Kompakte Notebooks Kompakte Notebooks - Wuala

Praxis | Sicherheit: Passwörter
Christiane Rütten
Schön kompliziert
Passwörter mit Köpfchen
Die Liste der Dienste und Accounts, die mit einem Passwort gesichert werden
wollen, wird länger und länger. Wer nicht gerade ein Elefantengedächtnis
hat, bekommt schnell Probleme – wer überall dasselbe Passwort verwendet,
erst recht. Doch mit einem guten Passwortsystem und dem richtigen Umgang
mit Passwörtern fährt man sowohl sicher als auch bequem.
Die Kombination von Benutzername
und Passwort
ist nach wie vor die
wichtigste Methode, sich am PC
und für einen Internet-Dienst zu
authentifizieren. Weil der Benutzername
oft öffentlich einsehbar
ist – etwa bei einer Internet-Auktion
– oder sich aus vorhersehbaren
Personenmerkmalen wie
Pseudonymen, Namen oder Mitgliedsnummern
ergibt, hängt
die Sicherheit dieses Systems
hauptsächlich von der Wahl eines
guten Passworts ab.
Die gängige Faustformel lautet,
dass ein gutes Passwort mindestens
zehn Zeichen lang und
aus einer möglichst zufälligen
Mischung aus Groß- und Kleinbuchstaben,
Ziffern sowie Sonderzeichen
bestehen soll. Solche
Passwörter kann man sich aber
kaum merken und die Zahl von
Diensten und Zugängen, für die
ein Passwort nötig ist, wird immer
größer: PC-Log-in daheim
und auf der Arbeit, Notebook,
das private Blog, die vier E-Mail-
Konten, für ICQ, MSN und Jabber,
das Forum für Kochrezepte,
das Forum fürˇ… und so weiter.
Die Konsequenz ist, dass viele
Anwender leicht zu merkende
Trivialpasswörter verwenden
oder für alle Dienste dasselbe
Passwort nehmen.
Mit einem guten Passwortschema
kann man sich beliebig
viele einprägsame Passwörter
für hohe Sicherheitsansprüche
generieren: die Ergänzung eines
immer gleichen Grundpassworts
mit einer dienstspezifischen Erweiterung.
Denn die beiden
wichtigsten Methoden, der Erinnerung
auf die Sprünge zu helfen,
sind ein Bezug zum Anwendungsfall
sowie regelmäßige
Wiederholung durch möglichst
häufige Verwendung. Beide für
sich genommen sind höchst problematisch,
doch die geschickte
Kombination bringt den entscheidenden
Dreh.
Wichtig ist, dass das Grundpasswort
für sich genommen
ein gutes Passwort ist und Angriffen
mit Wortlisten, Brute-
Force und gezieltem Raten
standhalten kann. Da man diesen
Teil recht häufig eintippen
muss – nämlich bei jedem nach
diesem Schema generierten
Passwort –, brennt sich durch
die Wiederholung selbst eine
lange und komplizierte Zeichenfolge
wie „kL/ngS,4=!BIa#vb“
schnell ins Gedächtnis.
Ganz so lang und kompliziert
muss das Grundpasswort in der
Praxis nicht sein, da es nie alleinstehend
verwendet werden darf;
acht Buchstaben mit Sonderzeichen
sollten mehr als genug
sein. Es sollte außerdem keine
Anführungszeichen oder Kaufmanns-Unds
(&) enthalten, weil
sie viele Formulare ablehnen. Je
nach Tastaturbelegung können
auch Umlaute Probleme machen.
Wichtig ist außerdem, dass
dieser Passwortteil keinen Bezug
zum Nutzer enthält, um gezieltes
Raten zu verhindern.
Kurzfassung
Gelegentlich kommt man in die
Situation, dass man einem Anbieter
nicht so recht traut – sei
es, weil er die Zugangsdaten im
Klartext überträgt oder er keinen
guten Ruf genießt – oder dass
einem der Schutz des Accounts
nicht besonders wichtig ist. Für
solche Fälle sollte man sich eine
vereinfachte Variante des Grundpasswortes
überlegen, indem
man beispielsweise alle Sonderzeichen
auslässt und alles klein
schreibt.
So ist sichergestellt, dass ein
Angreifer keinen Zugriff auf
Dienstteil
Laptop
mailkonto1
auktionen
Blog
Grundpasswort
:9,V7a-s9BB+
:9,V7a-s9BB+
:9,V7a-s9BB+
:9,V7a-s9BB+
Mit dem richtigen Passwortschema
lassen sich beliebig
viele einprägsame und
trotzdem sichere Passwörter
generieren.
Mythos: „Die Länge macht’s!“
Analysen von Passwortlisten
haben ergeben, dass sich die
häufigsten Passwörter aus einem
Wort und einer angehängten
oder vorangestellten Zahl
zusammensetzen. Dies wissen
auch die Schreiber von Knackprogrammen,
weshalb Passwörter
wie „passwort1“ oder „daniel76“
keinen nennenswert
besseren Schutz bieten als die
Wörter ohne Zahl. Solche Kennwörter
kann man sich zwar gut
merken, doch sie halten keinem
Wörterbuchangriff stand.
Eine ebenfalls weit verbreitete,
aber schlechte Zutat für Passwörter
sind Namen und Geburtsjahre.
Man kann davon
ausgehen, dass die meisten
Internetnutzer den 50 Jahrgängen
vor 2000 angehören. Betrachtet
man nun die Kombination
aus Vorname mit rund
sechs Zeichen und Jahreszahl
mit zwei oder vier Ziffern, so ergeben
sich rund neun Zeichen
lange Passwörter.
Das klingt erst einmal viel, heißt
es doch vielerorts, acht Zeichen
seien meist genug. Aus neun
Kleinbuchstaben und Zahlen
ergeben sich immerhin rund
100 Billionen (36 9 ) mögliche
Passwörter, die man per Brute-
Force durchprobieren müsste.
Doch wenn man bedenkt, dass
eine Liste der 1000 häufigsten
Vornamen das Gros der Anwender
hierzulande abdeckt, ergeben
sich zusammen mit den
50 Jahrgängen gerade einmal
50ˇ000 verschiedene Passwörter,
die unter Umständen sehr
schnell durchprobiert sind.
Abgesehen davon wissen Daniels
Bekannte und Leser seiner
Website aber auch wahrscheinlich,
dass er 1976 geboren
wurde, er sich für Skateboardfahren
interessiert, in Berlin
wohnt und so weiter. Die Länge
eines Passwortes ist somit kein
hinreichend aussagekräftiges
Maß für seine Qualität. Mindestens
ebenso wichtig ist, aus welchen
Komponenten es besteht,
wie viele mögliche Zustände
diese einnehmen können und
wie leicht es ist, sie aus den bekannten
Daten zu einer Person
abzuleiten und sie so gezielt zu
erraten.
Auch Antworten auf Sicherheitsfragen
sollten nicht vernachlässigt,
sondern mit Köpfchen beantwortet
werden. Der E-Mail-
Account der US-Vizepräsidentschaftskandidatin
Sarah Palin
konnte beispielsweise geknackt
werden, weil sich die Antworten
auf die Sicherheitsfragen der
Passwort-Rücksetzung nach einer
kurzen Internet-Recherche
aus der Vita der Gouverneurin
herleiten ließen.
86 c’t 2009, Heft 2
©
Copyright by Heise Zeitschriften Verlag GmbH & Co. KG. Veröffentlichung und Vervielfältigung nur mit Genehmigung des Heise Zeitschriften Verlags.