Passwortsicherheit in Zeiten von CUDA? Helfen Keyfiles?

[ace-drink]

Hi!

Hab grad den Artikel über Passwörter in der aktuellen C´T gelesen. Demnach kein ein Highend PC mit 2*GTX 285 und gutem Quadcore bis zu 2 Millarden Passwortkombinationen pro Sekunde für BruteForce nutzen. Damit sind Passwörter mit bis zu 8 Stellen ja Ruckzuck durch. Die haben das schön illustriert, dass z.B. Kriminelle mit 50000€ schon ne fiese Crackfarm haben könnten.

Jetzt habe ich mal mein Passwort, das ich für Keepass nutze durchgerechnet und auf Jahre runterdividiert (ausgehend von 2Mrd./Sekunde). Man bräuchte um das Pass zu finden, wobei man das richtige ja vermutlich schon nach maximal der Hälfte der Zeit findet, folgende Anzahl an Jahren:

2,2291577393066760056625290950706e+33

Heisst das jetzt es sind "nur" 2,2 Jahre? Weiss nicht so recht was das mit dem e+33 soll. Gibt mir der wissenschaftliche Taschenrechner so aus. Müsste eigentlich mehr sein?

Passwort das zugrunde liegt nutzt 72 Zeichenmöglichkeiten und hat 27 Stellen (natürlich völliges Wirrwarr an Zahlen, Buchstaben und Sonderzeichen).

Ist sowas noch als sicher zu bezeichnen? Bin lieber bissle paranoid als dass ich hinterher anfange mir Sorgen um sowas zu machen. Ausserdem interessiert es mich einfach

Ist der Einsatz von keyfiles dann nicht die optimale lösung um es quasi wieder unmöglich zu machen? Wenn ich das richtig verstehe muss ja dann jede denkbare Kombination mit einer enorm grossen Zahl an möglichen Keyfiles verglichen werden.

 

[CPat]

Dieses e+33 ist die Anzahl an Stellen um die man das Komma verschieben muss, da der Rechner nicht so viel Anzeigestellen besitzt.

Teste einfach mal eine 1 mit 20 Nullen multipliziert mit der gleichen Zahl. Du wirst stehen haben 1,e+40. Weil da noch 40 Nullen vor das Komma gehören.

Auch dank Cuda hat sich nichts grundlegendes an Passwörtern geändert. Schwache Passwörter sind und bleiben schwach. Starke Passphrases sind und bleiben sicher.

Man könnte jetzt sagen es hat sich die Grenze etwas verschoben, was als schwaches Passwort zu bezeichnen ist. Ich sehe das aber schon immer anders: Alles, was kein starkes Passphrase ist, ist automatisch ein schwaches Passwort. Und nach der Auffassung ändert sich durch Cuda Bruteforce genau gar nichts an der "Knackbarkeit".

Du kannst dich jetzt übrigens direkt an eine neue Rechnung machen: Wie viel Jahre sind es noch, nachdem man vom Passwort weiß, dass es exakt 27 Stellen hat und aus 72 Zeichen besteht? Mit der Information hast du dein Passphrase schon mal ein ganzes Stück geschwächt. Dürften zwar immer noch ewig viele Stellen vor dem Komma als Jahre sein aber die erste Regel beim Passwort lautet: Ihr verliert kein Wort über euer Passwort.