Passwörter (Komplexität/Länge)

[Zeitmangel]

@ruezi
s.o. Du bist wohl auch viel zu schwach um dem zu Widerstehen (?)

 

[passat3233]

2FA ist nur dann sicher, wenn man dafür 2 Geräte nutzt!.
Nutzt man nur 1 Gerät, wie es üblich ist, also App auf dem Smartphone und die 2FA-App auf dem gleichen Smartphone, ist 2FA NICHT sicher!
Bzw. nicht sicherer als ohne 2FA.

 

[DieEule]

Are Your Passwords in the Green?

It's the 2024 update to our Hive Systems Password Table - including using a new “most-hacked” password hash. See why our Password Table has been shown and written about on the news, published by universities, and shared by companies across the globe. How did we make this table? Want to download a co

www.hivesystems.com

Ich glaube die 2023er Tabelle basiert auf einer 3090 / 4090 / A100. Sie haben aber auch Tabellen mit 12 Stück davon oder ganzen Clustern.

 

[Zeitmangel]

Nur die Farbgebung haut wohl nicht so ganz hin 15000 Jahre genauso orange wie 3 Jahre... Auf jeden Fall interessant.

Wenn man das hier besucht https://www.hivesystems.com/blog/are-your-passwords-in-the-green sieht man 2024, und da ist alles nicht mehr so "instantly" wie 2023... So lala also.
ABER, grob gesehen ist die 2023 als Richtwert schon ok. Das Leben ohne KeePass macht tatsächlich keinen Sinn mehr

Die Ergänzung dazu

How this Password Chart is Giving You A False Sense of Security

By Danny Chung | May 21, 2023

danny-chung.medium.com

 

[ruezi]

Nur die Farbgebung haut wohl nicht so ganz hin 15000 Jahre genauso orange wie 3 Jahre... Auf jeden Fall interessant.

Aufgrund einer fehlenden Legende nicht ganz genau zu bestimmen, aber es könnte vielleicht daran liegen, dass die Grenzen zwischen rot/orange und orange/gelb wo liegen?
Genau, du hast es verstanden...

Du kannst dich in deiner wenigen Online-Zeit aber auch einfach an die Ersteller wenden und dir mehr Farbabstufungen wünschen 👋🏻

 

[Zeitmangel]

Aufgrund einer fehlenden Legende nicht ganz genau zu bestimmen, aber es könnte vielleicht daran liegen, dass die Grenzen zwischen rot/orange und orange/gelb wo liegen?

Zwischen 15000 Jahre und 3 Jahre? Ja. Passt schon

Du kannst dich in deiner wenigen Online-Zeit aber auch einfach an die Ersteller wenden und dir mehr Farbabstufungen wünschen 👋🏻

Dein fortlaufender bullying diesmal als Lebenstipps verkleidet rutscht langsam von schräg nach schäbig Wie auch immer man dich hier im Forum wahrnimmt, wenigstens kümmerst du dich selbst drum und lässt es nicht andere bestimmen
Es wäre fast putzig, wenn dabei die FakeOnT-Anteile leider nicht so nach aus dem Hinterteil gepresst aussehen würden. Hast dir ja echt was vorgenommen, mit deinem gesunden Ehrgeiz...

 

[ruezi]

Zwischen 15000 Jahre und 3 Jahre? Ja. Passt schon

Wende dich doch einfach an die Ersteller, wenn dir der Zeitraum zu groß gefasst ist.
Irgendwo müssen Grenzen gesetzt werden 🤷

Auf das restliche Getrolle lohnt es sich nicht weiter einzugehen 👋🏻

 

[Zeitmangel]

Ich überlege grad, ob ich diese ununterbrochene Flut an Schwachsinn nicht doch generell wegfiltern soll. Irgendwie ist einem die Zeit irgendwann für solche primitiven Katz&Maus Kinderrein doch zu schade.

NA KLAR Ich merke das mal mit den Farben an (und damit der angedeuteten Gefahrenlage), nachdem so eine grobe Tabelle hier gepostet wurde, und deine Empfehlung ist mit dem Ersteller der Tabelle darüber tiefgründig zu diskutieren. TOP Ist ja nicht so, daß ich nicht davor gewarnt hätte, daß die Folgen der Legalisierung sehr mannigfaltig werden...
Mach du einfach weiter und schwafel was über Getrolle

 

[passat3233]

Bei der Grafik besteht auch noch Erklärungsbedarf.
Was ist mit "Symbols" gemeint?
Nur die auf der US-Tastatur direkt erreichbaren Symbole, also !"§$%&/()=?{}[]<>|,.-;:_#'+*~µ²³°^ ?
Oder auch andere Symbole, wie z.B. €, ¥, ©, ø, etc.?
Und bei "Letters" nur die normalen Buchstaben, oder auch länderspezifische Buchstaben, wie z.B. äöüß oder áàâéèêóòô, etc.?

 

[sch4kal]

Wer beispielsweise im Besitz einer Nvidia-Grafikkarte vom Typ RTX 4090 ist, kann ein zufällig generiertes 8-Zeichen-Passwort mit Groß- und Kleinbuchstaben sowie Zahlen und Sonderzeichen innerhalb von nur 59 Minuten aus dem zugehörigen MD5-Hash rekonstruieren. Kommt als Hashing-Algorithmus stattdessen bcrypt (mit 32 Iterationen) zum Einsatz, so dauert der gleiche Vorgang deutlich längere 99 Jahre.

Golem.de: IT-News für Profis

Bestätigt mich nur in meiner Meinung, 2FA + "Normales" Passwort für den PW-Manager und unterstützende Dienste, individuelle, komplexe PW für alle anderen Seiten/Dienste.

 

[passat3233]

Ach, wird das alte MD5 immer noch verwendet?
Es ist schon seit Jahren erwiesen, das MD5 unsicher ist. Da kann man das Passwort gleich im Klartext in der Datenbank ablegen.
Best Practice bei Windows ist schon seit Jahren, MD5 und SHA in der Registry oder per GPO zu deaktivieren und nur noch SHA 256, 384 oder 512 zuzulassen.
MD5 sollte als Hashingalgorithmus nirgendwo mehr verwendet werden.
Und was 2FA angeht: Das ist nur sicher, wenn man dafür 2 Geräte nutzt. Denn sonst lässt sich der 2. Faktor durch MitM-Angriffe abfangen und missbrauchen.

 

[Zeitmangel]

Bei der Grafik besteht auch noch Erklärungsbedarf.
Was ist mit "Symbols" gemeint?
Nur die auf der US-Tastatur direkt erreichbaren Symbole, also !"§$%&/()=?{}[]<>|,.-;:_#'+*~µ²³°^ ?

Denke zu 99% eben das. So schlimm vonwegen mager ist das aber nicht. Es gilt eben glasklar festzustellen, daß beim Passwort die Länge die primäre Größe ist.
Das Wissen gab es in den 90ern schon, wie beschrieben. Spätestens bei PGP hat Zimmermann schon vom Password, sondern von Passphrase gesprochen. Kein Word. Eine komplette Phrase...
Irgendwie im Laufe der Zeit

Oder auch andere Symbole, wie z.B. €, ¥, ©, ø, etc.?
Und bei "Letters" nur die normalen Buchstaben, oder auch länderspezifische Buchstaben, wie z.B. äöüß oder áàâéèêóòô, etc.?

Das wird es nicht sein, da die Implementierungen sich unterscheiden können. Wenn man als private-supporter im Umfeld damit bisschen was zu tun hat, ist für einen das gewöhnliche Beispiel dafür: WLAN-Passwörter Da wird auch selten alles angenommen was man mit auch nur einer EU-Tastatur hintippern kann.
Wenn man nicht ganz verblödet ist, was ich AVM weiterhin nicht attestiere, bringt man als Hersteller eine Info dazu:

FRITZ!Box Hilfe

Nicht aufspringen... Der Praktikant hat in der Auflistung die "Zahlen" einfach vergessen. Kurz davor im Text sind sie noch erwähnt Aber man sieht, welche Sonderzeichen (Symbols) gehen. Und alle anderen, nicht nur die als Beispiel aufgelisteten, gehen nicht. Und das kann einem auch bei sonstwelcher Software passieren (*)

Und auch bei WLAN kenn ich das vom allerersten Anfang an, daß die Kryptotechniker immer davon sprachen, immer quasi volle 60 Zeichen zu nehmen. Da war der Schwerpunkt also auch vom Anfang an die Länge.
Das wirkt also heute fast wie ein BlackOp-Hoax der Cryptowars daß sich später fast schon grundsätzlich soviel um die Komplexität drehte. Wirklich wichtig war da eigentlich immer nur, daß man nichts aus dem "Wörterbuch" dafür nimmt. Wozu auch Umgangsprachliches wie auch Netzsprech gehört. Und sonst nur die Länge. Länge Länge Länge.

(*) Damit lässt sich aber bestätigen, daß schon AVMs Sonderzeichen die mögliche Auswahl ausreichend ergänzen. Man braucht halt nicht mehr von "Symbols", sondern mehr von allem (Länge). Und das gilt eben keineswegs nur für die Verfahren bei WLANs.
Gilt aber auch nur dem was man sich merken kann/sollte. Benutzt man für den Rest einen KeePass, kann man sich da natürlich nach belieben austoben. Und sollte Das entbindet einen direkt von all den Überlegungen.

Auch beim KeePass übrigens gehörte das Feature zu den einigen ersten, daß man vorgeben kann welche "Symbols" mitbenutzt werden sollen. Und damit alle anderen möglichen NICHT. Die Schwierigkeiten damit (Implementierungen) gab und gibt es also schon immer. Die sind aber wie gesagt nicht von einer so starken Relevanz.

PS:
2FA auf einer und der gleichen Kiste ist natürlich witzlos (mit Ausnahme von Sachen wie PIM bei VeraCrypt). Wenn jemand von draußen im gebooteten System ist, dann hackt er keine Verfahren und keine Kennwortdatenbanken, sondern wartet paar Tage und schnüffelt die Benutzereingaben ab. Egal welcher Art.
Deswegen nennt man so ein System auch "kompromittiert". Und sollte das auch in der vollständigen Bedetung dieses Wortes verstehen.

 

[passat3233]

2FA auf der gleichen Kiste ist aber Standard.
Sehr viele Leute machen ihren Kram ja mit dem Smartphone und da haben die dann alles drauf, wie z.B. Banking-App und gleich auch die 2FA-App.
Einen Keygenerator oder ein 2. Handy für 2FA benutzt doch so gut wie niemand in der Praxis.
Das ganze 2FA nervt die Leute auch nur. Die Sicherheit ist denen erst einmal egal, Hauptsache bequem!
Jammern tun die erst, wenn die gehackt wurden.
Und selbst dann kommen die sehr schnell wieder auf das alte Verhalten, wegen dessen die gehackt wurden, zurück.
Lernfaktor = 0, leider.

 

[sch4kal]

@passat3233

How does a single mobile banking app implement a two factor authentication?

Recently I had more or less the same discussion with the helpdesk of several banks; a bank has a new mobile app that allows logging in without sending an SMS and without asking a confirmation code ...

security.stackexchange.com

Hier diskutiert man auch, ob das als 2. Faktor durchgeht. Die Argumentation dort scheint mir aber schlüssig.

 

[Zeitmangel]

Interessant. Kann es sein, daß der "checker" auf Bitwarden sich für die Komplexität nur peripher interessiert und quasi nur die Länge zählt?

Klar , 30x die "1" oder "1212..." wertet es schon entsprechend aus. Aber ob Katastrophe oder K4t4strophe oder K4t4stroph3 oder K4t4strophµ, das scheint ihm egal zu sein. Dafür wird dann K4t4str0phµ bisschen stärker...
Trotzdem auch da die absolut klare Tendenz: Komplexität < Länge

Kann man bisschen mit rumspielen. Wie sieht es z.B. aus mit zwei gleichen Zahlen direkt hintereinander und wie mit zwei verschiedenen Zahlen direkt hintereinander? Und das im Vergleich zu zwei gleichen Buchstaben hintereinander? Ich fand das schon halbwegs interessant welche Erkenntnisse und Meinungen bisher sonst so in "zxcvbn" eingeflossen sind.

Wie sicher ist mein Passwort? | Bitwarden

Bitwarden bietet das vertrauenswürdigste Passwort-Tester-Tool, um sicherzustellen, dass die Stärke Ihres Passworts Ihre Online-Informationen schützt. Vollkommen kostenlos und einfach zu benutzen.

bitwarden.com

PS:
Natürlich sollte man da nicht SEINE Passwörter "testen", sondern irgendwelche ähnliche (wenn denn überhaupt)

EDIT:

Wenn man nicht ganz verblödet ist, was ich AVM weiterhin nicht attestiere, bringt man als Hersteller eine Info dazu:

Wie z.B. auch Zyxel wie ich heute sah, bei seinen smarten GS1200 Switches....
ASCII-Basicalphabet https://www.researchgate.net/figure/ASCII-table-for-the-alphabet_fig1_338623532 mit minimal 8 und maximal 15 Zeichen und tschüß