlich psychologische Untersuchung leisten. Solange du dies nicht tust kannst du mir ledeglich wiedersprechen und ich werde dir sagen dass ich es anders vermute, aber kann es wie auch du nicht beweisen.

edit: um deutilch zu machen wieso dein Beispiel das nicht wiederlegt:
Wir diskutieren hier ob es im allgemeinen, d.h. im Schnitt über alle user, die Passwörter sicherer macht, wenn man den User dazu auffordert Sonderzeichen einzufügen.

Zuletzt kann ich dir empfehlen, auch scharfe Kritik zu akzeptieren wenn du schon eine gewagte Theorie formulierst.
Ich bin kein Mensch der vulgären Worte, aber: Jein, es ist "nur" zum Teil Bullshit.

Ich aktzeptiere nicht nur scharfe Kritik, sondern ich habe sogar mehrfach danach gefragt und sie gefordert!
Leider war die meiste Kritik einfach nur Schwachsinn und von vorn bis hinten falsch - was ich ausführlich gezeigt und teilweise sogar bewiesen habe
Deine Kritik ist jedoch verständlich und macht sinn - bewiesen hast du jedoch nichts.

Ein wichtiges Ergebnis hat die Diskussion allerdings:
Mein 9 stelliges Passwort bestehend aus kleinen Buchstaben ist sicherer als ein Passwort, das nur 6 Zeichen lang ist und ein Sonderzeichen hat.

 

[F_GXdx]

Erstens ist die Landau Notation nicht das was man hier benötigt und zweitens werde ich dir mit der Landau Notation beweisen dass es schon richtig ist

Also wenn du dir im ersten Satz so dermaßen selbst widersprichst ist es schwer, den Rest zu glauben. Natürlich braucht man die Landau Notation hier, wenn sich allerdings 1,4 als richtiger Faktor erwiesen hat ist es ja schön, dann hat man es sogar noch genauer bestimmt. Ich glaube, dass Informatiker sehr viel Ahnung von diskreter Mathematik und Komplexitätstheorie haben, und das haben Physiker kaum. Daher sind die Bereiche in denen sie kompetent sind einfach verschieden.

Aber ist ok, hast ja Recht. Dein erster Beitrag im Thread hat einfach nach Inkompetenz gerochen, die du aber ja jetzt bewiesenermaßen doch nicht hast

Mein 9 stelliges Passwort bestehend aus kleinen Buchstaben ist sicherer als ein Passwort, das nur 6 Zeichen lang ist und ein Sonderzeichen hat.

Nein Denn das kommt darauf an, wie groß der Vorrat an Sonderzeichen ist

 

[PW-toXic]

Nein ich widerspreche mir nicht sondern ich ZEIGE dass die Landau Notation alles andere als das richtige ist was man hier braucht. Eine kleine Analogie um das Verständlicher zu machen:
Du kannst mit einem Klappspaten den Fundament von einem Haus ausheben. Es funktioniert garantiert. Ich bezweifel allerdings ob das das richtige Werkzeug dafür ist.

Nun erkläre ich dir detaillierter, wieso die Landau Notation hier nicht zum tragen kommt:
Die Aussage: "Da a = 1.4 * b gilt, kann man gleich sagen, dass a = b" beruht auf keiner einzigen mathematischen Grundlage, sondern auf einer menschlich-psychologischen Sache, die ich hier merhfach als Postulat aufgestellt habe.
Ein mathematisches Werkzeug (nämlich die Landau Notation & Definition) ist hier also vollkommen fehl am Platz.

Desweiteren ist dir evtl. nicht aufgefallen, dass ich in meiner Antwort von dem ersten Zitat von dir zwei Sachen als falsch identifiert habe und nicht eine.
Konkret:
1) Man verwendet hier eben NICHT die Landau Symbole
2) Du hast die Landau Symbole vollkommen falsch angwendet und kommst auf das falsche Ergebnis.
Analogie: Du kannst mit einer Axt dein Computergehäuse genauso öffnen wie mit einem Schraubenzieher. Ob du mit deiner Axt allerdings dein eigentliches Ziel erreicht hast, ist fraglich. Du hast die Axt zwar angewand und dein Pirmärziel "Gehäuse aufmachen" erreicht, aber doch gleichzeitig deinen PC damit zerstört. Analog zu Fall 2): Ich habe dir bewiesen dass du die Axt nicht nur falsch ausgewählt hast, sondern auch falsch angewand hast, denn du hast es mit der Rückseite der Axt versucht. Das Gehäuse ist jetzt kaputt, aber nicht offen.

Sei also ein wenig behutsamer mit deinen Aussagen, dass ich mich widerspreche Such doch erstmal den Fehler bei dir selbst, anstatt hier wieder groß raus zu posaunen, dass alles falsch ist. Das tust du nämlich jetzt schon zum 3. mal falsch! Lern doch mal daraus
Das mein ich nicht böse, sondern ich möchte dir nur für deinen zukünftigen Weg Tipps geben, wie ich es weiter oben auch schon verzweifelt bei jemanden anders versucht habe

 

[F_GXdx]

OK, werde ich beherzigen danke.

 

[TheCadillacMan]

Ich darf mich mal einmischen.

Wenn du meine Aussage wiederlegen willst, dann musst du schon eine wissenschaftlich psychologische Untersuchung leisten. Solange du dies nicht tust kannst du mir ledeglich wiedersprechen und ich werde dir sagen dass ich es anders vermute, aber kann es wie auch du nicht beweisen.

Dann kannst du aber auch nur aufgrund deiner (offensichtlich richtigen) Zahlen argumentieren. Eine "wissenschaftlich psychologische Untersuchung" wird hier wohl niemand anstellen wollen und/oder können (du offensichtlich ja auch nicht). Wenn du nur Fakten akzeptierst müssen wir den "Faktor Mensch" ignorieren. Dann ist allerdings auch jedes weiter diskutieren überflüssig, da der "Faktor Mensch" (in welcher Weise auch immer) hier eine Rolle spielt.

Wir diskutieren hier ob es im allgemeinen, d.h. im Schnitt über alle user, die Passwörter sicherer macht, wenn man den User dazu auffordert Sonderzeichen einzufügen.

Siehe oben. Rein mathematisch gesehen, ja (da 1,4 > 1, bei gleicher Passwortlänge). Du behauptest aber, dass der Benutzer sich das Passwort dann aufschreibt und es dadurch wieder unsicher wird. Du kannst es aber nicht beweisen, ein anderer das Gegenteil aber auch nicht. Sackgasse. Aussage gegen Aussage.

Ein wichtiges Ergebnis hat die Diskussion allerdings:
Mein 9 stelliges Passwort bestehend aus kleinen Buchstaben ist sicherer als ein Passwort, das nur 6 Zeichen lang ist und ein Sonderzeichen hat.

Das kommt drauf an wie du "sicher" definierst. Wenn du nur von der Anzahl der möglichen Passwörter ausgehst, ja. Das ist aber nicht das einzige Kriterium. Ein Beispiel: Persönliche Informationen (z. B. Vorname von Frau/Kind/Haustier etc.) als Passwort zu verwenden ist trotz möglicherweise ausreichender Länge ein Sicherheitsrisiko. Persönliche Informationen (z. B. Name des Haustiers) sind heute (Social Networking) leichter aufzutreiben denn je.
Die Länge des Passworts allein reicht also als Maßstab nicht aus. Somit ist deine Aussage nicht zwangsläufig falsch aber auch nicht allgemeingültig.

 

[PW-toXic]

Natürlich darfst du dich einmischen - is ja nicht mein Forum... noch

Zum ersten: Wenn es bewiesen werden könnte gäbe es hier nichts zu diskutieren und der thread wäre überflüssig

Zum zweiten: Ich beziehe Meine Informationen primär aus persönlichen Erfahrungen die ich zur Grundlage dieser Diskussion machen. Einige haben bereits meine Beobachtungen bestätigt (nicht undbedingt hier in diesem thread). Daher beharre ich nach wie vor auf meiner Behauptung.

Zum dritten: Dass meine Passwörter aus einer rein zufälligen Folge von kleinen Buchstaben besteht habe ich schon mehrfach erwähnt Wer Wörter in seinem Passwort hat, die google kennt, der kann auch gleich ein leeres Passwort verwenden.
Davon abgesehn: Ich sage primär aus: Gegenüber der Länge des Passwortes geht die Anzahl der verschiedenen Zeichen pro Position des Passworts einfach unter. Ich behaupte daher nur, dass die Länge des Passworts deutlich mehr aussagt über die Sicherheit als ob ein spezial Zeichen verwendet worden ist.

 

[-=Renegade=-]

Lass doch einfach mal rechnen:
Ein Wörterbuch das irgendjemand oben verlinkt hat, das sich auf Passwörter bis 9 Zeichen mit Ziffern bezieht hat 52GB. Das sind bei 1byte für ein Zeichen ~ 10^11 Zeichen.
Der Einfachheit halber berechnen wir nun einfach die Anzahl der Möglichkeiten für Wörter der Länge 9: (10 + 26) ^ 9 = 10^14. Dies sind 10^14 * 9 Zeichen.. also 10^15
Die Differenz sind 10^4 -> 0.01%
Da Ich sehr grob überschlagen habe fügen wir einfach eine Größenordnung ein, und wir sind immernoch bei 0.1%

edit: Das ist keine korrekte Berechnung sondern ich Überschlage hier nur im Kopf um die Größenordnungen zu sehen. Man muss natürlich die Anzahl der Wörter zählen und nicht die Anzahl der Zeichen. Ich bezweifel aber dass meine Vereinfachung einen Fehler größer als Faktor 10 ausmacht, da das Problem auf beiden Seiten existiert (Wörterbuch und Anzahl der theoretischen Möglichkeiten)

Gut, gehen wir weg von diesen mathematischen Beweisen und in ein praktisches Beispiel.

Wir nehmen also an, 0.01% aller möglichen Kombinationen stehen in einem Wörterbuch. Anfällig gegen dieses Wörterbuch sind natürlich Wörter die nur aus Buchstaben bestehen.

Wir betrachten 5 mögliche Fälle (Die Berechnungsdauer hab ich weiter oben schonmal errechnet):
10 Stellen mit Sonderzeichen: 403563 Tage, nicht anfällig gegen Wörterbuch, Benutzer neigt mit einer höheren Wahrscheinlichkeit dazu, das Passwort aufzuschreiben
13 Stellen, zufällige Buchstaben: 28717 Tage, nicht anfällig gegen Wörterbuch, Benutzer neigt mit einer höheren Wahrscheinlichkeit dazu, das Passwort aufzuschreiben
14 Stellen, zufällige Buchstaben: 746643 Tage, nicht anfällig gegen Wörterbuch, Benutzer neigt mit einer höheren Wahrscheinlichkeit dazu, das Passwort aufzuschreiben
13 Stellen, Wort aus Wörterbuch: 2,87 Tage, anfällig gegen Wörterbuch, Benutzer neigt mit geringer Wahrscheinlichkeit dazu, das Passwort aufzuschreiben
14 Stellen, Wort aus Wörterbuch: 74,66 Tage, anfällig gegen Wörterbuch, Benutzer neigt mit geringer Wahrscheinlichkeit dazu, das Passwort aufzuschreiben

Mit dieser Berechnung habe ich sowohl den maschinellen Faktor als auch den Faktor Mensch einbezogen. Wie schon mehrmals erwähnt wurde, neigt der Mensch dazu, zumindest schwer zu merkende Passwörter aufzuschreiben. Dabei macht psychologisch gesehen wohl kaum einen Unterschied, ob dies aufgrund eines Sonderzeichens oder einer unlogischen Zeichenfolge entspricht. $#$passwort$#$ ist möglicherweise sogar leichter zu merken als jsdheahdnwad, aber das ist eben abhängig davon, wie man die jeweiligen Zeichen einsetzt. Den geringen Prozentsatz, die auch einfache Passwörter aufschreiben, lasse ich mal außen vor. Zusätzlich bleibt natürlich auch noch die Frage, in welchen Szenarien man an eine aufgeschriebene Notiz kommt (die es selbstverständlich gibt, aber nicht immer)

Wird vom Benutzer jedoch kein Sonderzeichen gefordert, muss ich tendentiell davon ausgehen, dass er keine sinnlose Kombination verwendet, sondern einfache Wörter oder eine Kombination daraus. Wie die obige Berechnung zeigt (die mit einem einzigen Gamer PC berechnet wurde, ein Cluster kann die 74 Tage noch einmal dramatisch reduzieren), müsste ich schon eine irrationale Länge verlangen, um eine ähnliche Sicherheit gewährleisten zu können, wie ich sie mit einem Sonderzeichen habe.

Und ich denke, auch wenn wir hier nicht in der Physik sind und mit 10er Faktoren rechnen, aber ob ich 10 oder 20 Zeichen beim Passwort habe und immer eintippen musst macht für mich schon einen deutlichen Unterschied, den ich nicht gleichsetze


So und nun viel Spaß beim Argumentieren


so long

 

[PW-toXic]

tippst du ein passwort von 10 zeichen mit einem sonderzeichen schneller ein als ein passwort von 20 zeichen wo du weder shift noch alt noch sonst was drücken musst?
Also bei mir ist das nicht der Fall.
Ich geb mein passwort in vielleicht einer halben Sekunde oder weniger ein.

Und wegen Sonderzeichenpflicht:
Du glaubst dass jemand sein passwort komplett ändert, nur weil ein sonderzeichen verlangt wird?
Ich behaupte mal dreist, dass entweder am Anfang oder am Ende des Passworts das Sonderzeichen oder die oft verlangte Zahl liegt. D.h. Die Wörterbuchproblematik besteht weiterhin - oder oder ohne Sonderzeichen.
Durch die Sonderzeichenpflicht erhöht man also die Passwortsicherheit um ca 10 * 2 = 20.
Ich denke nicht dass in der Regel mehr als 10 verschiedene Sonderzeichen von der großen Masse verwendet werden... * 2 für vorne oder hinten.
Jemand der nicht diesen Shortcut verwendet braucht den Hinweis mit dem Sonderzeichen nicht, weil er scheinbar selbst halbwegs eine Idee von der Passwortsicherheit hat.

Ich fände es wie gesagt am interessantesten wenn man eine Mindestlänge von 8-9 Zeichen vorschlägt und kurz als Anmerkung schreibt: Ihr Passwort sollte kein Wort enthalten, das bei google einen Treffer verursacht.


Aber das sind wie gesagt alles Vermutungen...

 

[-=Renegade=-]

Du vergisst dabei aber eine Tatsache: Das Handling des Wörterbuches. Selbst wenn ich es jetzt nur um den Faktor 20 erhöhe, auf einmal ist mein 50GB Wörterbuch 1TB groß. Die Erstellung und die Handhabung sowie die Abarbeitung dieses Wörterbuches würden schon um ein vielfaches länger dauern. Zudem, glaub mir, macht das wohl fast keiner. Wer erstellt sich schon ein Wörterbuch, das alles nochmal, mit ein paar einfachen Sonderzeichen macht?

Abgesehen davon, dass es trotzdem bei gleicher Länge 20 mal länger dauert


Man grenzt die Wörterbuchschwachstelle also schon relativ aus. Und damit bleibt das Argument PRO Sonderzeichen

Und zum Passwort eingeben: Ich gebe mein Passwort schnell ein und du auch. Aber wir sind ja auch gar nicht Zielgruppe dieser Diskussion, denn wir wissen sowieso was Passwortsicherheit bedeutet. Aber für einen unbedarften Nutzer, der jedes Zeichen drei Sekunden lang auf der Tastatur sucht, wird es schon ärgerlich werden, 20 Zeichen eintippen zu müssen, als bei 10 Zeichen ein oder zweimal shift zu drücken (was noch nicht mal bei allen Sonderzeichen notwendig ist)

 

[Cobinja]

Ich behaupte mal dreist, dass entweder am Anfang oder am Ende des Passworts das Sonderzeichen oder die oft verlangte Zahl liegt. D.h. Die Wörterbuchproblematik besteht weiterhin - oder oder ohne Sonderzeichen.

Da liegst du (in geschätzten 99% der Fälle) falsch. Deine Aussage stimmt nur für Passwörter, die im Klartext gespeichert werden.

Normalerweise werden Passwörter aber gehashed gespeichert (Meistens mit MD5, in manchen Fällen mit einem stärkeren Hash-Algorithmus).

Beispiel:

MD5 von 'hallo': 598d4c200461b81522a3328565c25f7c
MD5 für '1': c4ca4238a0b923820dcc509a6f75849b
MD5 von 'hallo1': 11c99ba88c7791f8e0c91f805d46d624

Wie Du siehst, sind 'hallo' und 'hallo1' nur an einer Stelle unterschiedlich. Dagegen sind die Hashes komplett anders.
Das wiederum heisst, dass man aus dem Hash für 'hallo' und dem Hash für '1' nicht auf Hash für 'hallo1' schließen kann. Und damit ist ein Wörterbuchangriff sinnlos geworden.

 

[PW-toXic]

Ein System das Sonderzeichen im Passwort vorschreibt und nichtmal SALTs für die hashes verwendet hat in dieser Diskussion eh nichts verloren. Ich möchte die Sicherheit von Passwörtern verlgeichen und nicht die Sicherheit der Systeme die dahinter liegen.
Davon abgesehn sind bei einer Wörterbuch Attacke einerseits das Wort als auch der hash sowie die hashfunktion bekannt... daher würde man anstatt alle wörter auszurpboerien alle hashes der wörter mit sonderzeichem am anfang oder ende ausprobieren..

Dein Argument zieht also sogar aus 2 Gründen nicht

 

[-=Renegade=-]

Genau deshalb habe ich SALTs auch nicht in Betracht gezogen, um einen Vergleich zu gewährleisten. Ich habe Hashes lediglich verwendet, da sie sich effektiv berechnen lassen und man damit vergleichbare Ergebnisse erzielen kann. Zudem kann ich dir auch sagen, das Hashing weitaus durchgesetzter ist als Hashing + Salts. Außerdem haben Salts auch immer den Nachteil, das man an den Salt kommen kann => wieder sinnlos.

Aber wenn du so schon versuchst, deine Argumentation unbedingt verteidigen zu müssen, nimm dasselbe Beispiel, ohne Hashes und halt mit geringerer Länge, um wieder realistische Zahlen berechnen zu können. Das Ergebnis bleibt das gleiche, deine Passwörter sind anfällig gegen Wörterbuchattacken, gerade ein 8 stelliges Passwort wie du vorschlägst lässt sich mit einem Wörterbuch sehr schnell finden, auch ohne Hashes. Und ganz ehrlich, du glaubst nicht ernsthaft, das sich mehr als 1% der normalen Nutzer an deinen Vorschlag mit Google hält, oder? Dazu kannst du die Nutzer nicht zwingen bzw. es überprüfen, bei einem Sonderzeichen kannst du das aber sehr wohl.

Und wie gesagt, bei diesen unsinnigen Kombinationen, egal ob mit oder ohne Sonderzeichen, der normale Nutzer wird dazu neigen, das Passwort aufzuschreiben und das kritisierst du ja an Sonderzeichen.

Also, sieh es ein

Und zu deinem zweiten Argument: Du hast einen gegebenen Hash und berechnest aus allen Wörtern deines Wörterbuches einen Hash und vergleichst ihn. Woher willst du standardmäßig den Hash des Wortes mit Sonderzeichen kennen? Das kannst du nicht, du musst ihn erneut berechnen. Dadurch bläht sich dein Wörterbuch enorm auf und die Dauer vervielfacht sich. Ergo macht es keiner, da es die Chance, das Sonderzeichen zu erraten, in keinem Aufwand/Ergebnis Verhältnis steht.


so long

 

[PW-toXic]

....
?

Wir diskutieren hier über ein imaginäres System welches eine Login funktion hat.
Ich behaupte, dass es bessere wäre, wenn in dem system anstelle einer Pflicht für ein Sonderzeichen im Passwort eine mindestlänge vorgibt, und einen Hinweis über die Passwortsicherheit hinzufügt. ".. darf keine wörter enthalten die google kennt ..."
Von so einem imaginären System kann man dann auch mindestens erwarten, dass es Standardverfahren wie SALTs verwendet. Und diese SALTs kann man nicht einfach herausfinden, wenn diese wie man es auch tun sollte Installations abhängig sind. Wenn man dann den SALT hat, ist das gleichrangig mit der Tatsache, dass das System gehackt worden ist, womit jedes login hacking überflüssig wird.

Wir diskutieren hier nicht darüber wie mein ein System möglichst unsicher macht, sondern möglichst sicher.
Also lass bitte die Diskussion über hashes und SALTs hier raus - die hat hier nichts verloren.... sonst können wir in unserem (meinem) imaginären Wunschssystem gleich die Passwörter im plaintext abspeichert.


Zu deinem letzten Absatz: Wir sprechen hier von einem Faktor ~ 20 - das ist nocht verkraftbar.
Zumal ich oft gesehn hab, dass es keine mindestlänge bei passwörtern gibt... wenn jemand sein standard passwort wie z.B. "wolke" hat, dann ist das selbst mit bruteforce OHNE wörterbuch knackbar. .. Ein Wörterbuch das auch bekannten wörtern besteht ist ziemlich klein (man nehme zb duden von englisch, deutsch und französisch).. ob das nun 20 mal so lange ist spielt für so einen angriff im verlgeich zu seinem vollständigen bruteforce keine Rolle.

 

[-=Renegade=-]

Ist dir eigentlich aufgefallen, dass du nur liest was du lesen willst, um deine Argumentation auf biegen und brechen zu verteidigen?

Genau deshalb habe ich SALTs auch nicht in Betracht gezogen, um einen Vergleich zu gewährleisten. Ich habe Hashes lediglich verwendet, da sie sich effektiv berechnen lassen und man damit vergleichbare Ergebnisse erzielen kann.

Nochmal ein Satz zum durchlesen Ich hab keine Diskussion über Salts usw führen wollen, damit habe ich auch nicht angefangen. Ich habe lediglich versucht, realistische Zahlen zu liefern, was ich aufgrund dieses Beispieles konnte. Das Prinzip bleibt jedoch das gleiche, es verschieben sich lediglich die Werte. Keine Ahnung warum du dich so darauf versteifst.

Ich fasse es für dich jetzt auch nochmal extra zusammen (wobei ich inzwischen langsam die Hoffnung verliere, dass du dich mit rationalen Argumenten überzeugen lässt, wie dein bisheriger Diskussionsstil vermuten lässt)

Der Knackpunkt an der ganzen Geschichte ist nun, dass sich ein Mensch (Hier schliesse ich wiederrum von mir auf andere) im Allgemeinen sich buchstabenfolgen besser merken kann als ein Wust von groß/Klein-Buchstaben mit Sonderzeichen Suppe, weil der Mensch auch aus einer zufälligen reihenfolge von buchstaben sich noch einfacher eine geschichte oder auch eine Musik merken kann.
Beispiel:
xantiropanizi
einfach mal irgendwelche buchstaben hingeklotzt.. Der Vorteil ist: Das kann man als Mensch aussprechen und sich somit PROBLEMLOS merken. Sobald ein Sonderzeichen oder eine Zahl oder eine Groß/Klein Schreibung dabei ist, muss man sich neben dem Wortlaut noch viel mehr Informationen merken, die man wenn man sie ausspricht VIEL länger werden:
xanTiroPanizi15[ -> xan<groß>tiro<groß>panizieinsfuenfeckigeklammerlinks

Zwei Probleme: Menschen neigen dazu, Passwörter aufzuschreiben, die sich nicht leicht merken lassen. Für den Standard DAU macht es dabei keinen Unterschied, ob er sich ein Passwort mit oder ohne Sonderzeichen leichter merkt. So könnte man genauso argumentieren, dass man sich Mein_Passwort leichter merkt wie ajskdhaiduha obwohl es ein Sonderzeichen enthält. Im Worst Case muss man aber davon ausgehen, dass er sich jedes Passwort notiert, auch wenn es noch so einfach ist. Allerdings besteht immer die Frage, wann und warum ich Zugang zu diesem aufgeschriebenen Passwort habe.

Wenn man diese menschliche Komponente weglässt, bleibt noch die Wahl des Passwortes über. Ein Sonderzeichen kann ich effektiv auf die Verwendung überprüfen. Ein Hinweis, das Passwort soll nicht in Google vorkommen, kann ich nicht. Ergo werden sich nicht mehr als 1% der Benutzer daran halten und das System ist damit anfällig gegen Wörterbuch Attacken.

Und nochmals: Ich habe es noch nie gesehen, das jemand ein Wörterbuch macht, das 1TB groß ist und ein paar Sonderzeichen am Anfang und Ende testet. Das ist einfach uneffektiv und zu aufwendig. Brute Force Attacken laufen von der Berechnung her ganz anders ab als ein Wörterbuch, da bei Brute Force keine Wörterbuchdatei zu grunde liegen muss.

Ich hab hier jetzt einfach alle Berechnungen und mathematischen Dinge weggelassen und bin nur auf die Wahl des Passwortes eingegangen, da ich damit hoffe, das du es endlich begreifst, warum Sonderzeichen absolut eine Daseins Berechtigungen haben.

Wenn du es immer noch nicht einsiehst, dann lass ich es bleiben, dann haben rationale Argumente einfach keinen Sinn

Achja und bitte, versuch jetzt nicht Wörter umzudrehen oder versteif dich auf Kleinigkeiten, um deine Argumentation durchzubringen, denn ich gehe davon aus, dass du genau weißt was ich meine


so long

 

[Azdak]

Ein Passwort ist umso besser, je komplexer es ist. Soweit so trivial.

Damit ist auch logisch, dass ein Passwort das Sonderzeichen (Groß/Kleinschreibung) erlaubt damit besser als eines, das keine Sonderzeichen erlaubt.
Genauso ist ein längeres Passwort besser als ein kürzeres.

So weit, so gut, so theoretisch. Nun rücken wir ein wenig weiter in die Praxis.
Passwörter sind sowohl von der Länge als auch von der Komplexität beschränkt. Umso wichtiger ist, dass die Passwörter von hoher "Güte" sind.
Und wir kennen uns Menschen (Merkfähigkeit, Faulheit,...).

Theoretisch haben wir jetzt ganz tolle Passwörter. Praktisch aber denkt sich Dave dass Bob bestimmt nur irgendein Wort als Passwort verwendet hat. Er startet also eine schöne Wörterbuchattacke und keine brute force Attacke. Aus einer theoretisch tollen Sache wird eine praktische Null-Nummer, denn Bobs Passwort war "password".

Nun war dieses Passwort vieleicht ein Zugangspasswort und nicht nur Bobs Account ist kompromittiert, sondern das ganze System. Da denkt sich Alice, die die Systeme betreuen soll, das kann ich nicht zulassen. Also zwingt sie alle Nutzer, dass ihr Passwort 2 Zahlen und ein Sonderzeichen enthält, denn irgendeinen Blind-Bob gibt‘s immer!

Unser Dave hat kein Glück mit seinem Wörterbuch mehr. Es passt nicht mehr. Aber Dave bricht nicht in Tränen aus – nein - er denkt sich:“ Bei Ich arbeite nur Freitags AG sind nur Bobs beschäftigt! Die muss man zu "sicheren Passwörtern" zwingen.". Er optimiert sein Wörterbuch und siehe da, er fängt sich wieder einen Blind-Bob. Der hatte "Passwort12!" als Passwort.

Aber wie hat Dave es nun geschafft mehr als 3 Eingaben zu tätigen ohne bei Alice anzurufen und den Account endsperren zu lassen? Nun, da gab es eine günstige Platte auf eBay und die war nicht gelöscht... Aber vielleicht ist ja Alice selbst Dave?!? Nichts Genaues weiß man nicht

Lange Rede, kurzer Sinn: Wenn durch das herausfinden des Passworts nur der eine User betroffen ist währe es eine gute Wahl von Alice Sonderzeichen zuzulassen aber nicht zu erzwingen. Wird aber mehr bedroht als nur dieser User, dann ist das erzwingen von Sonderzeichen gar nicht soooo dumm. Es bringt nicht viel und ist ein wenig wie Don Quijotes Kampf gegen Windmühlen. Aber:
Es gibt immer einen Blind-Bob!

Das Beste wäre also die User außerhalb des Systems zu sicheren Passwörtern zu Zwingen. Ich bin da ja ein großer Fan von Stromschlägen.

Alle 12 Monate das Passwort zu wechseln ist eigentlich auch eine Null-Nummer :/
Oder auch „A12MdPwzwieae0N:/“, wobei mir schon ein System unter gekommen ist bei dem Anschrift und Kontodaten hinterlegt war und die maximale Passwortlänge 8 Zeichen war. Da sagt Dave doch danke!