Anforderungen an sicheres Passwort?

[K3ks]

👀 Ich hab KeePassXC. [password generator at home]

 

[Ranayna]

Das mit der sicheren Entropie kommt daher, dass man bei einem sicheren System davon ausgehen muss, dass ein Angreifer ein vollumfaengliches Wissen ueber dein System hat, und es auch dann noch sicher sein muss.

Hat er das, und du verwendest eine unsichere Entropiequelle, dann kann der Angreifer gegebenenfalls das gleiche Passwort generieren.

Mal ein Beispiel, wenn du einfach nur die Zeit als Seed eines stinknormalen PRNG nimmst.
Du generierst ein Passwort. Wahrscheinlich, weil du es fuer irgendwas benutzen willst. Also registrierst du dich zeitnah bei einem Dienst oder resettest dein Password. Das weiss dein Angreifer. Wie, ist in diesem Szenario egal.
Hat er dann auch den Code mit dem du das Passwort erzeugst, kann er relativ schnell das selbe Passwort erstellen wie du. Immer noch Brute Force, aber mit einem wesentlich verkleinerten Angriffsraum.

Bei einem sicheren Zufallsgenerator besteht diese Gefahr nicht.

 

[BeBur]

PS 2, Verstehe ich den Artikel also richtig, ein Maß für die Entropie wäre unter anderem, inwieweit ein Plain Passwort nicht mehr zum Beispiel durch das zip-Verfahren komprimiert werden kann?

Sprich, kleines zip file = schlechtes Passwort gewählt, großes zip file = super Passwort gewählt?

Der Artikel spricht von Shannon Entropie. Das ist nicht genau das selbe wie wenn man von Entropie im Kontext einer "Entropiequelle" für Passwörter spricht.
Aber:

ein Maß für die Entropie wäre unter anderem, inwieweit ein Plain Passwort nicht mehr zum Beispiel durch das zip-Verfahren komprimiert werden kann

Ja, das dürfte korrekt sein.

Ich denke aber nicht, dass mehr Entropie automatisch ein sichereres Passwort ergibt. Das ist nur eine sehr technische "low-level" Metrik, die z.B. Sprachen nicht berücksichtigt.

 

[LotusXXL]

Bei einem sicheren Zufallsgenerator besteht diese Gefahr nicht.

Was ist denn ein sicherer Zufallsgenerator?

Ich habe den Eindruck, dass hier etwas zu viel Theorie vorherrscht und von extremen Szenarien ausgegangen wird.

100 % sicher ist nichts, aber ich hatte bisher in den vielen Jahren noch nie Sicherheitsprobleme mit einem der über Powershell generierten Kennwort.

 

[CyborgBeta]

Es kommt vielleicht auch darauf an, ob du auf einer Fahndungsliste des FBI/NSA stehst oder nicht. (Bisschen Spaß muss sein) Aber auch dann gäbe es wahrscheinlich günstigere Angriffsvektoren.

Ne, ich glaube, es kommt darauf an, ob du für andere sehr interessant bist. Wie schon geschrieben, ab einem Kontostand von 10 Mio. würde ich mir Sorgen machen um Onlinebanking usw.

Und dann ist, wie auch schon geschrieben wurde, in erster Line Social-Engineering einfacher. Ein vermeintlicher Arbeitskollege von deinem Unternehmen ruft dich an, und benötigt noch dringend kurz Zugang zu deinem Account oder so, bevor Montag die Präsentation fertig sein muss. (Irgendwie so etwas)

Oder jemand verwendet einen kompromittierten USB-Stick, der nur kurz einmal an den laufenden Computer eingesteckt werden muss.

Ergänzung (Samstag um 15:35)

Hier noch das, was @BeBur angedeutet hat:

 

[Ranayna]

Was ist denn ein sicherer Zufallsgenerator?

Zum Glueck ist das alles fuer mich auch nur Theorie. Ich arbeite nicht an sicherheitsrelevanter Software. Ich koennte vermutlich nicht ruhig schlafen wenn das anders waere, denn wie du sagst, 100%tige Sicherheit gibt es nicht.
Was einen kryptografisch sicheren Zufallsgenerator ausmacht wird hier beschrieben:
https://en.wikipedia.org/wiki/Cryptographically_secure_pseudorandom_number_generator