[Info] Passwortsicherheit gegen BruteForce aktueller Cracker

[Piktogramm]

Interessanter Fund vom Twitteraccount von Terrahash, einer Firma die Hardware zum "testen" von Passwörtern verkauft. Quelle https://twitter.com/TerahashCorp/status/1155128018156892160

Gezeigt wird eine Übersicht wie lang 448 Nvidia RTX2080 in einem Cluster benötigen um Passwörter bestimmter Länge komplett durchzuprobieren. Der Zeichensatz umfasst dabei das gesamte US-Keyboard.

Vielleicht mögen einige der paranoideren Gesellen ja ihre Passwörter anpassen und nicht vergessen:

https://www.xkcd.com/538/ gilt immer

Edit1:
An die Windows10 Nutzer, einer der NTLM Zeilen betrifft euch, gerade habe ich keine Muse zu suchen. Alles vor Win10 v1607 oder generell vor Win10 sollte davon ausgehen eher weiter oben in der Tabelle zu stehen

Edit2:
Korrektur seit den späten Win2000 Zeiten scheint NTLMv2 aktuell zu sein und auch wenn Windows10 zum v1607 Update ein paar Änderungen gesehen hat, sind diese anscheinend unwesentlich. Quellen gibt es an der Stelle nicht, was ich gefunden habe ist Scriptkiddie tauglich und ich will es nicht verbreiten

 

[0x8100]

und daher gilt auch https://xkcd.com/936/

 

[Skynet7]

Sauber, also sind meine generierten Passwörter "noch" sicher...
Spätestens wenn diese Dinger hier Marktreife erlangen sollten, und im gegensatz zu Qubits unter Raumtemperatur funktionieren. Braucht die liste oben ein Update.

 

[Vindoriel]

Oder man fragt einfach Microsoft bzw. Cortana, Letztere zeichnet Tastatureingaben eh auf.

 

[Helge01]

Ich nutze schon seit Ewigkeiten ausschließlich 35 stellige Passwörter (ca. 220 bit), die alle 3 Monate erneuert werden. Das befriedigt meine Paranoia

 

[D0m1n4t0r]

Mein Aluhut hilft mir dabei unauffällig zu bleiben so dass niemand erst auf die idee kommt meine Passwörter zu knacken.

 

[Piktogramm]

und daher gilt auch https://xkcd.com/936/

Anhang anzeigen 804475

https://www.schneier.com/blog/archives/2014/03/choosing_secure_1.html

Das was Randall (XKCD Autor) da vorgeschlagen hat gilt mittlerweile als schlechter Ratschlag. Diceware (fragt Google) mit 7 Wörtern gilt derzeit als empfehlenswert. Wobei das auch nur gilt, wenn die Nutzer sich strikt an die Regeln halten und sich damit das Erinnern auch schwieriger Wörter aufhalsen. (und seien wir ehrlich, genau das machen viele nicht)

 

[hroessler]

Hier hilft die Biometrie. Man kann ein beliebig komplexes Passwort hinter z.B. einem Fingerabdruck hinterlegen und kann es beliebig oft ändern ohne dass ich mir es Merken muss.

greetz
hroessler

 

[0x8100]

https://www.schneier.com/blog/archives/2014/03/choosing_secure_1.html

Das was Randall (XKCD Autor) da vorgeschlagen hat gilt mittlerweile als schlechter Ratschlag. Diceware (fragt Google) mit 7 Wörtern gilt derzeit als empfehlenswert. Wobei das auch nur gilt, wenn die Nutzer sich strikt an die Regeln halten und sich damit das Erinnern auch schwieriger Wörter aufhalsen. (und seien wir ehrlich, genau das machen viele nicht)

der artikel sagt, dass die xkcd regel schlecht ist, wenn man persönliche daten verwendet, die der angreifer wissen könnte oder begriffe, die in einem zusammenhang stehen. sowas in einem password zu benutzen war noch nie eine gute idee. lange passwörter (die möglichst nicht in wörterbüchern vorkommen) sind trotzdem besser als obskure kurze.

 

[krsp13]

di3 phr453n mi7 37w45 1337sp34k v3r8ind3n =P

7 wörter zusammenreimen und man ist relativ safe bis die quanten übernehmen. dann ist eh alles vorbei.

 

[Cardhu]

Dann sind meine Daten mit 15-64 Zeichen wohl relativ sicher

 

[Donnidonis]

Nur weil man 15 Zeichen aufwärts nutzt, ist es lang nicht sicher. Hab neulich ein interessanten Artikel gelesen, wo auch Passwörter bis zu 20 Zeichen relativ fix geknackt waren. Klar, zufällig generierte nicht, aber Wörter mit Buchstabenersetzungen etc., das geht schon recht ‚simpel‘. Suche den Link dann mal raus.

 

[Cardhu]

15-64 heißt bei mir nur, dass ich sicher nirgends die fixe Länge meiner Passwörter preisgeben werde

 

[snaxilian]

Hier hilft die Biometrie. Man kann ein beliebig komplexes Passwort hinter z.B. einem Fingerabdruck hinterlegen und kann es beliebig oft ändern ohne dass ich mir es Merken muss.

Leider nein leider gar nicht. So ziemlich jedes biometrische Merkmal ist schon geknackt worden bzw. lässt sich leicht kopieren, v.a. der Fingerabdruck.
Wesentlich sinnvoller ist die generelle Anwendung von 2FA oder MFA. Der zweite Faktor kann ein biometrischer sein, muss es aber nicht. Das kann eine beliebige Auth-App auf dem Smartphone sein (dieses muss dann natürlich entsprechend gesichert sein) oder ein Hardware-Token (YubiKey, NitroKey, Google Titan, etc).

 

[hroessler]

Absolute Sicherheit und IT gibt es eben nicht. Ich finde den Fingerabdruck oder die Retina dennoch sicherer als jedes Passwort @snaxilian

greetz
hroessler

 

[Vindoriel]

2FA? Ok, Passwort in Verbindung mit der Stimme, beides kombiniert mit einer Eingabe: https://www.der-postillon.com/2014/06/komfortabler-bezahlen-pin-code-eingabe.html

 

[snaxilian]

Fingerabdruck kopieren geht mit Sekundenkleber, einer durchschnittlichen Digitalkamera/Smartphone, einem Tintendrucker und Holzleim und wurde schon 2008 erfolgreich gezeigt. 2014 wurde demonstriert, wie man mit einer etwas besseren Kamera an Iris Aufnahmen kommt.

Vermeintlich etwas sicherer: Das Muster der Venen im Finger, wurde aber 2018 geknackt.

Etwas komplexer und für Privatpersonen kaum nutz- & umsetzbar: Muster aller Venen in der kompletten Hand: Ebenfalls 2018 geknackt. Benötigte Hilfsmittel: Eine gute Kamera, Drucker und Bienenwachs.

Ein Hardware-Token ist, soweit mir bekannt, aktuell nicht ohne weiteres kopierbar.

Quelle und weiterführende Links: https://www.heise.de/security/meldu...und-von-der-Leyens-Fingerabdruck-2506929.html
https://media.ccc.de/v/gpn18-78-finally-venenerkennung-hacken-
https://media.ccc.de/v/35c3-9545-venenerkennung_hacken

 

[Cardhu]

Eine gute Kamera, Drucker und Bienenwachs.

Ist schonmal ein Hindernis für einen Hardcore-Veganer Die Welt ist damit ein Stück sicherer!

 

[Piktogramm]

Absolute Sicherheit und IT gibt es eben nicht. Ich finde den Fingerabdruck oder die Retina dennoch sicherer als jedes Passwort @snaxilian

Das Empfindungen über bewiesene Fakten gestellt werden rettet das Berufsbild IT-affiner Krimineller. Das ist sehr nett von dir

 

[hroessler]

Quellen? @Piktogramm

greetz
hroessler