ALT Zeichen für Passwörter praxistauglich?

[Patrin]

ALT Zeichen für Passwörter praxistauglich?

vor kurzem habe ich gesehen, dass sich mit dem numblock und der alt Taste weitere Zeichen generieren lassen. Weiß jemand, wie viele webseiten diese Zeichen in Passwörtern erlauben? Und geben sie überhaupt ein mehr an Sicherheit, oder sind sie in den üblichen Zeichenlisten für bruteforce angriffe bereits enthalten?

 

[DKK007]

AW: ALT Zeichen für Passwörter praxistauglich?

Kann durchaus Probleme geben. Selbst Umlaute machen oft Probleme, obwohl die ja schon im Standard 8Bit Ascci drin sind.

 

[Patrin]

AW: ALT Zeichen für Passwörter praxistauglich?

Schade, hast du schonmal Probleme mit Umlauten gehabt, besonders auf englischsprachigen seiten?

 

[DKK007]

AW: ALT Zeichen für Passwörter praxistauglich?

Schon bei normalen Eingaben kann es Probleme geben. Sieht man ja hier regelmäßig an den Themenüberschriften.

Englisch sollte kein Problem sein, da die ja keine unüblichen Zeichen haben. Außerdem ist es ja der Standard bei Programmiersprachen und im Web.

 

[Incredible Alk]

AW: ALT Zeichen für Passwörter praxistauglich?

Kommt halt auf die implementierung der Passwortsoftware an.

Wenn man eine ordentliche implementierung hat sind theoretisch alle ASCII-Standardzeichen erlaubt und es ist hier auch sinnvoll sie zu benutzen (hier Groß-/Kleinschreibung + Zahlen + Sonderzeichen halt). Ist die Implementierung schwach werden Zeichen nicht unterstützt oder noch schlimmer keine Unterscheidung gemacht ohne dass der Nutzer es weiß (und davon gibts viele durchaus prominente Beispiele - Blizzards Battle.net unterscheidet beispielsweise bei der PW-Eingabe nicht zwischen Groß-/Kleinschreibung).

Man sollte hier also immer so komplexe Passwörter nutzen wie es die Anwendung erlaubt.

Was deine Sorge um BruteForce angeht hat das aber wenig mit Sicherheit zu tun - da sind andere Dinge viiiiel einfacher und sicherer als Sonderzeichen. Kleiner Ausflug in Brute Force:

Wenn du ein Passwort hast das nur aus Kleinbuchstaben besteht und 8 Zeichen Lang ist sind das 26^8 Möglichkeiten die gebruteforced werden müssen (im günstigsten Falle, normalerweise ist das gesuchte Passwort ja nicht "zzzzzzzz" ^^). Das sind rund 209 Millionen Möglichkeiten.

Benutzt du jetzt Groß und Kleinschreibung wären es 52^8 = ca. 53 Billionen Möglichkeiten, du hast also die Komplexität zum Bruteforcen um rund Faktor 250.000 erhöht. Nicht schlecht.
Benutzt du aber weiterhin nur kleinbuchstaben und dein PW ist 10 statt 8 stellen lang haste 26^10 = ca. 141 Billionen Möglichkeiten was nochmal 3x komplexer zu bruteforcen ist.

Verstehst du was ich meine? Wenn du einen unglaublich dämlichen Bruteforceangriff abwehren sollst (der heutzutage kaum noch stattfindet weils einfach dämlich ist und es viel effizientere Methoden gibt) dann ist das Passwort "aaaaaaaaaaaa" viel sicherer als das Passwort "G6/§jb.mT" weil die Menge an verfügbaren zeichen in die Basis eingeht, die Stellenanzahl aber im Exponent steht. Übrigens kann der Bruteforcer ja im vorhinein nicht wissen dass du keine Sonderzeichen verwendest...

 

[DKK007]

AW: ALT Zeichen für Passwörter praxistauglich?

Es sollten natürlich auch keine normalen Wörter oder 123456 sein, um Wörterbuch-Attacken zu umgehen.

 

[fotoman]

AW: ALT Zeichen für Passwörter praxistauglich?

Was Umlaute und andere Sonderzeichen angeht, würde ich mir heutzutage durchaus auch Gedanken darüber machen, wie man das Passwort auf diesen unheimlich intuitiven und für User mit Wurstfingern "gut" zu bedienenden Touch-"Tastaturen" einstreicheln kann.

Wenn das dann auch noch ein Passwort ist, das Du, warum auch immer, nicht im Browser oder in einer App hinterlegen willst, dann sollte es m.M. nach auch einigermaßen performant mit Hilfe aller genutzten Eingabemedien eingebbar sein. Was nützt das "schönste" Passwort, wenn man es unterwegs (weil mal wieder ein Cookie abgelaufen ist und der Browser mit Absicht keine Eingaben speichert) so langsam eingeben muss, dass es jeder interessierte mitlesen kann?

 

[Leob12]

AW: ALT Zeichen für Passwörter praxistauglich?

Deswegen hab ich meine Helligkeit relativ weit nach unten gedreht. Dann spiegelt es

 

[Placebo]

AW: ALT Zeichen für Passwörter praxistauglich?

Verschiedene Sonderzeichen machen das Passwort nicht unbedingt sicherer - eher gibt es Probleme bei der Codierung. Das .Net Framework von Windows verwendet z.B. standardmäßig UTF-8 als Zeichensatz (ist vielleicht nicht das beste Beispiel, aber das einzige, das ich gerade auswendig weiß).

Du musst dich hauptsächlich gegen Bruteforce und Wörterbuchangriffe schützen.
Bruteforce: 9 Zeichen oder mehr
Wörterbuch: nichts, worauf ein normaler Mensch von alleine kommen würde, also kein: "B3isp1el", "Passwort123456" etc.

Man kann es sich aber auch unnötig schwer machen. Das hier reicht z.B. auch volkommen aus:
DiesIstEinVerd_!ammtSicheresPasswort

 

[Incredible Alk]

AW: ALT Zeichen für Passwörter praxistauglich?

Wenn man generell von Passwortsicherheit redet muss auch dabei erwähnt werden, dass die wenigsten erfolgreichen Angriffe heutztage klassisch als Passwortattacke ablaufen - mal von den Leuten abgesehen die immer noch "1234" und "passwort" als Passwort benutzen.

Wenn du ein zumindest grundlegend sicheres Passwort verwendest, etwa "kI8Hb2!4" oder irgend sowas wird jede Passwortattacke ins Leere laufen. Der Grund: Nur selten ist es möglich, sehr viele PWs in kurzer Zeit zu probieren (Logins sind durch Internetverbindungen vergleichsweise extrem langsam für Bruteforce und meist gibts timeouts bei mehreren falschen Versuchen) und solche Angreifer stürzen sich auf die sehr sehr einfach knackbaren PWs weil hier auch oftmals die unbedarftesten User dahinterstecken (die am besten auch überall das gleiche PW verwenden...).

Die wirklich effektiven Angriffe sind die, wo Datenserver kompromittiert werden und Userdaten abgegriffen werden können - daran kannst du rein gar nichts machen wenn der Angreifer dein PW einfach ausliest im schlimmsten Falle. Da hilft nur überall verschiedene PWs zu haben um den Schaden zu minimieren.
Weiterhin effektiv ist es, die Nutzerrechner zu kompromittieren - Millionen von PCs da draußen tragen tonnenweise Schadsoftware die eingegebene Passwörter fix an den Programmierer des Trojaners weiterleitet.
Auch gerne genommen ist SocialEngeneering, also Ausnutzen der "Dummheit" der User die ihre Passwörter verraten. Glaubst du könnte dir nicht passieren? Ich hab den Versuch bereits gemacht und war bei 4 von 5 Personen innerhalb von 10 Minuten erfolgreich und wusste ihr Passwort (theoretisch). Einfach ein gespräch über Passwörter und Sicherheit angefangen und davon erzählt es gäbe eine Seite im Netz die einem sagt wie "sicher" ein PW ist (How Secure Is My Password?) - und sofort fangen die Leute an da ihr PW einzutippen weil ich ja sage "keine Angst ich kucke nicht". Wenn die Seite meine wäre hätte ich in Rekordzeit die PWs "geknackt".

Wie du siehst ist am ende der "sensibilisierte Umgang" mit Passwörtern sehr viel wichtiger als die reine Passwortstärke. So gut wie alle PWs die heutzutage abgegriffen werden werden entwendet ohne dass je eine Knackmethode angewendet werden müsste. Und nur einer meiner Kandidaten hat gesagt "Ich geb doch mein PW nicht bei ner fremden Seite ein!" (Sprich hat den Trick bemerkt) und der ist IT-ler...