News Unsichere Passwort-Abfrage bei Amazon

[1668mib]

Natürlich muss er diese kennen. Und dadurch, dass eh nicht klar ist, ob Passwörter "betroffen" sind, kann man sich auch nicht drauf verlassen, dass 8 Zeichen reichen...

 

[MunichRules]

 

[WhiteShark]

Ich weiß jetzt nicht ob es einfacher ist, anhand des Datums auf den Algorithmus zu schließen, oder ob eine Spalte mit der Info zum Algorithmus einfacher wäre...

Da würde ich sagen es hängt vom System an sich ab welche Lösung da geeigneter ist. Wichtig ist ja im Prinzip der Grundgedanke der Konvertierung.

Im Übrigen: Das Umstellen des Passworts kann vielleicht automatisch erfolgen... aber...
Wenn es eines der Problempasswörter ist, dann geht das gar nicht... weil angenommen mein PW ist 1234567890. Ich geb jetzt aber 1234567899 ein.
Das System merkt den Irrtum nicht, weil es nur die ersten 8 Zeichen beachtet... und schwupps hab ich das falsche Passwort drin...

Da hast du wohl Recht. Dies wird auch der Grund sein warum Amazon die alten Passwörter bei denen dieses 8-Zeichen-Problem besteht noch nicht umgestellt hat.
Sie könnten dann höchstens die ersten 8 Stellen neu hashen und in der Datenbank speichern das nur die ersten 8-Stellen berücksichtigt werden soll.
Das wurde womöglich bereits getan, was aber am Effekt nichts ändert.
Manche Fehler lassen sich im Nachhinein nicht mehr ohne Kompromisse korrigieren, dies gehört wohl dazu.

Amazon könnte aber beim Login dazu auffordern das Passwort zu ändern. Allerdings würde sich dann der einfache Anwender verunsichert fühlen. Ist also auch nur ein Kompromis.

 

[etking]

Wird wohl nur paranoide Freaks betreffen, welcher normale Mensch hat so lange Passwörter?

 

[UsarXF]

welcher normale Mensch hat so lange Passwörter?

Über 8 Stellen? Ja, wenn man ein Passwort mit mehr als 8 Zeichen wählt, ist man auf jeden Fall reif für die Zwangsjacke

 

[GrooveXT]

Wird wohl nur paranoide Freaks betreffen, welcher normale Mensch hat so lange Passwörter?

In was für einer Welt lebst du denn?
Ich würde mal perse allles unter 8 Zeichen als unsicher ansehen. Vermutlich 4 Zeichen, alles klein, ohne Zahlen und Sonderzeichen?

Aber vielleicht bin ich ja auch wirklich paranoid, schließlich nutze ich sogar ne Firewall und nen Virenscanner...

 

[UnitedUniverse]

ja also ich bin auch paranoid, ich nutze mehr als 8 zeichen für meine PWs und sogar ein kondom beim sex...

 

[easy.2ci]

Also ich werd mein betroffenes Passwort ändern und das gleiche Passwort nochmal vergeben. Dann wird es mit dem aktuellen Mechanismus gehasht und neu abgespeichert und alles ist gut.

Ein neues Passwort möchte ich mir nicht merken, da ich eh schon bei jedem Service ein eigenes Kennwort habe.

 

[1668mib]

@UnitedUniverse: Wenn Amazon Passwörter bei 8 Zeichen abschneidet, was passiert dann beim Kondom nach 8 cm?

 

[etheReal]

Man sollte sowieso regelmäßig sein PW wechseln.

Eigentlich muss man bei einem sicheren System und einem sicheren Passwort, das nur im Gehirn existiert, nie das Passwort wechseln.
Ständig die Passwörter zu wechseln führt nur dazu, dass man unsichere und kurze Passwörter verwendet, denn wer kann sich schon alle 4 Wochen ein neues 25-stelliges PW merken?
Deshalb sind eigentlich alle Admins inzwischen von der Praxis weggekommen, die User zu zwingen, Passwörter in regelmäßigen Abständen zu ändern, denn das führt nur dazu, dass der Durchschnitts-User dann abwechselnd "12345" und "Michaela" als Passwort hat. Am besten noch mit dem Sticky-Note am Monitor befestigt.

 

[Estarriol]

Bei mir funktionierts auch nicht...und mein Passwort hat auch mehr als 8 Zeichen^^

 

[akuji13]

Vermutlich 4 Zeichen, alles klein, ohne Zahlen und Sonderzeichen?

Oder "0000" wie beim Receiver Jugendschutz PIN.

 

[Mithrandil]

Kann den Fehler auch nicht reproduzieren...
Also alles sicher soweit

 

[UnitedUniverse]

@UnitedUniverse: Wenn Amazon Passwörter bei 8 Zeichen abschneidet, was passiert dann beim Kondom nach 8 cm?

daran möchte ich gar nicht denken

 

[Darksteve]

kein problem und mein PW hat 10 Zeichen und hab dieses schon vor 2011 bei Amazon und nie geändert...
Panikmache, Sommerloch oder nur Beschäftigungstherapie (ausloggen, einloggen, ausloggen, einloggen )!?
Außerdem was soll den passieren?
Will einer auf meinen Namen was bestellen?
Viel Spaß beim Code von meiner Kreditkarte..

 

[441043200]

Also mein Amazon Konto das im September 2010 erstellt wurde hat keinen Fehler --> SICHER

 

[omaliesschen]

Ich weiß jetzt nicht ob es einfacher ist, anhand des Datums auf den Algorithmus zu schließen, oder ob eine Spalte mit der Info zum Algorithmus einfacher wäre...
.

An einem großen Produktivsystem fummelt man in der Regel nicht so gerne rum wenn es vermeidbar ist.
Eine neue Spalte kann unter Umständen einen ziemlichen Ausfall verursachen.

Eher würde ich beide Hashverfahren testen und bei einem match auf das alte das neue in die DB schreiben. Anhand der Länge des Hashes bzw. dem Aufbau an sich lässt sich in der Regel auch feststellen welches Verfahren angewendet wurde.

Man kann jedem neuen Hash auch ein Präfix geben und daran unterscheiden.

Sha512: (PW:1) Sollte man heutzutage verwenden.
4dff4ea340f0a823f15d3f4f01ab62eae0e5da579ccb851f8db9dfe84c58b2b37b89903a740e1ee172da793a6e79d560e5f7f9bd058a12a280433ed6fa46510a

MD5:
2bf231b0e98be99a969bd6724f42a691

 

[WhiteShark]

Wie genau man jetzt unterscheidet ob in der Datenbank ein altes oder neues Passwort steht ist an sich nicht wirklich relevant.
Es kann bspw sein das das Unternehmen die alten Passwörter nicht gleich überschreiben will, um im Fehlerfall wieder auf das alte System umstellen zu können.
Eventuell ist das bisherige Feld auch zu klein und würde den neuen und größeren Hash abschneiden. Auch da macht es Sinn eine neue Spalte anzulegen. Denn wenn bei einer Umstellung der Spalte was schiefgeht sind möglicherweise alle Passwörter weg.

Wie ich schon sagte hängt das immer vom genauen Fall ab und es lässt sich nicht pauschalisieren was nun die beste Methode dafür ist.

 

[xyz-]

bei Amazon ist es doch fast egal welches pw man nutzt,
alleine auf gewissen seiten werden pro tag bis zu 100 accounts for free angeboten

Ergänzung (10. August 2013)

x

 

[pravum]

Wird wohl nur paranoide Freaks betreffen, welcher normale Mensch hat so lange Passwörter?

Wasssssss, ich benutze Passwörter zwischen 40 und 50 Stellen. Sicher ist sicher. Im ernst, ein Passwort sollte mindestens 12 Stellen mit Sonderzeichen, Zahlen usw. mitbringen.