FAQ:Arktur4/PasswortSicher
|
Archiv: Dieser Artikel beschreibt nicht die Funktionalität des derzeit aktuellen delixs-Servers. Er beschreibt ältere Schulserver-Funktionen und dient dem Zweck der Archivierung. |
Sichere Passworte
Wie Sie sichere Passwörter erzeugen können, wird im folgenden Abschnitt erläutert. Je nach Sicherheitsbedarf wählen Sie eine der folgenden Methoden. Diese sind dabei nach wachsender Sicherheitsanforderung geordnet. Bei allen Methoden ist vorausgesetzt, dass die gewählten oder entstandenen Passwörter natürlich einen gewissen Sicherheitscharakter besitzen müssen, dahingehend, dass sie keiner Wörterbuch-Attacke zum Opfer fallen könnten.
1. Die Tresormethode: Passwörter aufschreiben und in einem sicheren Tresor lagern. Man sollte für jedes Passwort einen eigenen Zettel anlegen und nur jeweils den Zettel aus dem Tresor entnehmen, den man benötigt (falls man überhaupt einen entnimmt).
2. Eine alte Chiffriermethode: Hebräische Chiffrierung. Man schreibt das Passwort zeilenweise in eine Matrix und liest sie spaltenweise wieder aus, das entstandene Chiffre kann man niederschreiben und wie in Verfahren 1 verwahren. Was man sich nun noch zusätzlich merken muss, ist die Zeilen- und Spaltenanzahl der gewählten Matrix, um das Verfahren wieder rückgängig machen zu können.
Ein kurzes Beispiel: Das Passwort ist "h7fJ,!h).:9G" und man wählt eine 4x3-Matrix
h 7 f J
, ! h )
. : 9 G
Das zu notierende Chiffre wäre also "h,.7!:fh9J)G". Da in diesem Fall der böse Angreifer Bob nur wenige Permutationen prüfen müsste, falls ihm das Verfahren bekannt ist, entsteht hierbei nur eine gewisse Sicherheit im Sinne von "Security by Obscurity", aber besser als nichts.
3. Eine weitere altmodische Chiffriermethode: Man wähle lange Passwörter (in dem Fall leider nur textuelle incl. Satzzeichen handhabbar) und chiffriere diese anhand eines bekannten Textes durch ein fortlaufendes numerisches Substitutionsverfahren (Eine erweiterte Caesar-Chiffrierung. Bei Bedarf kann ich das näher erklären, wäre hier aber zu lang).
4. Die konstruierten Passwörter: Man nehme sich einen Liedtext, ein Gedicht oder einen Buchtext und setze das Passwort aus den Buchstaben des Anfangs von logischen Einheiten (Wörter, Absätze, ...) zusammen:
Z.b. Nehme man sich seine Lieblingssongs. Am Beispiel der Refrain von Lotto-King-Karl's "Ich liebe dir" ...
I(ch) l(iebe) d(ich) . N(ur) d(ich) , s(o) w(ie) d(er) H(amburger) s(ein) H(olsten) ...
=> Passwort: Ild.Nd,swdHsH
So lange man nicht unbedingt als Vorlage "Herr von Ribbeck" oder einen Evergreen von den Beatles wählt, sollte das Passwort für Böswillige (den Freundeskreis mal ausgeschlossen) relativ schwer zu erraten sein. Und bei einer genügend großen Textbasis lassen sich auch viele Passwörter generieren.
5. Beliebige Kombinationen aus den obigen einfachen Verfahren.
6. Verschlüsselte Speicherung von Passwörtern: Man erstelle sich eine Passwortdatenbank. Am besten eine einfache Textdatei mit verschieden langen Passwörtern und verschlüssele diese mit einem geeigneten Block-Verfahren und einer genügend langen Passphrase (>= Blocklänge). Das ganze kann man dann verschlüsselt auf einem USB-Stick an seinem Schlüsselbund ohne Probleme mit sich herum tragen. Im Normalfall ist die Gefahr, dass eine Attacke auf diese Passwortdatenbank gelingt, gering, da der Angreifer keine Basis hat (verschieden lange Passwörter und Passwörter ohne Wortteile mal vorausgesetzt). Die Sicherheit dieses Vorgehens hängt natürlich am stärksten von der Geheimhaltung der Passphrase ab.
7-100. [Viele andere einfache und kosteneffektive Verfahren]
101. Der momentane Quasi-Standard: Die Token-Karte Man setzt z.B. einen RSA-Server für die Authentifizierung auf, auf dem sich Private-Keys für die Erzeugung von zufälligen Buchstabenketten befinden. Jeder Benutzer erhält eine Tokenkarte, die ebenfalls diesen Schlüssel enthält. Die Tokenkarte und der RSA-Server berechnen in kurzen Zeitabständen, ausgehend von dem vorherigen, einen neuen Wert, den so genannten Token. Beide Geräte müssen dabei synchronisiert sein und ausgehend von dem vorherigen Wert und demselben Private-Key denselben Token erzeugen. Wenn sich der Benutzer anmelden will, besteht sein Passwort aus einem frei gewähltem und immer gültigem Teilpasswort und dem aktuell gültigen Token.