Nilson
Grand Admiral
- Registriert
- Dez. 2008
- Beiträge
- 25.464
Hallo zusammen,
Vorwort:
nach dem ich die letzten Wochen damit beschäftigt habe ein sicheres und gleichzeitig komfortables Passwortkonzept zu erstellen, wollte ich hier mal meine Lösung vorstellen. Zum einen um Feedback zu erhalten, eventuell habe ich ja eine Lücke übersehen und zum einen als Anregung, falls jemand eine ähnliche Lösung sucht.
Allgemeines:
Im Grunde gibt es vier Szenarien, wie ein Passwort kompromittiert werden kann
Ein abgreifen des Passworts per Keylocker lässt sich nicht immer und eine Sicherheitslücke des Anbieters lässt sich kaum selbst vermeiden. Bei solche einem Szenario geht es also primär um Schadensbegrenzung. Die erreicht man man einfachsten, in dem man pro Website ein eigenes Passwort verwendet.
Daraus ergibt sich das Dilemma, vor dem viele schon mal standen. Wie soll man sich die ganzen einzigartigen Passwörter denn merken?
Die Lösungskonzepte
Im Grunde stößt man auf zwei Konzepte dies zu meistern:
Die Passwortmanager lassen sich grob in zwei Unterkategorien einteilen. Zum einen gibt es offline Dienste wie KeePass, die zwar, zumindest vom Konzept her, sicherer sind, aber auch einen höheren (eigenen) Aufwand erfordern, wenn man die Passwörter zwischen Geräten synchronisieren will. Auf der anderen Seite gibt es Cloud-Lösungen, wie LastPass oder Bitwarden, die das synchronisieren für einen übernehmen und daher etwas komfortabler sind, allerdings auf kosten der maximal möglichen Sicherheit.
Auch wenn sich viele der Passwortmanager mit zusätzlichen Maßnahmen wie einer 2FA* oder einem Keyfile abgesichert werden können gilt dennoch: Wird die Datenbank kompromittiert, fällt die Sicherheit in sich zusammen wie ein Kartenhaus.
Dagegen wirkt Konzept Nummer zwei. Statt die Einzigartigen Passwörter pro Website in einer Datenbank zu speichern wird einfach aus einem Basispasswort und Informationen der entsprechenden Website ein Passwort gebaut.
Einfaches Beispiel: Das Basispasswort sei Mas1erPw und für computerbase.de würde dort der erste und der dritte Buchstabe der URL dran gehängt, sodass das Passwort für computerbase Mas1erPwcm wäre.
Der Vorteil ist klar, solange man sein Basispasswort kennt, und wie man damit aus der URL sein Passwort baut, bekommt man immer sein Passwort, ohne es jemals aufgeschrieben oder gespeichert zu haben. Und einmal gehasht sehen die auch nicht mehr gleich aus.
Nachteil des ganzen: Errät jemand den Algorithmus, kann er alle Passwörter (re)konstruieren.
Meine Lösung
Wie man sieht sind beide Lösungskonzepte nicht zu 100% sicher. Klar, die Wahrscheinlichkeit dass der Tresor (vor allem bei gut geprüften wie KeePass) oder der Algorithmus erraten werden sind sehr klein, aber vorhanden.
Ich habe also eine Lösung gesucht, die beiden Konzepte zu vereinigen um einen "single point of failure" zu vermeiden und gleichzeitig ein Mindestmaß an Komfort zu erhalten.
Am Ende habe ich mich dann dafür entschieden:
Als Passwortmanager nutze ich Bitwarden. Ich habe für Bitwarden gegenüber KeePass entschieden, da Bitwarden komfortabler zu bediene ist und native Plugins und Apps für fast alle Plattformen anbietet. Wie Keepass ist es OpenSource und kann, wenn man dem Anbieter nicht traut, auch auf einem eigenen Server gehostet werden. Extra Sicherheit gibt es durch eine 2FA*. Die Browser-Plugins haben einen Passwort generator und für den Komfort gibt es eine Auto-Fill Funktion.
Das in Bitwarden gespeicherte Passwort ergänze ich dann an bestimmten Stellen um bestimmte Stellen der URL. Somit erhält jemand, der Bitwarden komprimiert nie mein ganzes Passwort.
Im ganzen ergibt sich so eine, für mich komfortable, aber gleichzeitig sicherer Lösung:
Geht recht zügig, klar länger, als über z.B. den Chrome Passwortmanager, aber Sicherheit kommt halt immer mit etwas Komfortverlust.
Bonus: Zwei Faktor Authentifizierung
Zusätzlich zu dem ganzen sollte man, wo immer möglich, vorallem wenn es um Geld geht, auch die zwei Faktor Authentifizierung (2FA) aktivieren. Damit muss man ein Login zusätzlich per Smartphone (SMS oder Code aus App) bestätigen und erhöht die Sicherheit auf drei Ebenen
-------------------
Also, falls jemand bis hier gelesen hat: Lasst mich eure Gedanken hören
Gruß
Vorwort:
nach dem ich die letzten Wochen damit beschäftigt habe ein sicheres und gleichzeitig komfortables Passwortkonzept zu erstellen, wollte ich hier mal meine Lösung vorstellen. Zum einen um Feedback zu erhalten, eventuell habe ich ja eine Lücke übersehen und zum einen als Anregung, falls jemand eine ähnliche Lösung sucht.
Allgemeines:
Im Grunde gibt es vier Szenarien, wie ein Passwort kompromittiert werden kann
- Gezieltes erraten (z.B. durch "social engineering")
- Ungezieltes erraten durch Wörterbuchattacken oder Brutforcen
- Abgreifen durch Keylogger etc.
- Sicherheitslücke des Anbieters
Ein abgreifen des Passworts per Keylocker lässt sich nicht immer und eine Sicherheitslücke des Anbieters lässt sich kaum selbst vermeiden. Bei solche einem Szenario geht es also primär um Schadensbegrenzung. Die erreicht man man einfachsten, in dem man pro Website ein eigenes Passwort verwendet.
Daraus ergibt sich das Dilemma, vor dem viele schon mal standen. Wie soll man sich die ganzen einzigartigen Passwörter denn merken?
Die Lösungskonzepte
Im Grunde stößt man auf zwei Konzepte dies zu meistern:
- Die Verwendung eines Passwortmanagers
- Die Erstellung eines individuellen Passwortes aus einem Masterpasswort
Die Passwortmanager lassen sich grob in zwei Unterkategorien einteilen. Zum einen gibt es offline Dienste wie KeePass, die zwar, zumindest vom Konzept her, sicherer sind, aber auch einen höheren (eigenen) Aufwand erfordern, wenn man die Passwörter zwischen Geräten synchronisieren will. Auf der anderen Seite gibt es Cloud-Lösungen, wie LastPass oder Bitwarden, die das synchronisieren für einen übernehmen und daher etwas komfortabler sind, allerdings auf kosten der maximal möglichen Sicherheit.
Auch wenn sich viele der Passwortmanager mit zusätzlichen Maßnahmen wie einer 2FA* oder einem Keyfile abgesichert werden können gilt dennoch: Wird die Datenbank kompromittiert, fällt die Sicherheit in sich zusammen wie ein Kartenhaus.
Dagegen wirkt Konzept Nummer zwei. Statt die Einzigartigen Passwörter pro Website in einer Datenbank zu speichern wird einfach aus einem Basispasswort und Informationen der entsprechenden Website ein Passwort gebaut.
Einfaches Beispiel: Das Basispasswort sei Mas1erPw und für computerbase.de würde dort der erste und der dritte Buchstabe der URL dran gehängt, sodass das Passwort für computerbase Mas1erPwcm wäre.
Der Vorteil ist klar, solange man sein Basispasswort kennt, und wie man damit aus der URL sein Passwort baut, bekommt man immer sein Passwort, ohne es jemals aufgeschrieben oder gespeichert zu haben. Und einmal gehasht sehen die auch nicht mehr gleich aus.
Nachteil des ganzen: Errät jemand den Algorithmus, kann er alle Passwörter (re)konstruieren.
Meine Lösung
Wie man sieht sind beide Lösungskonzepte nicht zu 100% sicher. Klar, die Wahrscheinlichkeit dass der Tresor (vor allem bei gut geprüften wie KeePass) oder der Algorithmus erraten werden sind sehr klein, aber vorhanden.
Ich habe also eine Lösung gesucht, die beiden Konzepte zu vereinigen um einen "single point of failure" zu vermeiden und gleichzeitig ein Mindestmaß an Komfort zu erhalten.
Am Ende habe ich mich dann dafür entschieden:
Als Passwortmanager nutze ich Bitwarden. Ich habe für Bitwarden gegenüber KeePass entschieden, da Bitwarden komfortabler zu bediene ist und native Plugins und Apps für fast alle Plattformen anbietet. Wie Keepass ist es OpenSource und kann, wenn man dem Anbieter nicht traut, auch auf einem eigenen Server gehostet werden. Extra Sicherheit gibt es durch eine 2FA*. Die Browser-Plugins haben einen Passwort generator und für den Komfort gibt es eine Auto-Fill Funktion.
Das in Bitwarden gespeicherte Passwort ergänze ich dann an bestimmten Stellen um bestimmte Stellen der URL. Somit erhält jemand, der Bitwarden komprimiert nie mein ganzes Passwort.
Im ganzen ergibt sich so eine, für mich komfortable, aber gleichzeitig sicherer Lösung:
- Bitwarden per Masterpasswort entsperren (einmal pro Browserstart)
- Login-Daten per Auto-Fill eintragen lassen (Komfort-Funktion)
- Mit Pfeiltasten schnell zu der Stelle springen, an dem die Buchstaben aus der URL eingetragen werden und eintragen
Geht recht zügig, klar länger, als über z.B. den Chrome Passwortmanager, aber Sicherheit kommt halt immer mit etwas Komfortverlust.
Bonus: Zwei Faktor Authentifizierung
Zusätzlich zu dem ganzen sollte man, wo immer möglich, vorallem wenn es um Geld geht, auch die zwei Faktor Authentifizierung (2FA) aktivieren. Damit muss man ein Login zusätzlich per Smartphone (SMS oder Code aus App) bestätigen und erhöht die Sicherheit auf drei Ebenen
-------------------
Also, falls jemand bis hier gelesen hat: Lasst mich eure Gedanken hören
Gruß
Zuletzt bearbeitet:
