Ich halte ja den ganzen bisherigen Ansatz für "sichere Paßwörter" für komplett absurd.
Kein Mensch ohne erbeutete Hashes probiert stupide alle möglichen Kombinationen stur der Reihe nach durch.
Ich mein, wenn ich SICHER sein will, daß mein Zugang geschützt ist, dann nehme ich doch nicht den bescheuertst-möglichen Einbrecher an -- sondern ich geh davon aus, daß der Mensch mir mindestens ebenbürtig, im Normalfall fleißig überlegen ist (natürlich fällt es dann mit der Vorstellungskraft schwer). Also muß ich so ehrlich sein und sagen:
(a) natürlich fängt der interessierte Angreifer mit den üblichen Kombinationen an. Auch ein Angreifer kann Paßwortstatistiken lesen und ggfs. selber erstellen und wird natürlich erstmal "123456" probieren.
(b) wenn er kann wird er ne Datenbank erstellen, sowas wie Rainbow Tables, wo der Hash in der Hand zu einem nutzbaren Text aufgelöst werden kann. Dieser Text muß nicht das echte PW sein - ist es erwartungsgemäß auch nicht -- er muß nur denselben Hashwert haben wie das ursprüngliche Paßwort.
DB lookup dauert vielleicht ein paar Minuten. Wenn die Hardware schwach war und Optimierungsarbeit fehlt.
(c) auch bei Paßwörtern gilt, auch wenn es nicht schön ist, das System "warum die Tür eintreten wenn das Fenster offen steht". Nur in ganz wenigen Fällen will Der Angreifer(tm) wirklich MEINE Daten haben. Meist genügt ihm irgendein Zugang. Und wenn aus der Liste von Hashes, die er hat, 50% der Hashes binnen 10s zu knacken sind und die anderen 50% nicht, dann sind erstmal die ersten 50% fällig. "Normalerweise" reicht das. Warum den Aufwand machen?
Entsprechend geht es NICHT darum, besonders lange oder besonders komplexe oder besonders IRGENDWAS zu verwenden. Es geht darum, möglichst ein "Unikat" von einem Paßwort zu haben.
Und JA. Man muß es ab und an ändern. Den Moment, wo ich mein (neues) Paßwort das erste Mal "im Internet" verwende, ist es per Definition kompromittiert und es fängt ein Countdown an bis das PW irgendjemand geknackt hat.
PW nicht zu ändern heißt, daß einem das egal ist. Die notwendige Konsequenz: an irgendeiner Stelle ist jemand drin. Ich weiß nicht wann, ich weiß nicht wer, aber ich weiß sehr wohl daß überhaupt erstmal.
Ich bin mal mutig und sage, daß ein PW-Generator da helfen kann. Der ist natürlich sein eigenes Einfallstor, aber mit ein bißchen Guter Hoffnung Tee Emm darf man vielleicht annehmen, daß man als Mensch fürs Paßwortausdenken trotz allem noch weniger gut geeignet ist als der Generator.
(Der sollte aber natürlich offline sein und nicht in der Cloud. Sonst muß man davon ausgehen, daß ein Angreifer mein neues Paßwort schon kennt, bevor ich nur auf "Speichern" geklickt hab.)
