Viren, Spyware, Datenschutz 11.211 Themen, 94.124 Beiträge

Sinn und Unsinn von Passwörtern - wenn, dann richtig kryptisch!

Olaf19 / 71 Antworten / Flachansicht Nickles

Hallo zusammen!

Wir leben in einer Passwort-Welt. Für bald jeden Atemzug im digitalen Dasein muss man sich registrieren, einloggen, authentifizieren. Mittlerweile gibt es schon Software, um die Sintflut an Passwörtern zu verwalten, denn immerhin sollen wir ja

  • jedes Passwort nur 1x verwenden, also für einen Zweck,
  • Passwörter regelmäßig umstellen, für den Fall, dass es jemand geknackt hat,
  • Passwörter möglichst lang und kryptisch gestalten

Für mich ergeben sich in diesem Zusammenhang zwei Fragestellungen, in die die Sicherheitsexperten unter euch vielleicht ein wenig Licht bringen können.

Erste Frage: Es gibt bei mir zwei Passwörter, die die oben benannten strengen Kriterien nicht erfüllen. Das ist zum einen mein Benutzerkennwort für Mac OS X, zum anderen das Zugangskennwort für die Benutzung meiner Fritz!Box. Diese Passwörter sind kurz und einfach und ich ändere sie nie. Warum?

Nun, diese Passwörter unterscheiden sich von allen anderen in einem wesentlichen Punkt: sie sind "nur zuhause" nutzbar. Es hat wenig Sinn, in einem Internetcafé, "fritz.box" einzugeben - ich erreiche meine Fritz!Box damit nicht. Wenn überhaupt, dann vielleicht eine andere. Auch zuhause erreiche ich die Fritz!Box meines Nachbarn nicht, da ich ja über mein eigenes WLAN surfe und nicht über seins.

Bei Mac OS X verhält es sich im Prinzip genau so. Okay - mein MacBook nehme ich oft mit, wenn ich unterwegs bin. Würde es mir gestohlen, so könnte der Neubesitzer dort Software installieren, die nicht von Apple autorisiert ist - dafür, besser dagegen, ist das Passwort da. Nur, wenn das Book weg ist, könnte mir das auch egal sein. Dann hätte ich andere Sorgen.

Die Frage lautet also: welchen Sinn hätte es, für mein Mac OS X-Benutzerkonto oder die Fritz!Box kryptische Passwörter zu vergeben? Was habe ich da möglicherweise übersehen?

Zweite Frage: Gegen die Passwörter-Administrationsprogramme habe ich eine instinktive Abneigung. Ich möchte lieber zu einer eigenen, quasi "handgemachten" Lösung kommen. Folgende Idee möchte ich euch vorstellen und hätte dann gern eine Einschätzung, ob die Idee gut ist.

Beispiel ebay: Ich konstruiere zunächst eine "Passwort-Basis", zusammengebastelt aus Verwendungszweck, Datum und einigen Fantasiezeichen, die es darauf zu kryptifizieren gilt. Diese Basis könnte etwa so lauten:

ebay15nove14(§&)

Durch diverse Metamorphosen entsteht daraus:

y1%anObVee!4(§&)

Der Verwendungszweck (fett hervorgehoben) wird also rückwärts und in festen Abständen auf das Passwort verstreut, das Datum wird durch Einzelbuchstaben des Zwecks unterbrochen, die Zahlen bleiben teilweise stehen, teilweise werden sie durch das auf der gleichen Zifferntaste platzierte Sonderzeichen ersetzt. Die Buchstaben aus dem Datum erscheinen teils groß, teils klein. Nur den Stringmüll am Ende der "Basis" habe ich unverändert gelassen.

Ich weiß - meine Methode hat einen großen Nachteil: man muss das Prinzip der Verschlüsselung schon tief in Fleisch und Blut verinnerlicht haben, ansonsten sind Tippfehler bei der Eingabe quasi unvermeidlich.

Der große Vorteil ist aber die Wartungsfreundlichkeit. Habe ich mich einmal an meine Methode gewöhnt, so kann ich in 5 Wochen nach dem gleichen Schema beginnen mit:

ebay19deze14(§&)

und ende schließlich bei:

y1)adEbZee!4(§&)

Man könnte es natürlich noch raffinierter machen, aber dann wird es um so schwieriger, sich das Kryptifizierungsprinzip zu merken, nachdem die Passwort-Basis zum echten Passwort manupuliert wird.

Bin wie immer gespannt auf eure Anmerkungen, Rückfragen und Ideen zu beiden Fragestellungen.

CU
Olaf

"Das sind Leute, die von Tuten und Ahnung keine Blasen haben" (ein Reporter auf die Frage nach der politischen Bildung des typischen Anhangs von Donald Trump)
bei Antwort benachrichtigen
Olaf19 Acader „Na sicher siehst du das falsch. Wie sollte man unter einem ...“
Optionen
Wie sollte man unter einem Betriebssystem denn die Paßwörter klauen wenn diese da gar nicht abgelegt sind und der Zugang zum Rechner verwehrt ist.

Ich denke eher, krr hebt auf die Datenbank-Diebstähle bei E-Mail- und anderen Dienstanbietern ab. Das finde allerdings auch ich zum Gruseln; da kann sich unsereins noch so viel Mühe geben mit sicheren Passwörtern, wenn da andauernd irgendwelche Lecks auftreten.- Zu deinem Post weiter oben:

jetzt nimmst du 15, 35, 98 und 10 als Seitenzahlen. Von Seite 15 nimmst du vom ersten oder auch letzten Substantiv den ersten und letzten Buchstaben und baust das ein; also C15r.Mit den anderen Seiten machste das ebenso. Am Ende haste einen 16 stelligen Code. Kannst ja dann noch deine Hausnummer anhängen dann haste 18 Stellen.

Das klingt wirklich nicht schlecht, nur ist ein solches Passwort schwer zu merken. Das Buch hat man ja nicht ständig bei sich. Deswegen schwebt mir ein Prinzip vor, bei dem ich mir nur wenige Eckdaten merken muss sowie eine Art "Verschlüsselungsalgorithmus", d. h. wann benutze ich die Shift-Taste und wann nicht, wann wird ein Textfragment umgedreht, wie groß ist der Abstand zwischen den einzelnen Buchstaben des Schlüsselworts e - b - a - y etc. Damit ließe sich auch ein vergessenes Passwort jederzeit rekonstruieren, auch ohne dass ich ein Buch schauen müsste, das gerade zuhause im Regal steht. Voraussetzung ist natürlich, dass ich mein Verschlüsselungskonzept gut verinnerlicht habe.

CU
Olaf

"Das sind Leute, die von Tuten und Ahnung keine Blasen haben" (ein Reporter auf die Frage nach der politischen Bildung des typischen Anhangs von Donald Trump)
bei Antwort benachrichtigen