Archiv verlassen und diese Seite im Standarddesign anzeigen : Passwörter sind total (un)sicher!
Nachdem wir vor kurzem darüber diskutiert haben, ob Passwörter eigentlich überhaupt noch sicher sind, noch mal ein paar Fakten zum Thema:
SSH-Honeypot Ich habe jetzt seit etwas über einen Monat einen SSH-Honeypot auf meinem Server laufen. Die Anzahl der probierten unterschiedlichen Root-Passwörter liegt bei sage und schreibe 360. Und alles kein Brute-Force sondern Pille-Palle-Wortlisten. Hier ist das Live-Log (http://www.megabert.de/sshpot_auth.log)
Lange Passwörter unknackbar Ein super simples Passwort wie ichgehmalbierholen (18 Zeichen, nur Kleinbuchstaben) braucht bei Annahme eines Core-i7 auf einem Core mit der höchsten Rategeschwindigkeit des schlechtesten Algorithmus(MySQL-Fast von http://calc.opensecurityresearch.com mit 43K Tests/Sekunde) im schlechtesten Fall bis zu 23 Billionen Jahre bis der Komplette Passwortraum geraten wurde. Gehe ich mal von einer 10-fachen Rechnerleistung aus mit je 16 Kernen pro Rechner und 1000 Rechnern, dann bleiben immer noch 140.000 Jahre für einen Brute-Force-Angriff übrig.
SSH-Brute-Force SSH-Brute Force ist um Welten langsamer als lokales BruteForce, bei dem man Zugriff auf die Hashes hat. IMHO Niemals knackbar ohne eine zusätzliche Sicherheitslücke.
Ich würde sagen, Brute-Force ist total irrelevant, weil der Aufwand gigantisch hoch ist und jedes halbwegs gut verwuerfelte Wortspiel aus Kleinbuchstaben mit mehr als 14 Zeichen in keiner realistischen Zeit per Brute Force knackbar ist.
Was natürlich übel sein könnte, ist die Verwundbarkeit von einigen Hash-Algorithmen - wovon ich keine Ahnung habe - so dass durch schlaue Köpfe auf alten Systemen Passwörter einfach abgefischt werden könnten. Weiss da jemand etwas genaueres dazu zu sagen?
Was auch noch übel ist, sind irgendwelche Passwörter die in irgendwelchen Configdateien im Klartext rumliegen und Standardpasswörter, die weit verbreitet im Einsatz sind.
Auch übel wenn irgendwelche Default-Passwörter auf unsicheren Geräten eingesetzt werden. Im vergangenen Jahr gab es da z. B. mal wieder eine Sicherheitslücke, mit der man sich vom IPMI(Server-Management) das Passwort per Browser im Klartext anzeigen lassen konnte, wenn man sich nur auf den richtigen Port (weiss gerade nicht mehr welcher das war irgendwas >50000) von dem Gerät verbindet. Einen APC Stromverteiler mit LAN-Schnittstelle habe ich hier noch rumliegen, der hat ne Backdoor drin, über die sich jeder das Passwort selber neu setzen kann, btw. das bestehende per Memory-Dump anzeigen.
Eine Ursache von sicherheitstechnischen Katastrophen entstehen meiner Ansicht nach durch Verkettung von mehreren Sicherheitsschwachstellen, die alle jeweils eine einzelne Reduktion der Sicherheit zu Folge haben und in Gänze dann die Zugriffshürde auf einen Zaun von 20 cm Höhe zusammenschrumpfen lassen. Deswegen finde ich einen gewissen Sicherheitspuffer auch wünschenswert. Wenn dass dann im Hinblick auf BruteForce die 1000 Jahre sind um ein Passwort zu knacken, die durch die ganzen dummen Zufälle dann auf 50 Jahre zusammenschrumpfen, dann ist man froh so viel Puffer gehabt zu haben.
Ich schätze, dass Angriffe inzwischen deutlich "komplexer"** sind, so Keulen wie ein Bruteforce Angriff sind nicht mehr zeitgemäß*. Ich würde außerdem sagen, dass der Tenor damals war, "Passwörter" == "dumm" - vermutlich irgendwelche "Key-Files" == "super töfte"
*Ich könnte mir gut vorstellen, dass das durch die "IOT-Flut" noch mal was anderes wird, denn da hat man relativ viele Adressen zur Verfügung - entdecke die Möglichkeiten ;) Es bleibt aber zu plump, wenn ich da an so Meldungen wie die hier (https://lists.debian.org/debian-security-announce/2016/msg00316.html) denke - entdecke die Möglichkeiten 2.0
Ansonsten gilt wohl, weg von den "Defaults" und sich auf dem laufenden halten.
[edit]**da geht es inzwischen, von zu spät bis da ist irgendwie noch Grau, so oder so, die "Waffen" sind vorhanden, eine effektive Verteidigung ist schwierig bis unmöglich
[edit2]denn sein wir mal ehrlich, viele sensible Daten (Bank, Krankenkasse & Co lässt grüßen) unterliegen ja nicht mehr unserer Kontrolle...
BetterWorld
22.12.16, 00:04
Das größte Sicherheitsloch klafft schon in der Annahme, dass ein Bruteforce auf ein "halbwegs gutes Passwort" vernachlässigbar sei.
Ein solcher Angriff kann auch schon beim ersten Versuche ein Volltreffer ein.
Solche Aussagen reden vom statistischen Mittel bis wann ein Angriff halbwegs Erfolg haben wird.
Über die Realität ist damit genau nichts gesagt.
Kombiniert man diese Methode mit ein wenig sozialem Geschnüffel, so hat man schon ziemlich gute Karten.
Womit auch im Klartext rumliegende Passwörter egal sind.
Wer drin ist, ist drin.
Passwörter sind Spasswörter.
Sonst nichts.
Die Betrachtung eines Hashalgos alleine ist auch nicht sonderlich sinnvoll.
Moderne Kryptoalgos kombinieren diverse Verfahren.
Bei einem SSH- Server kannst du zum Beispiel angeben, welche Verschlüsselungskombinationen zulässig sind.
Dann könnte der Client wählen, welche er verwenden will.
Das wird gemacht, um möglichst vielen Clients eine Verbindungsmöglichkeit zu geben.
Je mehr davon zulässig, desto höher das Risiko.
Ich schreibe absichtlich Verschlüsselungskombinationen, weil es genau das ist.
Oft wird beim Verbindungsaufbau eine Blockchiffre zu Verschlüsselung verwendet. Davon werden dann Hashes abgeleitet, die für die tatsächliche Streamchiffre verwendet werden. Die kann sich nun wiederrum von Paket zu Paket ändern, oder auch nicht. Sie kann "rückrechenbar" sein, oder halt nicht. Ersteres ist gang und gäbe, zweiteres nennt sich PFS (PerfectForwardSecrecy; aus einem später geknackten Paket lässt sich kein Schlüssel für frühere Pakete konstruieren). Und PFS hält erst langsam Einzug.
Es kann sogar sein (und einige Server machen das so; viele Mailserver z.B.), dass der längst geknackte Hashalgorithmus MD5 bei der Negotiation der Verschlüsselungsverbindung eingesetzt wird. Das ist deshalb sicher, weil die paar Millisekunden, die der frisch erzeugte Hash gültig ist, nicht geknackt werden kann.
Will man zu diesem Thema fundiert alle Möglichkeiten auch nur kurz anreißen, hätte man hier eine Hackersite, die künftig als Referenz gelten könnte.
Da ist das Thema einfach zu komplex und es gibt viel zu viele Kombinationen solcher Chiffren und Methoden des "Verschlüsselungsaufbaus".
Und es gibt noch viel schlimmere Lücken, die jeder PC hat, wenn du anfängst von UPSs zu sprechen.
Guck mal nach SMI. Das hat jedes Serverboard.
Ne Konsole dran, und du bist Cheffe.
florian0285
22.12.16, 10:32
Ich finde Passwörter als Spasswörter zu bezeichnen sendet die falsche Botschaft es ist die erste und oft auch einzige Hürde. Egal wie die persönliche Einschätzung der Sicherheit ist sollte man hier die best mögliche Variante wählen. Immerhin gibt es keine allumfassende kompatible Lösungsalternative zum Passwort.
@fork du müsstest auch berücksichtigen, dass die Brute-Force-Kiste Eingrenzungen unterliegen kann und nicht die komplette Pallette an Kombinationen durchnudelt. Auf der anderen Seite kann man auch deine Auswertung ranziehen und feststellen, dass kein Pw über 12 Zeichen probiert wurde und dadurch Passwörter ab 13 Zeichen als vermeintlich sicher einstufen. Das ganze ist immer ein Kompromis zwischen Risikoeinschätzung, Sicherheitsempfindung und "Usability". Unknackbar ist ein Begriff, den ich nicht verwenden würde. "Es sollte nichts passieren" triffts eher.
Brute-Force ist auch eher ein Beiläufer, um ggf den Glückstreffer nicht zu verpassen. Also versuchen kann mans.
Wenn du dagegen deinen Hash in Rainbowtables wiederfindest brauchst du für deine 12 Stellen u.U. auch nur wenige Minuten.
Die Verwundbarkeit der Hashalgos kann man als Admin hingegen "vernachlässigen".
Never implement crypto by yourself. Also nutzt du das, was die Software mit bringt. Ist ein Algo unsicher macht das schnell die Runde und du musst wenn möglich nur ne Alternative wählen, auf Updates warten oder das Ding vom Netz nehmen. Also du reagierst nur.
Standardpasswörter sind ein großes Problem, vorallem wenn man sie nicht ändern kann, wie bei den tollen China Cams. Standardpasswörtern gehen oft mit Testinstallationen einher. Mal schnell dieses neue CMS in die VM geknallt admin:admin damit alle Admins leicht drauf kommen und dann sollen sich als Test die User und auch mal die Admins da registrieren... mit dem regulären Passwort natürlich, weil man will nicht noch eins im Kopf haben. Das ist aber eher ein Konfigurationsproblem und kein Passwortproblem.
Technische hürden zu schaffen find ich schon richtig, man muss da nur zwangsweise den User einbinden. Bleibt man allein beim Passwort hat man bei gewissen Regeln dann "Martilda0216+" dann "...0316+" usw. und hat dann durch SE noch unsichere Passwörter als gewollt.
Die schwer zu beantwortende Frage. Wieviel benutzen überall das gleiche Passwort? Dann noch privat und beruflich das gleiche?
Rumliegende Klartextpasswörter sind immer schlecht. Die füttern die Wordlist und wer drin ist is drin... auf einem System... der Weg zu anderen ist ggf. geebnet..
du müsstest auch berücksichtigen, dass die Brute-Force-Kiste Eingrenzungen unterliegen kann und nicht die komplette Pallette an Kombinationen durchnudelt.
Das meine ich, wenn ich von Sicherheitspuffer spreche. Die oben erwähnten Zeiträume bezeichnen ja auch die maximalen Zeit, die es braucht um den kompletten Passwortraum durchzutesten. Sicherheitshalber würde ich da auf 1% runtergehen und mich dabei wohlfühlen. Und natürlich ist das immer ein Kompromiss. Wie hoch man das jeweilige Sicherheitslevel festlegt, kommt natürlich auch immer auf die spezielle Situation an.
Brute-Force ist auch eher ein Beiläufer, um ggf den Glückstreffer nicht zu verpassen. Also versuchen kann mans.
Ich denke BruteForce ergibt dann einen Sinn, wenn man viel Rechenkapazität einsetzt, mit hoher Geschwindigkeit ausprobieren kann und die Hashes lokal hat.
Wenn du dagegen deinen Hash in Rainbowtables wiederfindest brauchst du für deine 12 Stellen u.U. auch nur wenige Minuten.
Ja, bei einer sehr grossen Menge an Adressen, hast Du da keine Chance mehr.
Rumliegende Klartextpasswörter sind immer schlecht.
Abgesehen davon, dass Klartextpasswörter nicht für mehrere System bentutzt werden sollten, wie vermeidet man sie?
Ich habe Anwendungen, die wollen auf eine DB zugreifen, also brauch ich mal Benutzername Passwort. Und das gleiche, was auf die wiederverwendung von Passwörtern zutrifft, gilt auch für Universal-Keyfiles. Sobald die geklaut wurden ist Polen offen. Wie kann man so etwas besser/sicherer gestalten?
Guck mal nach SMI. Das hat jedes Serverboard. Ne Konsole dran, und du bist Cheffe.
Also mein Schwerpunkt sind jetzt schon eher die Sicherheitsthematik, die ohne physischen Zugriff zum Gerät ausnutzbar sind. An der Sache mit dem Stromverteiler war mir wichtig zu sagen, dass Geräte in dieser Klasse "Scheunentor" so löchrig sind, das man Passwörter im Klartext auslesen kann und damit - bei Mehrfachverwendung - Zugriff zu weiteren Systemen erlangen kann; Ganz im Gegensatz zu dem fast schon erwarteten Problem, dass solche Geräte bei Erreichbarkeit via Internet dann direkt mal gekapert werden und jemand seinen Spass damit hat, stundenlang ON/OFF-Spielchen zu spielen.
BetterWorld
22.12.16, 22:55
Von Rainbow- Tabellen zu reden ist schon wieder ein Sicherheitsloch in sich selbst.
Das ist schon seit Jahren kalter Kaffe. Die nutzen nur, wenn die Hashes nicht gesaltet sind.
Das macht mittlerweile sogar der billigste Standardsetup.
Weil das nun von den aktuellen Bedrohungen nur sinnlos ablenkt, ist es selbst ein Loch.
Ich bleibe dabei: Passwörter sind Spasswörter.
Man kann sehr wohl moderne Cryptographie mit PFS einsetzen.
BitMessage tut das einfach auf p2p Basis.
Nichts und niemand hindert einen das für alle anderen Zugänge umzusetzen.
Selbst bei einem Webserver kann ich einen solche (derzeit) sichere Authentifizierung einsetzen.
Ich muss nur den Besuchern zumuten, das auch zu akzeptieren.
Und es halt -leider- heute selbst implementieren.
...
Wie kann man so etwas besser/sicherer gestalten?
...
Den aktuell besten Stand verwenden - vernünftige Anwendungen bieten entsprechende Optionen; Beispiel: https://www.postgresql.org/docs/9.0/static/auth-methods.html
Ansonsten sieht es für mich stark nach Richtung "Key-File" aus, das dann kombiniert mit irgendwelchen "Forwardings/Bindings" - es macht halt Sinn, wenn man vorhandenes verwendet, aktuell halt openssl (https://www.openssl.org/)
florian0285
23.12.16, 10:16
Ja dein Puffergedanke ist durchaus sinnvoll, wenn man sich nicht darauf ausruht.
Klartextpasswörter kannst du nie gänzlich vermeiden. Es gibt immer irgendwo einen User/Admin mit der Passwort.xls. Das ist schon fast wie das Post-It unter der Tastatur. Bei Software bist du auf die Entwickler angewiesen. Wenn die das nicht implementieren hast du auch nur geringe Chancen. Selbst implementieren ist bei Open Source ne Mögkichkeit, setzt aber voraus dich damit auszukennen. Und dann bist du die inkompatible Insellösung, die ggf bei Updates rumfrickeln muss?
Es wäre dann auch unschön zu sehen, wenn die Eigenimplementierung mit einer anderen Eigenimplementierung gekoppelt werden muss. Wegen Inkompatibilität eine Schnittstelle geschaffen werden muss, die die Verschlüsselung aufhebt/umwandelt und dadurch neue Angriffsvektoren geschaffen werden.
@BW warum ist denn das Reden darüber ein Sicherheitsloch. Ok meine Erfahrung betrachtest du nicht. Aber selbst Altlasten in Unternehmen haben nicht gesalzene Hashes. Der LM-Hash z. B. ist nicht ausgestorben. Es gibt noch Systeme von Win98 bis Win7 und die tolle Abwärtskompatibilität. Je nach Statistik dümpelt XP mit einer Verbreitung von 10% - 20% rum. Südamerika war doch der Win98 Kontinent? Außerdem sind derzeitige Erkenntnisse keine Garantie für richtig implementierte Software. Vorallem bei Eigenentwicklungen machen frisch geformte Entwickler, die selben Fehler aus der Vergangenheit. Und vorallem warum soll man sich bei Spasswörtern noch die Mühe machen mit Salz rumzubasteln? Rainbowtables sind kein alter Hut. Es gibt lediglich nur Gegenmaßnahmen, die nicht zwangsweise genutzt werden.
Wieso lenkt das ab? Passwörter sind gerade das Thema!
"Ich muss nur dem Benutzer zumuten" Zumutung trifft meist auf Ablehnung und gefärdet das Vorhaben. Solange das im Web Shop von Maria`s Honigwelt nicht verfügbar ist und Maria das durch "Haken" "klick" implementieren kann wird das keine Verbreitung finden. Der User will einfach und er nutzt auch einfach. Wenns ihm zu kompliziert wird macht er dicht. Was für uns leicht aussieht ist für manche schon eine Tagesaufgabe. Das beginnt schon mal beim Einschalten des Rechners.
Irgendein Token rumschleppen ist schon zu viel Aufwand und Inkompatibel. Wenn da nicht mal ein RFID Implantat kommt bleibts wohl beim Passwort.
Ich merke, ihr wisst eine ganze Menge über Passwörter und vermutlich auch über einiges mehr Bescheid. Bei den Ausführungen der Überlegungen sollte aber immer differenziert werden, ob man über die private Nutzung eines PC spricht, damit von einer privaten Administration, oder über die PC-Nutzung in einer Firma, mit eingekauften Administratoren. Im letzten Fall muss man sich als User nach den Vorgaben des Administrators richten, der auch auf die Passwortwahl der User Einfluss nehmen sollte oder die Passwörter vorgibt. Diesbezügliche Hinweise verpuffen somit in ihrer Wichtigkeit, weil der User darauf keinen Einfluss hat. Darum sollten solche Hinweise, die eher an einen Firmen-Admin gerichtet sind, als solche gekennzeichnet sein, um die privaten User nicht abzuschrecken.
Für die private Nutzung der PCs spielt dann immer noch das eigene Verständnis des Users eine Rolle. Wie wichtig schätzt er die Daten ein, die sich auf seinem PC oder Telefon befinden? Dem privaten Nutzer bleibt eigentlich nur die kostengünstige Möglichkeit der Sicherung seines Computers mit einem Passwort. Tolle Begriffe oder Schlagwörter über die Geschichte der Passwörter sind da keine Hilfe. Beispiele, die aufzeigen, was es für gefährdete Daten im privaten Bereich gibt, könnten die User veranlassen sich doch kniffligere und doch leicht zu merkende Passwörter zu merken, oder ihr System besser zu schützen. Dazu gehört ebenfalls eine Anleitung, für so eine Passwortwahl. Man sollte ebenfalls darauf hinweisen, bevor man von einem sicheren Passwort spricht, sollten die Bedingungen auf dem PC oder Handy so eingerichtet werden, dass man sich mit so einem Passwort auch wirklich schützen kann.
Unter Windows 7 und früher konnte man das noch selbst beeinflussen. Mit Windows 10 übergibt man all diese Möglichkeiten an Microsoft und ist denen dann mit dem Microsoft-Konto ausgeliefert. Die verwalten dann den privaten Zugriff auf den Computer und die Email-Adresse mit nur einem Passwort, wie es sich der amerikanische Geheimdienst nur wünschen kann. In wie weit andere Firmen über diesen Weg an die privaten Daten und das Nutzerverhalten heran kommen, steht in dem umfangreichen Kleingedruckten, dass alle einfach nur abhaken. Damit wird deutlich, vor wen man sich denn eigentlich mit einem Passwort schützen will, wenn man sich diese Frage stellt.
Vor einigen Jahren hatte ich einmal mit einem sich selbst sehr klug darstellenden Angestellten unterhalten, der vorgab, sich mit der Administration von Computer auszukennen. Der bewegte sich nur mit einem Administrator-Konto im Internet. Der wunderte sich, dass ich auf meinem Computer ständig angegriffen wurde, den ich damals versuchte sehr gut abgesichert zu betreiben. Er konnte keine Angriffe bemerken, weil er den Angreifern keine Widerstände in den Weg legte, mit seinem Verhalten. Darauf sollte eigentlich immer wieder hingewiesen werden. Man sollte sich dessen bewusst sein, vor wen man sich eigentlich schützen will und was das für einen jeweiligen Aufwand entspricht. Meine Angreifer kamen damals aus einer Region, die ich falsch einschätzte, denen ich aber ein gutes halbes Jahr wiederstehen konnte. Sie kamen in Win-XP über eine „Helfer-Hintertür“, die ich soweit verschließen konnte, dass sie nur noch leserechte hatten. Das hat mich eine interne und eine externe Festplatte gekostet. Jetzt darf ich keine Boot-CD mehr betreiben, weil sich dann der Monitor nicht zuschaltet, seit 2012. Den eigentlichen Hintergrund kannte ich damals nicht, der ist mir erst ab 2014 Stück für Stück bewusst geworden und ist hier nicht das Thema. Ich will damit nur sagen, man muss wissen, vor wen man sich schützen will. Somit kommt Win-10 für mich nicht in Frage. Die vorinstallierte Version habe ich auf dem neuen PC gleich nach der Anmeldung, nachdem mir klar war, was die wollen, komplett, mitsamt der angegebenen Email-Adresse, gelöscht. Vor einiger Zeit hatte ich eine PC-Zeitschrift darauf aufmerksam gemacht, dass die Bundeskanzlerin mit ihrer nachlässigen Stellungnahme dem amerikanischen Geheimdienst eine ungeahnte Möglichkeit der Wirtschaftsspionage ermöglicht. Daraufhin hatte der Computer-Chaos-Club die Bundeskanzlerin angezeigt. Ich bin der Meinung, wer Windows 10 benutzt öffnet dem amerikanischen Geheimdienst alle Möglichkeiten.
Das sichere Linux (ich rede von Ubuntu) hat nur ein Problem. Es muss in relativ kurzer Zeit, jedenfalls viel schneller als Windows-XP oder Windows-7, wenigstens alle zwei Jahre immer wieder neu installiert werden, um sicher zu laufen. Welche Firma will sich darauf einlassen. Als ich mich umhörte, bekam ich die Empfehlung, nicht updaten, sondern neu installieren, dann laufen alle Anwendungen darauf problemlos. So etwas kann sich keine kleine und keine mittlere Firma mit mehreren Computerarbeitsplätzen leisten.
Bei Windows habe ich das bisher so gehandhabt, nach jedem Update, oder immer wenn eine Software nach dem Admin-Passwort gefragt hat, habe ich es nach der Benutzung wieder geändert. Das wurde mir für die Linux-Benutzung abgeraten, weil es unter Linux (Ubuntu) eine Begrenzung für die Anzahl von Passwörtern geben würde. Bisher blieb mir keine andere Wahl, als unter Windows zu arbeiten. Wenn Windows 7 demnächst ausläuft muss ich, und andere ebenfalls, eine saubere Lösung gefunden haben. Das Thema Passwort erstreckt sich somit sehr weit und berücksichtigt sehr viel mehr, wenn man weiß, vor wen man sich schützen will. Das sollte als erstes geklärt werden. Dann der Aufwand für die Einteilung des Systems und dann ergibt sich automatisch die Einsicht für den Aufwand des Passworts. Das sollte alles im Zusammenhang gesehen werden. Sonst kommt der Eindruck, was wollen die immer nur mit dem Passwort.
Ohne auf alles einzugehen, aber
IDas sichere Linux (ich rede von Ubuntu) hat nur ein Problem. Es muss in relativ kurzer Zeit, jedenfalls viel schneller als Windows-XP oder Windows-7, wenigstens alle zwei Jahre immer wieder neu installiert werden, um sicher zu laufen. Welche Firma will sich darauf einlassen. Als ich mich umhörte, bekam ich die Empfehlung, nicht updaten, sondern neu installieren, dann laufen alle Anwendungen darauf problemlos. So etwas kann sich keine kleine und keine mittlere Firma mit mehreren Computerarbeitsplätzen leisten.
Diese Aussgagen sind falsch.
Das wurde mir für die Linux-Benutzung abgeraten, weil es unter Linux (Ubuntu) eine Begrenzung für die Anzahl von Passwörtern geben würde.
Diese Aussage ist falsch.
florian0285
23.12.16, 21:37
Gerade zufällig bei Heise aufgeplopt.
http://heise.de/newsticker/meldung/hallo-ist-meistgenutztes-deutsches-Passwort-auf-Platz-zehn-steht-ficken-3579567.html
Top Ten der Passwörter auf .de-Domains
1. hallo
2. passwort
3. hallo123
4. schalke04
5. passwort1
6. qwertz
7. arschloch
8. schatz
9. hallo1
10. fi*ken
----
Dann waren die Passwörter auch noch in einem Format abgespeichert, aus dem sie sich einfach rekonstruieren – vulgo "knacken" ließen.
---
Es geht weiter damit, dass eigentlich fast alle Webseiten unbegrenzt viele Passworteingaben erlauben.
---
Nur sehr wenig Sites bestrafen Fehleingaben mit immer längeren Wartezeiten, um Brute-Force-Angriffe zu verhindern.
florian0285
23.12.16, 22:02
Dazu gehört ebenfalls eine Anleitung, für so eine Passwortwahl.
Gibts doch wie Sand am Meer:
http://www.linuxforen.de/forums/showthread.php?280148-ist-ein-sicheres-Passwort-kurz-oder-ist-es-so-lang-dass-ihr-es-nich-erinnern-koennt&p=1840717&viewfull=1#post1840717
Auch in der billigsten Computerzeitschrift gibts Tips zu Passwörtern.
Das Thema ist für private oder berufliche Anwendung eigentlich gleich, wenn man sich rein auf das Passwort konzentriert. Der Nutzer wählt sein Passwort immer selbst und das so komplex wie möglich und nur so einfach wie nötig. Kein Admin gibt Passwörter vor. Höchstens Initialpasswörter. Die Komplexität kann durch Richtlinien vorgegeben werden.
Jeder Mensch benötigt unterschiedliche Eselsbrücken um sich Kombinationen zu merken. Daher gibts keine Pauschale Formel dafür.
ThorstenHirsch
23.12.16, 22:52
...vor wem man sich schützen will. Das sollte als erstes geklärt werden.
Warum eigentlich? Ist es nicht egal, ob Dich die Russen, die Amis oder die Chinesen aushorchen?
BetterWorld
23.12.16, 23:02
Genau!
Versteht doch eh keiner.
Russen, NSA und Chinesen kein fränkisch.
Und wir nix von Verschlüsselung.
:cool:
scnr.
Ihr denkt nicht zu ende.
Jede Art von Sicherungsmaßnahme wird irgendwo auf dem Computer oder im Netz zum Abgleichen gespeichert sein. Da macht es keinen Sinn über Passwörter zu streiten. Die Form dieser mehr oder weniger gut versteckten Ablage trifft für alle Sicherungsmaßnahmen, Fingerprint, Netzhautscan, Gesichtscan, Passwort und sonstiges zu.
Das Passwort an sich ist die preisgünstigste Version, was nur eine Tastatureingabemöglichkeit benötigt. Das Passwort kann man entsprechend der Sicherungsabsicht wählen. Wenn ich allein im Büro, ohne Mitarbeiter bin, genügt mir ein sehr sicheres Passwort für das Admin-Konto und für mein eingeschränktes Benutzerkonto benötige ich dann eigentlich kein Passwort, denke ich. Dafür habe ich für alle anderen Konten, wie das für meine Emails je ein eigenes Passwort, welche nie in einem Passwortcontainer abgelegt werden dürfen, was Windos-10 mit dem Microsoft-Konto von sich aus tut. Darauf solltet ihr hinweisen.
In wie weit sich jeder User vor seinen Arbeitskollegen mit einem Passwort schützen muss, dass muss jeder selbst wissen. Ich hatte im Internet von „Arbeitskollegen“ und „Freunden“ gehört, die haben anderen die Buchstaben auf der Tastatur ausgewechselt/verschoben. Mit solchen Typen möchte ich nie zusammen arbeiten. Dort wo ich arbeite, schützen die Passwörter nur vor Angriffen aus dem Internet. Somit kann ich Arbeiten am Computer des Lehrlings korrigieren und er kann bei Bedarf Arbeiten an meinem Computer beenden, wenn es Not tut. Das aber nur, indem man sich mit dem Passwort des anderen, an dessen Computer im eingeschränkten Arbeits-Konto einloggt.
Damit sind wir im Internet. Ich glaube nicht, dass die Russen und Chinesen ein Interesse haben, an die Informationen von jedem ausgewählten privaten Computer zu gelangen. Das wollen nur amerikanische Geheimdienste, weil sie Anspruch auf eine internationale Polizeigewalt stellen. Das ist die politisch orientierte Gruppe im Internet.
Dann gibt es die allgemeinen Angreifer, die aus jedem Land heraus agieren können, ohne unbedingt politische Ziele zu verfolgen. Die wollen im schlimmsten Fall den angegriffenen Computer für sich nutzen. Deren mögliche Angriffe sollten eigentlich der Grund sein, den eigenen Computer zu schützen und dafür sollte ein gutes Admin-Passwort genügen, welches man nur selten beansprucht. Mir ist nur nicht klar, welchen Sinn das Passwort für ein eingeschränktes Konto macht. Kann das jemand erklären??
Der letzte Punkt hat aber nicht unbedingt etwas mit Geheimdienste zu tun. Die kamen damals in XP über eine Hintertür mit Admin-Rechten auf meine Computer, ohne sich um meine Passwörter zu kümmern. Damit habe ich mich abgefunden. Wenn ich die Zeit finde, werde ich das einmal in einem Buch zusammen fassen, um zu zeigen was es 2008 bis 2014 bereits für umfangreiche Überwachungsmöglichkeiten gab. Damit musste ich damals ganz allein klar kommen.
Opa
Wir sind hier kein MS Forum, warum du so auf deren Produkten rum reitest ist mir nicht ganz klar.
Passwort-Container sind absolut sinnvoll.
Passwörter teilen, war noch nie eine gute Idee (genauso wenig wie die Standard Passwörter, aber hatten wir ja schon).
Gebe mal Bescheid, wenn das Buch soweit ist.
@Opa2: gut dass du über Sicherheit nachdenkst, das sollten eigentlich alle Nutzer von EDV Geräten (Smartphones etc. ausdrücklich inklusive).
Allerdings sind in deinen Posts einige Annahmen, Spekulationen und auch Fehlinformationen enthalten, die wichtigsten wage ich einfach mal aufzuzählen:
Darum sollten solche Hinweise, die eher an einen Firmen-Admin gerichtet sind, als solche gekennzeichnet sein, um die privaten User nicht abzuschrecken. Das ist deine Meinung, nach meiner Meinung gibt es in Bezug auf Sicherheit keine Unterschiede. Wenn ein Admin Fehler in der Vorgabe der Passwortsicherheit macht kann ich als Nutzer mir trotzdem ein "sicheres" Passwort wählen.
Wie wichtig schätzt er die Daten ein, die sich auf seinem PC oder Telefon befinden? Diese Frage reicht nicht aus, sobald mein PC am Internet hängt muss ich ihn auch gegen Missbrauch z.B. in Botnetzen schützen. Daher erhält mittlerweile jeder der noch XP an einem InternetPC betreibt in den meisten Foren gehörigen Gegenwind. Zu Recht. Er gefährdet damit andere, wie jemand der wissentlich mit defekten Bremsen Auto fährt.
Der wunderte sich, dass ich auf meinem Computer ständig angegriffen wurde, den ich damals versuchte sehr gut abgesichert zu betreiben. Das klingt leider- korrigiere mich wenn ich mich irre- als hättest du damals eine "Firewall" wie "Zone Alarm" installiert. Derartige Programme generierten eine Alarmmeldung nach der Anderen und werteten sogar Ping Pakete als "Angriff" um den Nutzer zum Kauf der Bezahlversion zu animieren. Sollte dem so sein hat dich der "Super Admin" von dem du redest in dem Punkt zu Recht mit Befremden angesehen. Dass man wenn man sich auskennt nicht mit dem Admin Konto ins Internet geht- geschenkt, da zweifelst du zu Recht seine Kompetenz an.
Jetzt darf ich keine Boot-CD mehr betreiben, weil sich dann der Monitor nicht zuschaltet, seit 2012. Das ist nicht plausibel. Wenn du die Schadsoftware deinstalliert bzw. neu installiert hast sollten keine Einschränkungen auf dem System mehr vorhanden sein. Selbst wenn dein Win befallen ist sollte eine Boot CD funktionieren. Da du keine Details nennen willst müssen wir diesen Satz einfach so stehen lassen, auch wenn er unplausibel ist.
Es muss in relativ kurzer Zeit, jedenfalls viel schneller als Windows-XP oder Windows-7, wenigstens alle zwei Jahre immer wieder neu installiert werden, um sicher zu laufen. Das ist eine Fehlinformation, für den Profi Einsatz gibt es die sogenannten "Long Term Versions" oder man nimmt gleich eine "rolling release". Selbst wenn man alle zwei Jahre neu installiert (wie ich als Privatmann) ist der Wartungsaufwand von Linux nur ein Bruchteil dessen von Windows, d.h. ein Administrator kann ca. 10x mehr Linuxkisten administrieren als er vorher Windows Kisten administriert hat. Das ist meine persönliche Schätzung aus dem persönlichen Wartungsaufwand von Win 7 Kisten in meinem Umfeld. Win 10 mit all den Notwendigkeiten Datenabfluss abzuschalten ist da noch nicht berücksichtigt. Im Übrigen würde ich bei allen kommerziellen US Betriebssystemen Hintertüren für die NSA unterstellen. Äpfel, Birnen, Fenster, Alles das Gleiche: entweder Open Source, oder die NSA hat ne Hintertür. Dafür habe ich natürlich keine Beweise, dies schließe ich nur aus den Snowden Enthüllungen und den auffallend sparsamen Reaktionen der Nato Partner auf diese.
Jede Art von Sicherungsmaßnahme wird irgendwo auf dem Computer oder im Netz zum Abgleichen gespeichert sein. Da macht es keinen Sinn über Passwörter zu streiten. Die Form dieser mehr oder weniger gut versteckten Ablage trifft für alle Sicherungsmaßnahmen, Fingerprint, Netzhautscan, Gesichtscan, Passwort und sonstiges zu. Auf einem vernünftigen System werden Passwörter _nicht_ im Klartext gespeichert sondern als sogenannte "Hashes". Weiter vorne im Thread (lies mal nach) wird darüber diskutiert. Wenn ein Hash geklaut wird dauert es -bei sinnvoller Hashfunktion- trotzdem "ewig" bis man mit dem gestohlenen Passwort Schaden anrichten kann. Bei gutem Sicherheitskonzept mehrere Jahrhunderte :)
was Windos-10 mit dem Microsoft-Konto von sich aus tut. Darauf solltet ihr hinweisen. Diese Aussage ist der Grund warum ich überhaupt diesen ellenlangen Beitrag verfasst habe: es ist nicht Aufgabe eines Linux Forums auf Schwächen von Windows hinzuweisen, zumal derartige Aussagen in einem Linuxforum von Windows-"Anhängern" dann nur als "gebashe" wahrgenommen oder dargestellt würden. Wenn überhaupt sollte man solche Hinweise auf Windows Foren wie Winfuture oder Trojaner-Board hinterlassen.
Das aber nur, indem man sich mit dem Passwort des anderen, an dessen Computer im eingeschränkten Arbeits-Konto einloggt. Das ist wiederum eine Sicherheitslücke auf die ich die IT Verantwortlichen hinweisen würde: Jeder Mensch hat seine eigene Methode Passwörter zu generieren die er sich merken kann. Wenn ich die Methode einer anderen Person kenne besteht die Gefahr dass ich ihre Passwörter (privat, in anderer Firma nach Firmenwechsel etc.) knacken kann. Ein Arbeitsablauf der das Teilen von Passwörtern verlangt ist unsicher, wenn ich in so einen Ablauf eingebunden würde würde ich absichtlich in dem Kontext "schwache" Passwörter verwenden damit man meine Methode nicht errät.
Damit sind wir im Internet. Ich glaube nicht, dass die Russen und Chinesen ein Interesse haben, an die Informationen von jedem ausgewählten privaten Computer zu gelangen. Diese Aussage ist Quatsch. Warum sollten die Russischen oder Chinesischen Geheimdienste weniger Bedarf an Informationen haben als die amerikanischen? Eventuell ist ihr Budget (noch?) zu gering und die USA sind einen Schritt weiter, aber wenn sie noch Vorsprung haben wird der kleiner. Nach meiner Ansicht dient die Sammlung aller privaten Daten durch die NSA dem Ziel bei Bedarf Geheimnisträger erpressen zu können. Dieses Ziel dürfte für jeden anderen Geheimdienst ebenso attraktiv sein, und da Europa sich nicht wehrt ist es eine "sitting duck", d.h. ein bequemes Ziel für zukünftige Spionageaktivitäten. Ob die Daten dann für Militärische oder Wirtschaftsspionage verwendet werden dürfte uns eigentlich egal sein. Für mich versagt hier der Staat (BRD) und die EU.
...und dafür sollte ein gutes Admin-Passwort genügen Ein gutes Admin Passwort würde hier nicht genügen, hier sollte ein gutes Sicherheitskonzept her zu dem ein gutes Admin Passwort gehört. Im Privatbereich wäre das typischerweise: ein guter Router dessen Hersteller lange Sicherheitsupdates bereitstellt, Einspielen von Sicherheitsupdates in alle Geräte die mit dem Internet in Verbindung treten können, auf dem PC zusätzlich gutes Admin Passwort.
Mir ist nur nicht klar, welchen Sinn das Passwort für ein eingeschränktes Konto macht. Kann das jemand erklären?? Das hängt von deinem Einsatzzweck ab. Wenn dein PC in einem Raum steht zu dem nur Personen Zutritt haben denen du uneingeschränkt vertraust braucht der Anwender kein Passwort. Wenn der PC physikalisch für nicht-vertrauenswürdige Personen zugänglich ist benötigt er wahrscheinlich eine Festplattenverschlüsselung. Hängt alles vom Einsatzzweck ab. Der PC meiner Eltern hat zum Beispiel kein Nutzerpasswort.
BetterWorld
27.12.16, 18:35
Es ist eben nicht sonderlich sinnvoll weiterhin Spasswörter zu verwenden.
Denn zumindest der Hash muss zugänglich sein.
Und es gibt -selbst bei guter Spasswortpraxis- immer noch genügend Argumente dagegen.
Sie regeln halt NUR den Zugang.
Heute kann man aber durchgängig verschlüsseln, und das ziemlich gut und nicht rückrechenbar.
Es gibt auch sehr viel mehr Bedrohungen. Es geht längst nicht mehr um ein paar vermeintlich schützenswerte Daten.
Was, wenn die eigene Infrastruktur einer Firma ausfällt, weil durch böswillige Attacken geschädigt?
Die Debatte um Spasswörter verstellt den Ernst der Lage und ist längst nicht mehr zeitgemäß.
Es geht nur noch um das Wann, nicht um das Ob, oder Wie.
Da es nun solche Methoden gibt, sollte man sie schlicht einsetzen,
und, @Florian, deine Argumente gehen an der Sache vorbei: Auch Blümlein Honigtreu wird sofort ein USB- Token haben, wenn sie einmal bitter gezahlt hat.
Und dass Leute noch mit Win98 unterwegs sind, ist erst recht kein Argument.
Es wird leider immer Florians geben. Aber das ist bestimmt nicht das Problem einer modernen Verschlüsselung.
Sollen sie doch. Sie werden aussterben.
ach, wenn die Lösung doch so einfach wäre....
Mal im Ernst - Aktuell führt kein Weg im Alltagseinsatz an Passworten vorbei. So technisch rückständig diese Lösung auch sein mag.
Daher ist es auch nicht gerade sinnvoll, Diskussionen um die SIcherheit von Passworten damit abwürgen zu wollen, daß diese per se niemals sicher sein könnten, man sie eigentlich nicht verwenden sollte und sich als Urmensch oder Amöbe outet, sollte man es doch tun.
Theorie und Praxis - dieser feine aber kleine Unterschied sollte eben nicht übersehen werden. Vor allem in der Praxis.
BetterWorld
27.12.16, 20:27
Was davon ausgeht, dass diese Praxis unumgänglich sei.
Was ich deutlichst bezweifle, denn es gibt bereits genügend gute Implementierungen, die relativ sicheres Computing ohne Spasswörter ermöglichen.
Es ist lediglich eine Frage des Tuns.
Dabei sind diese Techniken nicht einmal besonders neu, sieht man mal von PFS ab.
Solange wir lamentieren, räumen wir damit der unsicheren Praxis viel zu viel Raum ein und hindern damit.
Ich finde es eigenartig, dass in Zeiten extrem beschleunigter und immer schneller beschleunigenden Entwicklungszyklen ausgerechnet bei zentralen Sicherheitsfragen die "Das-haben-wir-immer-schon-so-gemacht-und-brauchen-es-auf-jeden-Fall"- Mentalität überbetont wird.
Nichts und niemand hindert irgendeinen Admin auf Spasswörter zu verzichten und via PAM ein Austauschprotokoll a la BitMessenger zu implementieren.
Gar nichts.
Und Lieschen Müller wird ihren Stick dabei haben, wenn sie anders ihre Bunte nicht mehr lesen kann.
Da muss man Lieschen Müller nicht einmal mehr schulen. Denn auf ihre Schlüssel aufzupassen ist eine längst in die Köpfe implementierte Technik.
Spasswörter vernünftig zu behandeln, ganz sicher nicht.
Für mich ist das letztlich nur Phlegma, das hindert sich grundlegend damit auseinanderzusetzen und es zu implementieren.
Es ist alles da, es muss nur getan werden.
https://media.ccc.de/v/33c3-8127-how_do_i_crack_satellite_and_cable_pay_tv - sowas von sehens wert und meine Güte, was die Hardware Nerds alles können, krass
und noch eins zum Thema besser machen: https://media.ccc.de/v/33c3-7821-the_drown_attack
florian0285
28.12.16, 00:52
Solange wir lamentieren, räumen wir damit der unsicheren Praxis viel zu viel Raum ein und hindern damit.
Für diese Meinung beteiligst du dich aber sehr Stark am Thema.
"Das-haben-wir-immer-schon-so-gemacht-und-brauchen-es-auf-jeden-Fall"- Mentalität überbetont wird.
Nichts und niemand hindert irgendeinen Admin auf Spasswörter zu verzichten und via PAM ein Austauschprotokoll a la BitMessenger zu implementieren.
Gar nichts.
Was ist mit der Vielfalt an technischen Geräten und Software? Unterstützen vorallem alte noch im Betrieb befindliche Geräte das? Willst DU die fit machen? "Nutzt doch alle das Neueste vom Neuen" ist in nem Forum leicht gesagt.
Es war übrigens Maria mit der Honigwelt und Maria wird dann Florians Software kaufen weil er wieder Passwörter implementiert und sie ihren Token zum zehnten mal verloren hat und deswegen seit Wochen keine Honigbestellung bearbeiten kann und Kunden verliert.
Es gibt bessere Lösungen.. ja... aber nicht wirklich etwas einfaches, interoperables für Jedermann. Honigtopf17 kann auch Maria.
Für mich ist das letztlich nur Phlegma, das hindert sich grundlegend damit auseinanderzusetzen und es zu implementieren.
Es ist alles da, es muss nur getan werden.
Dann mach doch jetzt mal einen konkreten Vorschlag wie du Passwörter auf sämtlichen Geräten verdrängen möchtest?
Das muss von jedem einzelnen (exkl. der Protestquote) auf der Welt akzeptiert, freiwillig, günstig erworben und einfach genutzt werden können. Es muss überall (auch in der Sauna) mit genommen werden können ohne mich zu belasten/nerven (mein Passwort kann ich mit in die Sauna nehmen) man darf es dort nicht vergessen oder verlegen, ansonsten müsstest du die Möglichkeit bieten das "Ding" in einer Minute neu zu erstellen und mir den Zugang auf alles bisherige wieder zu ermöglichen. Das Ding muss mit dem Fernseher klar kommen und auch im XY-TV-Stick in Kleinstbauweise. Meine Mama möchte sich ungern nen neuen PC kaufen, weil Rentner wenig verdienen, aber die geschützten BIOS Einstellungen würde sie gerne verändern. Derzeit gibts dort ein Passwort. Sie hat bei gewissen Diensten auch eine extrem hohe Passwort-Rücksetz-Kadenz. Wenn ich da nur auf mein bescheidenes privates Umfeld blicke möchte ich mir die Probleme in Industrie, Wirtschaft & Co nicht ausmalen, wenn Dr. Emmett Brown mit seinem Fluxkompensator und der hard-wired Passwort-Implementierung vor dir steht und dein Authentifizierungs-Voodoo Updaten soll. :-D
Aber mach mal den Vorschlag was für den dümmsten der Dummen, gerade so Klug sich das Pw zu merken, zum Handhaben ist.
florian0285
28.12.16, 01:23
Wenn ich allein im Büro, ohne Mitarbeiter bin, genügt mir ein sehr sicheres Passwort für das Admin-Konto und für mein eingeschränktes Benutzerkonto benötige ich dann eigentlich kein Passwort, denke ich.
Das Admin-Konto in der Hand eines Nutzers ist nicht die übliche Vorgehensweise. Auch wenn du ein Büro für dich hast ist ein Passwort beruflich gesehen erforderlich. Es gibt da so Ausdrücke wie "Feststellbarkeit der Identität" und "Verbindlichkeit von Handlungen" die spätestens bei rechtlichen Problemen aufploppen. Auch wirst du dir in a*ch beissen, wenn dein Lehrling sich an dir aus diversen Gründen rächen möchte und an deinem PC schädlichen unfug treibt und ggf. der Kunde, der den Laden über Wasser hält, deswegen abspringt. Heute vertraust du jemandem... morgen nicht mehr...
Ich hatte im Internet von „Arbeitskollegen“ und „Freunden“ gehört, die haben anderen die Buchstaben auf der Tastatur ausgewechselt/verschoben.
Mir gefällt der Tesa-Film auf dem Chip der Chipkarte besser :-P
Mit solchen Typen möchte ich nie zusammen arbeiten.
Spass muss sein :-D
Dort wo ich arbeite, schützen die Passwörter nur vor Angriffen aus dem Internet.
Unbefugter Zugriff / Zutritt kann dich überall treffen.
Mir ist nur nicht klar, welchen Sinn das Passwort für ein eingeschränktes Konto macht. Kann das jemand erklären??
Beruflich siehe oben. Privat hat man vielleicht doch seine Geheimnisse. Besucher sollen vielleicht nicht gleich private Fotos entdecken, der Partner nicht gleich das bestellte Geschenk erschnüffeln. Bei mobilen Geräten ist es für Unwissende doch eine Hürde, wenn man mal kurz weg ist z. B. im Zugabteil mal auf die Box muss. Da will man ja nicht gleich alles einpacken und mit nehmen. Wie Newbie es sagt, es kommt drauf an.
Damit musste ich damals ganz allein klar kommen.
Es gibt proffessionelle Hilfe für sowas. Kostet nur.
BetterWorld
28.12.16, 07:14
@Florian: Das ist so typisch für deine unredliche Art zu debattieren.
An die sichere Variante stellst du übermäßige Maximalforderung,
von der unsicheren Spasswortmethode ignorierst du alle Schwächen.
Kein Mensch nimmt seinen Schlüsselbund mit in die Sauna.
In öffentlichen Saunen hat man einen abschließbaren Spind.
Natürlich wird dort nur und ausschließlich dann eingebrochen, wenn ein USB-Stick mit Schlüsseln drin liegt.
Wissen wir aus langjähriger Erfahrung.
Und Lieschen Müller hat selbstredend die kompliziertesten Spasswörter, die sie niemals vergisst oder gar aufschreibt.
Verliert sie mal ihren Schlüssel, wird natürlich selbstredend im selben Augenblick ein Ersatzschlüssel vor ihr erscheinen.
Gott sei Dank ist die Welt nicht von Leuten, wie dir abhängig.
Wir würden immer noch in den Bäumen wohnen.
Ich habe schon gesagt, dass man mittels PAM sehr leicht ein solches Schlüsselmanagement implementieren kann.
Und dass das nichts Neues ist.
Das hatte ich schon vor 15 Jahren in einem Hochsicherheitsrechenzentrum.
Heute sind wir erheblich weiter.
SSH auf eine solches Schlüsselmanagement umzustellen, dauert -falls man gewillt ist es zu tun und seine Hausaufgaben gemacht hat- grade mal 10 Minuten.
Warum du auch den Fernseher mit sichern willst, bleibt wohl auf ewig dein Geheimnis.
Was sollte an öffentlichen Broadcasts, die nichts anderes wollen, als von jedermann gesehen zu werden, geschützt werden müssen?
Muss das Keymanagement für dich auch Kugelsicherheit in allen Lebenslagen und fettfingerfreie TV- Röhren garantieren?
Dir fehlt jedes prinzipielle Grundverständnis des Problems an sich.
Und für dich -das glaube ich nun tatsächlich- ist keine vernünftige Lösung praktikabel.
Du solltest indes nicht von dir auf andere schließen.
Dir fehlt jedes prinzipielle Grundverständnis des Problems an sich.
Und für dich -das glaube ich nun tatsächlich- ist keine vernünftige Lösung praktikabel.
Du solltest indes nicht von dir auf andere schließen.
Hm, ohne provizieren zu wollen - könnte man den Sarz nicht auch direkt auf Dich anwenden?
Passworte sind eben nicht nur ssh und PC. Und solange es eben keine allg. gültige, für jedes Gerät verfügbare Lösung gibt, die ohne Aufwand in Nullzeit einzurichten ist wiird der Rest der Welt noch damit leben müssen, daß wir eben auch noch Passworte verwenden werden müssen.
Es ist eben keine ideale Welt - und solange daß einzige, was einigermaßen zuverlässig sicher ist (Biometrische Zugangsmethoden - lassen wir die coolen Hacks dieser mal außen vor) noch nicht umfangreich verbreitet ist - und es wird ja besser in der Art, Handys und PCs haben inzwischen fast schon alle Neugeräte einen entsprechenden Scanner) werden wir eben noch mit veralteten Techniken leben müssen.
... und das hat nichts damit zu tun, daß ma nsich nicht bessere Methoden wünschen würde - nur leider ist der Rest der Welt eben noch nicht soweit und - mal eherlich - zu sagen "dann benutzt den alten Scbeiß halt nicht" funktioniert vielleicht auf einer einsamen Südseeinsel - aber nicht bie uns.
florian0285
28.12.16, 09:38
@Florian: Das ist so typisch für deine unredliche Art zu debattieren.
An die sichere Variante stellst du übermäßige Maximalforderung,
von der unsicheren Spasswortmethode ignorierst du alle Schwächen.
Wo denn?
Kein Mensch nimmt seinen Schlüsselbund mit in die Sauna.
Ich seh da manchmal Menschen mit Smartphone. Da bräuchte man das Ding dann. Is aber auch egal weil das quasi jeden Ort auf der Welt darstellen soll.
Und Lieschen Müller hat selbstredend die kompliziertesten Spasswörter, die sie niemals vergisst oder gar aufschreibt.
das wäre wohl realistisch gesehen, eines das sie verwenden würde... was dieses beispiel sagen sollte ist einfach nur: die Welt tickt nicht so wie du willst.
Verliert sie mal ihren Schlüssel, wird natürlich selbstredend im selben Augenblick ein Ersatzschlüssel vor ihr erscheinen.
Plötzlich erscheinen nicht... aber es gibt die "Passwort vergessen" Option. Lieferst du auch eine "Stick Neubaufunktion" vor Ort? In wenigen Minuten?
Gott sei Dank ist die Welt nicht von Leuten, wie dir abhängig.
Wir würden immer noch in den Bäumen wohnen.
Dann hätten wir immerhin nicht die Probleme unserer Zeit und einen kaputten Planeten. Ich finds in der Natur übrigens schön ;-)
Ich habe schon gesagt, dass man mittels PAM sehr leicht ein solches Schlüsselmanagement implementieren kann.
Wenn du aufrichtig liest wirst du merken, dass ich dir da nicht widerspreche. Nur das auf dem aktuellen Stand, im hier und jetzt, mit allen Systemen in Einklang zu bringen wird 200 Jahre dauern. Nicht für jedes (z. B. embedded) Gerät gibts PAM usw.
Mir kommts so vor als würdest du alles außerhalb deiner eigenen Linux PC und Serverwelt ignorieren?
Warum du auch den Fernseher mit sichern willst, bleibt wohl auf ewig dein Geheimnis.
Weil der ein Passwort hat?
Was sollte an öffentlichen Broadcasts, die nichts anderes wollen, als von jedermann gesehen zu werden, geschützt werden müssen?
Muss das Keymanagement für dich auch Kugelsicherheit in allen Lebenslagen und fettfingerfreie TV- Röhren garantieren?
SmartTV? Ein Begriff? Auch alte Röhren gibts mit PIN als "Kindersicherung".
Dir fehlt jedes prinzipielle Grundverständnis des Problems an sich.
Und für dich -das glaube ich nun tatsächlich- ist keine vernünftige Lösung praktikabel.
Du solltest indes nicht von dir auf andere schließen.
Ich kenne Menschen, die können gerade mal den Zeigefinger auf den richtigen Buchstaben klatschen. USB Geräte werden mit gewalt in LAN Ports gepresst. Bei all dem was sie verlieren und verlegen wunderts mich, dass die ihre Tastatur wiederfinden. Ich schließe nicht von mir auf andere sondern beobachte andere ;-)
Ich bin ja auch für sowas, nur wenn das nichts ist was per RFID und beep sofort funktioniert und unter der Haut liegt wird das sichere Zeugs überwiegend ind professionellen Umgebungen dinzug finden und das Passwort nicht verdrängen.
Wunschdenken vs. Realität.
...Warum du auch den Fernseher mit sichern willst, bleibt wohl auf ewig dein Geheimnis.
Was sollte an öffentlichen Broadcasts, die nichts anderes wollen, als von jedermann gesehen zu werden, geschützt werden müssen?
Muss das Keymanagement für dich auch Kugelsicherheit in allen Lebenslagen und fettfingerfreie TV- Röhren garantieren?
...
Das war mal, heute gehen die ins Internet, man gibt Geld damit aus, zB für VOD, bald (falls nicht schon der Fall) wird es da Apps von Homeshoping Sendern geben und Amazon wird da auch mitspielen wollen. Ist halt deutlich mehr als ein Empfangsgerät, das nicht schützen zu wollen, geht leider nicht mehr, außer man betreibt es ohne Internet, was aber bald nicht mehr möglich sein wird (und kaum welche werden sich gegen wehren).
Ansonsten hast du recht - von wegen PAM usw. Wenn ich mir diese Drown-Attacke ansehe, ist es aber noch zu kompliziert für die echte Welt - die Zahlen der anfälligen System finde ich jedenfalls rechtfertigt diesen Standpunkt.
florian0285
28.12.16, 12:15
Wenn ich mir diese Drown-Attacke ansehe
Man muss doch nur SSLv2 deaktivieren... auf der ganzen Welt... auf einen Schlag... in jedem Gerät... auch wenns die einzige unterstützte kryptografische Absicherung wäre... nimmt man dann lieber Plaintext :-P
florian0285
28.12.16, 12:52
SSH auf eine solches Schlüsselmanagement umzustellen, dauert -falls man gewillt ist es zu tun und seine Hausaufgaben gemacht hat- grade mal 10 Minuten.
Warum nutzt du das dann eigentlich nicht selbst?
http://www.linuxforen.de/forums/showthread.php?279779-HandsOn-Training-Der-Bootvorgang&p=1836690&viewfull=1#post1836690
ssh -p 33033 looser@interhacktive.de # Spasswort: looser
Warum hast du das selbst nicht implementiert und für die Nutzer verteilt? Per Post nen USB-Token oder ne Chipkarte verschickt? Für die Sicherheit?
Warum lässt du dem Nutzer nicht mal selbst die (sicherere) Wahl sich selbst mit eigenem Passwort zu registrieren oder verteilst das Passwort zumindest auf Anfrage per PN?
So könnte sich zumindest in dem Zeitraum "die ganze Welt" einloggen und begrenzten Unfug treiben. Auch wenns nicht viel zu holen gäbe.
An die eigene Nase fassen sollte er sich ;)
Vielleicht könntet ihr euch bemühen, auf die sachliche Ebene zurück zu finden.
Powered by vBulletin® Version 4.2.5 Copyright ©2024 Adduco Digital e.K. und vBulletin Solutions, Inc. Alle Rechte vorbehalten.