Kompakte Notebooks Kompakte Notebooks - Wuala

Praxis | Sicherheit: Passwörter
wichtigere Dienste erlangen
könnte, selbst wenn ihm das vereinfachte
Grundpasswort in die
Hände fällt und er das Passwortsystem
durchschauen kann. Ein
solcher Einbruch von Konto zu
Konto nennt sich Klassenbruch
(class break) und ist auch der
Grund dafür, dass man grundsätzlich
nicht überall dasselbe
Passwort verwenden sollte.
Sicher unterwegs
Selbst das beste Passwort nützt
nichts, wenn man es unverschlüsselt
durch die Gegend
schickt und es beispielsweise
beim WLAN-Surfen im Café alle
Leute in Reichweite mitlauschen
(sniffen) können. Bei
Web-Diensten, die sich per
Browser bedienen lassen, gibt
es leider kein verlässliches Anzeichen
dafür, dass die Anmeldedaten
verschlüsselt zum Server
wandern. Einigermaßen sicher
kann man sich dessen sein,
wenn sowohl die Adresse der
Eingabeseite als auch der Folgeseite
nach der Anmeldung mit
https:// beginnt.
Gelegentlich ist aber auch ausschließlich
die Passwortübertragung
verschlüsselt. Manche Provider
bieten dafür eine spezielle
Option, die man vor der Eingabe
anklicken muss. Im Zweifel hilft
nur, beim Support des Anbieters
nachzufragen oder in die Online-
Doku zu schauen. Wenn es keine
Verschlüsselung gibt, sollte man
zu der einfachen Variante des
konstanten Passwortteils greifen.
Auch sollte man solche Dienste
nicht über ein unverschlüsseltes
WLAN verwenden.
Auch die meisten Spezialprogramme
für E-Mail wie Outlook
Express und Thunderbird sowie
eine Reihe von Chat-Programmen
unterstützen Verbindungsverschlüsselung.
Allerdings ist
sie in der Regel nicht standardmäßig
aktiviert. Die zugehörige
Option findet sich üblicherweise
in den Verbindungs- oder Server-Einstellungen.
In Outlook Express
klicken Sie dazu im Menü
„Extras“ auf „Konten“, wählen die
Kontobezeichnung aus der Liste
und klicken auf „Einstellungen“.
Die Verschlüsselungsoptionen
finden Sie auf dem Reiter „Erweitert“.
Bedenken Sie, dass Sie sowohl
die Einstellungen für den
Eingangs- als auch Ausgangs-
Server anpassen müssen. Bei
Thunderbird findet sich die Liste
Sowohl Outlook Express (oben rechts)
als auch Thunderbird (rechts und oben)
unterstützen eine verschlüsselte
Verbindung zum E-Mail-Server, mit der
sich Zugangsdaten sicher übertragen
lassen.
der Postausgangs-Server am Ende
der Kontenliste, die über Extras/Konten
erreichbar ist.
Leider werden die Bezeichnungen
SSL und TLS nicht einheitlich
verwendet. Eigentlich ist
TLS lediglich der neue Name für
SSL seit der Version 3.1. In Thunderbird
etwa bezeichnen sie aber
unterschiedliche Methoden des
Verbindungsaufbaus. In diesem
Fall ist SSL vorzuziehen, wenn es
der Server unterstützt. Probieren
Sie daher der Reihe nach die Verschlüsselungsoptionen
SSL, TLS
und „ohne“ durch, bis Sie eine
finden, mit der es klappt.
Keinesfalls sollten Sie jedoch
eine Option wie „TLS, wenn
möglich“ wählen. Schlimmstenfalls
arbeiten die Programme
damit komplett unverschlüsselt,
ohne eine Warnung anzuzeigen.
Bei manchen Anbietern ist SSL/
TLS-Verschlüsselung nur mit separaten
Servern möglich. Entsprechende
Anleitungen sollten
sich in der Dokumentation des
Providers befinden.
Fazit
Das Passwortschema mit Grundpasswort
und dienstspezifischer
Erweiterung löst gleich eine
ganze Reihe von Problemen. Die
konkrete Umsetzung lässt sich
leicht individuell – etwa Grundpasswort
vorne oder in der Mitte
statt hinten – variieren und den
persönlichen Bedürfnissen anpassen.
Sein Vorteil gegenüber
einem Passwortmanager ist, dass
es rechnerunabhängig arbeitet
Mythos: „Ich bin doch uninteressant!“
Standardrechtfertigungen für
Nachlässigkeit bei Passwörtern
sind „Wer sollte schon ausgerechnet
meine E-Mails lesen
wollen?“ und „Auf meinem PC
sind eh keine spannenden Sachen,
da kann ruhig jeder reingucken“.
Wer so handelt, als
seien Angriffe stets auf bestimmte
Personen gerichtet,
handelt sich und anderen leicht
eine Menge Ärger ein.
Spammer auf Streifzügen nach
schlecht gesicherten E-Mail-
Accounts und Botnetzbetreiber
auf der Jagd nach dem nächsten
Rekruten der Zombie-PC-
Armee wollen sich hauptsächlich
hinter den E-Mail- und
IP-Adressen anderer Netzbewohner
verstecken und deren
Bandbreite nutzen. Es handelt
sich dabei zwar durchaus um
eine Form des Identitätsdiebstahls,
doch den Angreifern ist in
der Regel herzlich egal, wessen
Account sie knacken und was sie
sonst noch dort finden könnten.
Wer es darauf abgesehen hat,
unbefugt auf möglichst viele
und die abgespeicherten Passwortdatenbank
nicht durch Software
angreifbar ist.
Allerdings hilft das beste Passwort
nichts, wenn es mit einem
Keylogger abgehört wird oder
der Anwender es auf einer Phishing-Seite
eintippt. Richtig kritisch
wird es, wenn einem Angreifer
gleich mehrere Klartextpasswörter
nach einem solchen
Schema in die Hand fallen. Wenn
er das System durchschaut, kann
er sich im schlimmsten Fall bei
beliebigen Diensten anmelden.
Auch wenn es in solch einem Fall
genügen würde, lediglich das
Grundpasswort zu ändern, befreit
auch ein Schema mit Grundpasswort
und Dienstteil nicht
von der üblichen Sorgfalt im Umgang
mit Passwörtern. (cr)
Accounts und Rechner zuzugreifen,
verwendet andere Strategien
als bei Angriffen auf bestimmte
Personen oder Nutzerkonten.
Da persönliche Attacken
die Ausnahme sind, sollten
Anwender ihre Schutzstrategien
auch auf die großflächigen Angriffe
ausrichten. Daher ist es
wichtig, alle Accounts mit ausreichend
sicheren Passwörtern
auszustatten. Schwache Passwörter
– insbesondere Default-
Passwörter etwa von WLAN-
Routern – bieten keinerlei nennenswerten
Schutz.
c
c’t 2009, Heft 2
©
Copyright by Heise Zeitschriften Verlag GmbH & Co. KG. Veröffentlichung und Vervielfältigung nur mit Genehmigung des Heise Zeitschriften Verlags.
87