Universalpasswort

[kryb]

2% der User hatten ihrern Username als Passwort
0.8% der User hatten "123456" als Passwort
über 40x das Passwort "ficken"
usw ...

Alles in allem also relativ erschreckend ...

"ficken" ist mein ICQ-Passwort, weiß nicht, wie man das ändern kann (geht auf er Internetseite wohl nicht).

Ich habe sehr häufig das selbe PW genutzt - ist halt einfacher, aber seit ich einen ordentlichen Passwortmanager habe, habe ich nur noch Kombinationen. Die macht das Programm dann für mich.
Der Nachteil: Ich kenne nur ein (weiteres) Passwort auswendig.

Man kann die PWs zwar mit dem iPhone syncen, jedoch muss mir dafür jemand eins schenken.

 

[bick-fm]

Wenn man ein bisschen krank im Kopf ist, so wie ich, dann kann man ein fast unknackbares System verwenden:
Ein Masterpasswort nur im Kopf haben, das ist das wichtigste, nirgends notieren
Den Seitennamen nehmen und ihn mit Vigenere und dem Masterpasswort verschlüsseln.
Dann noch an jede zweite Stelle ein Sonderzeichen eingefügt, auch diese Reihenfolge hat man im Kopf und schon hat man ein Passwort, das nichts über alle anderen Passwörter aussagt.

Wie gesagt, man muss ein bisschen krank im Kopf sein.

 

[Blomberger]

Den Seitennamen nehmen und ihn mit Vigenere und dem Masterpasswort verschlüsseln.

Mit was bitte? Ist da ein Rechtschreibfehler im Wort den ich nicht sehe, oder gibt es das einfach nicht!?

 

[bick-fm]

Mit Vigenere.

 

[Blomberger]

Mit Vigenere.

Ah ja, schönen Dank.

Dann verschlüssel du mal deine Passwörter damit. Hoffentlich steigst du durch dein eigenes System noch durch.

 

[bick-fm]

Tu ich.
Und außer mir niemand sonst, deshalb mach ich es ja.

 

[DelphiKing]

Hoffentlich steigst du durch dein eigenes System noch durch.

Naja, kompliziert ist das System ja nicht wirklich ..man muss einfach nur zählen und das Alphabet können ^^


Ich bleibe aber lieber bei KeePass

 

[FischVolk]

Naja, kompliziert ist das System ja nicht wirklich ..man muss einfach nur zählen und das Alphabet können ^^

Verdammt. Hat nicht jemand ein System für Normalsterbliche?

 

[bick-fm]

Klar, merke dir einfach dein Masterpasswort, ändere nichts und setze es dann ein.

 

[Blomberger]

Naja, kompliziert ist das System ja nicht wirklich ..man muss einfach nur zählen und das Alphabet können

Möchtest du damit jetzt in irgendeiner Weise andeuten, dass ich damit ein Problem haben könnte?

Ich bleibe aber lieber bei KeePass

Und ich folglich sowieso...

 

[DelphiKing]

Möchtest du damit jetzt in irgendeiner Weise andeuten, dass ich damit ein Problem haben könnte?

Würde ich es jemals wagen?
Ich nehme eher an, dass du die Beschreibung gesehen hast, ganz viele Zahlen und Buchstaben, und dann dachtest "wtf wtf, das ist ja furchtbar, das tu ich mir jetzt nicht an. Der Tag war anstrengend genug, da muss das jetzt nicht auch noch sein ... ich werde lieber weiter ein bisschen im Forum rumsurfen und chillen ... außerdem habe ich ja KeePass, ernsthaft muss ich mich ja sowieso nicht mit irgendsoeinem komplexen System auseinandersetzen, da kann ich mein Gehirnschmalz sinnvoller einsetzen. Hm, ich könnte was essen gehen.".
Was ja auch völlig verständlich und legitim ist, hätte ich genauso gemacht - nur musste ich mich zwangsläufig wegen der theoretischen Informatik letztes Semester damit beschäftigen...

 

[XadreS]

Ich hatte mal ne Webseite mit mehreren zehntausend Usern ... und bevor ich da Gegenmaßnahmen ergriffen habe (Passwortänderung bei allen unsicheren Passwörtern) sah es so aus:

2% der User hatten ihrern Username als Passwort
0.8% der User hatten "123456" als Passwort
über 40x das Passwort "ficken"
usw ...

Alles in allem also relativ erschreckend ...

Naja einige dieser PWs wurden aber bestimmt auch absichtlich gewählt. Ich bin bei massig Seiten angemeldet, wo mir der Acc vollkommen egal ist. Soll ihn wer klauen, ist eh nur Fake. Und warum sollte ich auf ein sicheres PW achten. Einfach "f1cken" oder ähnliches und gut ist.
Wird mir der Acc gerippt hol ich mir eben nen neuen....np.

Für mich gilt das bei z.B. Flirtseiten, Foren, Browsergames, Emailaddys, etc...

 

[Blomberger]

[...]

Donnerwetter! Gegessen hatte ich zwar schon, aber ansonsten 100%ige Übereinstimmung. Du machst mir Angst.

 

[bick-fm]

DelphiKing, ich finde es eher erschreckend, das du die Passwörter anderer Benutzer auslesen kannst. Ist es nicht sicherer, nur den Hash zu speichern?
Auch gegenüber Hackern, die sich in deine Datenbank einhacken?

 

[theHacker]

Ist es nicht sicherer, nur den Hash zu speichern?
Auch gegenüber Hackern, die sich in deine Datenbank einhacken?

Wer sagt denn, dass er es nicht so macht?

 

[FischkopfXL]

Verdammt. Hat nicht jemand ein System für Normalsterbliche?

Hab gestern zufällig was entdeckt

Leicht zu merken sind sichere Passwörter z.B. mit folgendem Trick:
Man bildet einen Satz der optimalerweise auch Zahlen enthält. Nun nimmt man den Anfangsbuchstaben jedes Wortes sowie die Zahl(en) und bildet daraus ein neues Wort.
Beispiel: "Thomas wurde im Mai 74 geboren" Passwort: "TwiM74g"

[Quelle]

 

[DelphiKing]

DelphiKing, ich finde es eher erschreckend, das du die Passwörter anderer Benutzer auslesen kannst. Ist es nicht sicherer, nur den Hash zu speichern?
Auch gegenüber Hackern, die sich in deine Datenbank einhacken?

Selbst wenn der Passworthash gesalzen ist (und damit ein sicheres Passwort praktisch nicht mehr aus dem Hash auslesbar ist), kann man mit Datenbankzugriff sehr leicht herausfinden, wieviele User ein bestimmtes Passwort haben - genau so habe ich es auch gemacht.

Einfaches Beispiel:

SELECT * FROM user WHERE password=MD5(username)​

Würde mir alle Accounts liefern, deren Passwort gleich dem Benutzername ist.

Alleine schon aus dem Grund sollte man als User wenigstens eine kleine Modifikation einbauen (ala "DelphiKing" -> "D3lphiKing"), da dann soeine Attacke (die natürlich ein Hacker auch durchführen kann) fehlschlägt.

 

[bick-fm]

Ah, ok, so kann man auch nach Passwörtern wie md5(12345) oder sowas suchen. Da bin ich aber beruhigt!

 

[Eckieck]

Selbst wenn der Passworthash gesalzen ist [..]

Natürlich bekommt jeder User sein eigenes Salz

 

[Djdjrjf8e]

Natürlich bekommt jeder User sein eigenes Salz

Entschuldige, aber im Zuge einer heutigen rücksichtsvollen Berücksichtigung von Diabethikern und Nieren-Geschädigten möchte ich bitte auch um den Einsatz von gepfefferten Passwort-Hashes bitten.

Schliesslich ist bei Eingabe von gesalzenen Passwörtern die Gefahr groß, das sich der User danach die Finger leckt und so das Salz in den Kreislauf kommt!

Auch ist eine Verwendung weiterer Geschmacksverbesserer / -verstärker durchaus in Erwägung zu ziehen!

Gruß,

jiw