Forum: fynf.at

Liebe User/Innen…

aus aktuellem Anlass verfasse ich nun dieses Thema.
Und zwar geht es um die Sicherheit betreffend Passwörter…

Einer unserer neuen User wurde leider gehackt…
und sein Profil verunstaltet…
damit dies nicht so leicht wieder passiert,
möchte ich Euch auch ein paar Tipps betreffend Passwörter geben…

* Länge.. längere Passwörter sind nie schlecht.
* Kombination .. am besten eine Kombinierung aus Zahlen und Buchstaben.

Was man nicht als Passwort verwenden sollte…

- den eigenen Vornamen
- den eigenen Nachnamen
- Namen des Haustieres
- bzw ein Detail das auch aus dem Profil herauslesbar ist
- bzw jemand aus deinem „Freundes-kreis“ kennen könnte…

OK, ein wirklich guter Hacker kann wahrscheinlich ziemlich jedes Passwort hacken…
aber man kann es ihm doch schwerer machen…

Wer noch tipps kennt bezüglich Passwörter.. kann die natürlich auch ergänzen…

Wir werden natürlich auch schaun, wie wir das LogIn sicherer machen können….!

grüßle

Naddy

Das ist relativ schwierig zu machen.
Wir wissen allerdings, dass der betreffende wirklich einfach das Passwort unseres Users herausgefunden hat und sich damit angemeldet hat, sofort ein neues Passwort gestzt und die E-Mail geändert hat. Daraufhin hat er sämtliche User-Daten geändert.
User hijacking der üblichen Sorte an sich, wie es im Security-Bilderbuch steht.

Der Apell gilt also:
Verwendet Passwörter, die nicht ganz so einfach herauszufinden sind!

Am besten ist es natürlich, wenn man sein Passwort vor der Verwendung mal professionell prüfen lässt.

Mit dem Tool "Passwort-Check" vom Züricher Datenschutzbeauftragten geht das recht schön.

Für die Seiten hier gelten übrigens so ziemlich die Kriterien, die auf dieser Seite für "Unix" gelten. Aber ihr könnt gleich euer Windows-Passwort auch dort testen

Auf Grund dieses Themas hier wurden die Kriterien für Passwörter auf unserem System ein kleines bisschen verschärft:
Passwörter müssen jetzt zwischen 5 und 20 Zeichen haben, wenn sie kürzer als 12 Zeichen sind, dürfen sie nicht nur normale Buchstaben enthalten, und ein Passwort darf nicht gleich dem Nick sein.
Auf der Seite zum Ändern des Passwortes gibt's eine Anmerkung, die darauf hinweist, dass das Passwort sicher sein soll, und Administratoren können das Passwort jedes Benutzers auf ein zufällig generiertes Passwort zurücksetzen.

Korrektur: "Unix" beschneidet Passwörter auf 8 Zeichen, da ältere Unix-Systeme nicht mehr bewerten. Unser System passt damit mehr auf den Check für "Windows 2000/XP" (der eigentlich für die meisten modernen Betriebssysteme, inkl. Linux und MacOS X, stimmt)

werde ich gleich ändern! gut zu wissen!

Wobei das natürlich im Moment nur für Passwörter gilt, die neu gesetzt werden.
Ich frage mich jedoch, ob das System regelmäßig alle Passwörter checken soll, um festzustellen, ob sie den gerade aktuellen Regeln entsprechen und dementsprechend Benutzer anmailt, die ein zu schlechtes Passwort haben... Aber das ist im Moment nur ein Hirngespinst...

Ich finds nciht so schlecht

Also, ich finds auch eine super Sache....

Habs auch gleich ausprobiert,
mir gleich ein Passwort zusammen"gebastelt",
es prüfen lassen
und das Ergebnis hat mich doch verblüfft...

Wenn das stimmt, würde man, mit dem neuen Passwort, über 3.000 Jahre (in Worten: dreitausend Jahre) brauchen um es zu knacken.

Dolle Sache!!!

Soweit ich informiert bin, sieht die gesetzliche Lage (Passworte bei Ämtern und Behörden) so aus, dass ein Passwort folgende Kriterien aufweisen muss:

1. Groß UND Klein-Schreibung
2. Nicht nur Buchstaben, auch mind. 1 Zahl muss dabei sein, sowie...
3. Mindestens 1 Sonderzeichen.

Beispiel: "Wien#3Alpha+7"

Ergebnis beim Passwortcheck:

Prüfung an folgenden Bewertungskriterien:
Bewertungskriterien Spezifikationen Abzüge Messwert
Optimale Passwortlänge ist 10 Zeichen (pro fehlendes Zeichen: -5 Punkte) - ok
Fehlende Kleinbuchstaben a-z (-20 Punkte) - ok
Fehlende Grossbuchstaben A-Z (-20 Punkte) - ok
Fehlende Interpunktions- und Sonderzeichen -+.,;:_#/*%&?${}[]() usw. (-20 Punkte) - ok
Fehlende Zahlen 0-9 (-20 Punkte) - ok
Leerzeichen, Umlaute oder nicht druckbare Zeichen enthalten öäüéàèÖÄÜÉÀÈç usw. (-20 Punkte) - ok
identische Zeichen in Folge ab dem 3. Zeichen (-20 Punkte) - ok
Zeichenfolgen auf der Tastatur ab dem 3. Zeichen (-20 Punkte) - ok
ABC- und Zahlenreihen ab dem 3. Zeichen (-20 Punkte) - ok
Passwort durch Wortliste erleichtert eruierbar deutsch & englisch (-20 Punkte) - ok
Qualität des Passworts in Punkten Schwellwert = 100

Simulation eines Hybrid-Passwortcrackers:
Anzahl benötigte Versuche: 24'231'965'285'500'953'066'864
Eingabe: "Wien#3Alpha+7"
Fragment aus Wortliste: "Alpha"
Restliche Zeichen: 8 "Wien#3" "+7"


Ungefähre Zeit für Suche: 768'390'579 Jahr(e) (bei 1'000'000 Tests/Sekunde)