Passwörter: Passphrasen gegen Wörterbuchangriffe

[porenbeton]

Hallo zusammen,

ich benutze schon länger KeePass zum speichern meiner Passwörter, kann also auch sehr lange Passwörter nutzen. Ich lese oft zwei unterschiedliche Dinge: zum einen soll man Passphrasen statt Kauderwelsch benutzen (xkcd), zum anderen soll man aber keine Wörter aus Wörterbüchern verwenden.

Wie steht es denn jetzt um zum Beispiel solche Passwörter:

?3164 ich esse gerne Tomatensubbe aber auch mal ein Schniiiiiiitzel !2948

Oder sollte ich doch einfach wieder zufällig generierte Passwörter mit ähnlich vielen Stellen verwenden? Den Vorteil, dass ich mir das Passwort merken kann, ist dank KeePass ja irrelevant. Abgesehen für das Masterpasswort natürlich .

Viele Grüße

 

[engine]

Mein Tipp.
Einen langen Satz wie oben als PW, wenn du es dir merken musst. Aber sicher nicht so kompliziert.
Stichwort https://de.wikipedia.org/wiki/Diceware
Du musst ja nicht würfeln, einfach Wörter zusammensetzen, die nur du in der Reihenfolge kennst.

Sonst:
Ein langes von KeePass generiertes PW, wenn du es dir nicht merken musst.

 

[Chef 17.02]

Protipp: Nimm dir ein Liedtext und nimm den 1. oder jeweils 2. Buchstaben der Wörter bis du die Menge an Stellen erreicht hast die du benötigst. Wenn du gut bist kannst du dich sogar im Notfall ohne KeyPass dran erinnern.

 

[Mr.Smith]

nimmst lastpass oder sonstiges und da dann auto generieren lassen .. fertisch
z.b.
8bb@r$Szu!W%UTR%keaA#8

 

[porenbeton]

Mh. Aber noch mal zu den Passphrasen: Hier steht zum Thema Passphrase unter anderem:

• Die Zusammensetzung der Passphrase besteht aus einer Reihe von verschiedenen Wörtern
• Keine Wörter aus dem Wörterbuch!

Aber diese beiden Punkte widersprechen sich doch. Welche Wörter stehen denn nicht im Wörterbuch?

 

[Gentlem4n]

Mit Wörterbuchwörtern sind sicherlich Sachen gemeint wie "Kopf-Hörer" oder "Lastkraftwagenbundesamtgesetzbuch" oder so ein Blödsinn.
Wenn du aber andere beliebge Wörter zusammensetzt, wie GlasKindergartenIntel, dann steht das nicht im Wörterbuch aber du kannst es dir trotzdem leicht merken.

 

[engine]

"Alle Vögel sind schon da" - nicht so leicht zu knacken

https://www.tagesschau.de/ausland/passwoerter-105.html
Dumm gelaufen .

So ernst muss man die Nachricht aber auch nicht nehmen, alt bekannte Regel sind immer noch gültig, aber wohl viel zu übertrieben.
In der heutigen Zeit mit PW-Managern ist ein kompliziertes PW kein Problem mehr.
Fürs Master-PW nimmt man halt einen guten langen Satz.

 

[Merle]

Komplexität schlägt zwar nicht Länge, aber kryptische PWs aus Keepass mit, kA, 12+ Zeichen sind allemal vor allem geschützt.
Dein Masterpassword darf gerne einfach nur lange sein.
Die Mathematik bei Bruteforce ist simpel; bei ASCII ergeben sich max 256 Zeichen, ein paar sind reserviert. Also kann man bei random von vielleicht 200^n Kombinationen ausgehen, n ist die Länge in Zeichen.
Wenn man bei Buchstaben bleiben sollte sind ohne Umlaute 52^n. Wenn hier das PW länger ist, schlägt es das komplexere PW.
Das ist alles.
Beide Fälle setzen voraus, das Wörterbuchattacken fehlschlagen (also es kein einfaches Wort oder bekanntes PW ist).

 

[diamdomi]

Da muss ich einharken: Auch wenn du dein Passwort nur mit Kleinbuchstaben erstellst, der "Passwortknacker" muss trotz allem von beispielsweise 200 verschiedenen Zeichen ausgehen. Woher soll er denn wissen, dass das zu knackende Passwort nur Kleinbuchstaben enthält?

Wenn er das weiß, dann wären die Möglichkeiten 26^n, ansonsten bleibt es - in diesem Beispiel - bei 200^n

Aber wie bereits gesagt wurde: Wie länger das Passwort, desto besser. Durch die Nutzung von Zahlen und Sonderzeichen werden natürlich Wörterbuchattacken verhindert

 

[Merle]

Ja. Korrekt. Ich sagte auch die Sicherheit der PWs sei so stark etc, der Bruteforcer muss es natürlich wissen, ahnen oder auf gut Glück von Buchstaben ausgehen, dass es einen Unterschied macht.
*edit: btw, ein einziges Zeichen aus dem nicht-ASCII Zeichensatz (zB UTF8) erhöht die Komplexität massiv (wenn die Plattform es unterstützt). Und deine Aussage stützt das; wer Bruteforced schon mit erweiterten Zeichensätzen. Ein alt+0169 war lange Bestandteil meiner Passwörter XD