Durch Matthias bin ich heute über Twitter auf einen interessanten Beitrag von Mike gestoßen.
In diesem Beitrag geht es darum wie schnell dass Passwörter mit einem mittelmäßigen Computer gecrackt werden können.
So wie ich das aus der Grafik herauslesen konnte, sollte man keine Passwörter unter 8 Zeichen (Kleinbuchstaben, Großbuchstaben, Zahlen und Sonderzeichen) verwenden.
So eine Aussage ist jedoch schwer zu treffen, da andere Umstände wie Art der Passwort-Verschlüsselung oder auch Methoden wie Wörterbuch-Attacken nicht erwähnt werden.
Ein kleiner Satz am Rande: Auch ein sicheres Passwort bringt sehr wenig, wenn man sich dann beispielsweise in einem öffentlichen WLAN unverschlüsselt irgendwo damit einloggt.
Jetzt meine Frage: Legt ihr viel Wert auf die Passwort-Sicherheit? Verwendet ihr Tools wie KeePass, dass ihr euch die Passwörter nicht merken müsst?
Es ist erstaunlich was manche Leute für sichere Passwörter halten. Mittlerweile finden sich ja genügend Rainbow Tables im Web die man füttern kann, deshalb sollte man ein Password aus verschiedenen Zeichen wählen. Es gibt ja genügend Generator im Web.
KeePass kenne ich nicht, kannst du es empfehlen? :-)
Hallo
in meiner online-Anfangszeit hatte ich nur ein Passwort für alle Seiten.
Dann kam mal eine die auch Zahlen haben wollte, da habe ich mir ein zweites Passwort zugelegt. Das habe ich aber nur benutzt wo Zahlen erforderlich waren.
In letzter Zeit bin ich dazu über gegangen, mein Standardpasswort um eine zur Seite passende Zahlen/Zeichen/Buchstaben Kombination zu erweitern.
Vor kurzem hat mein Homepage-Hoster mir ein neues Passwort zusenden müssen, das war eines aus einer sinnlosen Zahlen/Zeichen/Klein-Großbuchstaben Kombination.
Erst dachte ich, das ich mir das nicht merken kann. Aber jetzt habe ich es ein paar mal benutzt und ich muss sagen auch so eine sinnlose Abfolge von Zeichen kann man sich merken.
Das Problem ist jetzt aber, dass man sicherheitshalber für jede Seite eine andere sinnlose Zeichenfolge braucht, und da wird es schwierig sich das alles zu merken.
@Michael:
Durch das, dass ich KeePass für die Passwort-Verwaltung benutze, muss ich mir nur noch ein Passwort merken und die restlichen Passwörter sind alle komplett verschieden und in KeePass abgelegt.
@TeneTours:
Das mit den Rainbow Tables kommt natürlich auch noch dazu, das stimmt!
Ich nutze KeePass bestimmt schon ein Jahr und kann es auf jeden Fall empfehlen.
Wikipedia bezüglich Sicherheit:
«Die Kennwortdatenbank verschlüsselt KeePass wahlweise nach dem Advanced Encryption Standard-Algorithmus (AES) oder dem Twofish-Algorithmus; beide gelten als äußerst sicher. Die Hash-Funktion zur Ermittlung eines eindeutigen Prüfwertes übernimmt SHA-256.»
Komplexe Passwörter, wechselnd + KeePassX. Nuff said :)
@caschy:
Ich muss mir auch mal überlegen, ob ich zu KeePassX wechseln soll, da das natürlich auch unter Linux funktionieren würde :)
Was haltet ihr eigentlich so von LastPass?
Da gibt es halt auch ein Master PW, aber alle PWs sind in der Cloud und kommen übers Internet.
Naja einen kleinen Teil der Fragen hatten wir ja bei mir schon geklärt. Klar 8 Zeichen sind in 0,nix geknackt, wenn das angegriffene System keine entsprechenden Gegenmaßnahmen führt. (Login sperren nach 3 Attempts etc.)
Ich persönlich arbeite mit 25-Stelligen Passwörtern (Ich muss sie mir ja nicht merken) mit 56 Zeichen pro Stelle. So geht selbst bei angenommenen 100mio Break-Attempts pro Sekunde die Welt sicher noch ein paar Mal unter bis die durchgelaufen sind.
Wörterbuch-Angriffe etc. kann man sich sparen. Das prüft mein Generator, dass das keinen Sinn macht. Somit kann man bei mir entweder über den Hash, wenn man ihn in die Finger bekommt oder über einen BruteForcer versuchen das Passwort zu knacken. Und wenn jemand den Hash in die Finger bekommt, dann ist das Zielsystem sowieso schon gefallen und er hat Vollzugriff auf die Daten. Dank meiner 1-Passwort-pro-Dienst Regel bleibt alles andere weiterhin sicher.
Gespeichert wird der ganze Kram (1 Passwort für jeden Login, keine Doppelverwendung) auf einem eigenen Server mit einer entsprechenden Verschlüsselung der Einträge in der Datenbank basierend auf einer eigenen Software.
Was das WLAN angeht: Is mir vollkommen wumpe. Das erste was mein Laptop macht, wenn er Internet sieht: VPN aufbauen und Default-Gateway umbiegen. Somit befinde ich mich vom Paketrouting direkt in einem von mir verwalteten und so weit sicheren Netzwerk. Pech für die Sniffer des WLAN-Betreibers.
@Konstel:
Ich persönlich möchte nicht, dass andere allenfalls meine Passwörter einsehen können.
Dropbox in Zusammenhang mit KeePass fände ich hingegen aber OK. Nutze ich aktuell aber noch nicht.
@Knut
Bezüglich den Gegenmassnahmen habe ich gerade eine kleine Frage an dich: Kann ich das mit den maximal falschen Logins mit SSH / Linux-Server realisieren und haltest du das für sinnvoll?
Wie hast du deine Passwort-Datenbank realisiert? Selber entwickelt oder irgend ein OpenSource Projekt dahinter?
Auch zum VPN habe ich noch eine Frage: Wäre es eventuell möglich, dass du zu dem Thema einen Beitrag in deinem Blog schreibst? Beispielsweise, was du als VPN-Server verwendest (PC Zuhause, Server im RZ,…) und was für eine Software darauf eingesetzt wird. Würde mich interessieren.
Zu deiner ersten Frage: Ja, es ist möglich die SSH-BruteForcer zu killen. Eine der Möglichkeiten ist sshguard (http://www.sshguard.net/), welches sich deine Logfiles schnappt daraus die Login-Attempts ausliest und in eine spezielle Firewall-Regel schreibt, um denjenigen zu beseitigen. Wie sinnvoll es ist musst du selber beurteilen. Ich setze es nicht ein, da meine Systeme anders gesichert sind. (ID-Files, hohe Passwortsicherheit / Passwörter nicht erlaubt)
Die Passwortdatenbank ist eine Eigenentwicklung, welche allerdings momentan komplett überarbeitet wird. (Ist zumindest eins der Projekte auf meiner Liste…)
Klar kann ich mir mal aufschreiben, dass ich dazu einen Artikel aufsetze wie man das realisiert.
@Knut:
Danke für die Hilfe!
Ich freue mich auf den VPN-Artikel :)
Also ich lege auch Sicherheit viel Wert und habe somit lange Passwörter, aber leider zum Teil halt ähnliche Passwörter bei verschiedenen Diensten, aber eigentlich nie komplett gleiche.
Verwlatungstools für meine PWs nutze ich nicht, weiß nicht denn ich habe bedenken das wenn man den Zugang zu dem Tool dann knackt, dass dann einfach mal alle auf einmal weg wären und das wäre mal echt der Super-Gau ^^.