Google Groups no longer supports new Usenet posts or subscriptions. Historical content remains viewable.
Dismiss
Sichere Passwoerter in 3 Tagen geknackt? 4 normale Woerter besser?
99 views
Skip to first unread message
Werner Tann
Sep 22, 2012, 3:50:42 AM9/22/12
to
Manchmal kriegt man auch in der IT das Gefühl, deren Aussagen seien so
gewiß wie jene der Ernährungsberater, die uns heute davon abraten, das
zu essen, was sie uns gestern empfohlen haben.
Jahrelang wird einem von Kundigen der IT-Sicherheit geraten,
Passwörter mindestens 8stellig zu wählen, alphanumerisch, mit Groß-
und Kleinbuchstaben und Sonderzeichen.
Alles Schmarrn, wie es scheint.
Zum Knacken eines Paßworts wie z. B. Tr0b4dor&3 brauchen Hacker
angeblich nur 3 Tage, bei vorausgesetzten 1000 Versuchen pro Sekunde.
Läßt man die Server-Intelligenz mal außen vor - sie wird hoffentlich
nicht so blöd sein zuzuschauen, wie 3 Tage lang Millionen vergeblicher
Zugriffe erfolgen, wenn auch von unterschiedlichen IP-Adressen via
Bot-Netzen - so ist trotzdem die angebliche Knackzeit erschreckend
gering.
http://tinyurl.com/cme4qym
(https://www.guildwars2.com/ ...)
Ein Artikel aus der Security-Abteilung des aktuell vermutlich
meistgespielten Online-Games. Darin wird auch auf die Berechnung
verlinkt, dargestellt in einem Comic, aber offenbar ernstgemeint:
http://xkcd.com/936/
Mir fehlt leider die Voraussetzung, diesem Comic mathematisch zu
folgen.
Conclusio des Ganzen ist die Behauptung, daß Paßwörter aus 4 üblichen
Wörtern sicherer seien als der oben zitierte Tr0b4dor&3. Selbst wenn
man die 4 Wörter, wie z. B. "correct horse battery staple" aus einem
Grundwortschatz von 2000 Wörtern nimmt, brauche man zum Erraten
solcher Wort-Kombinationen 500 Jahre.
Empfohlen wird also, leicht zu merkende 4 Wörter als Paßwort zu
nehmen, die eigentlich unknackbar sind, anstatt ein schwer zu
merkendes alphanumerisches Ungetüm, das zudem leicht zu knacken sei.
Plausibel ist mir das nicht. Und mathematisch verstehe ich es nicht.
Kann mir das jemand erklären? Vor allem wüßte ich gerne, was genau die
im Comic erwähnten 28 und 44 bits of entropy sind bzw. woraus sie sich
bilden. Warum hat eines der 4 Wörter (correct, horse ...) 11 bits of
entropy?
gewiß wie jene der Ernährungsberater, die uns heute davon abraten, das
zu essen, was sie uns gestern empfohlen haben.
Jahrelang wird einem von Kundigen der IT-Sicherheit geraten,
Passwörter mindestens 8stellig zu wählen, alphanumerisch, mit Groß-
und Kleinbuchstaben und Sonderzeichen.
Alles Schmarrn, wie es scheint.
Zum Knacken eines Paßworts wie z. B. Tr0b4dor&3 brauchen Hacker
angeblich nur 3 Tage, bei vorausgesetzten 1000 Versuchen pro Sekunde.
Läßt man die Server-Intelligenz mal außen vor - sie wird hoffentlich
nicht so blöd sein zuzuschauen, wie 3 Tage lang Millionen vergeblicher
Zugriffe erfolgen, wenn auch von unterschiedlichen IP-Adressen via
Bot-Netzen - so ist trotzdem die angebliche Knackzeit erschreckend
gering.
http://tinyurl.com/cme4qym
(https://www.guildwars2.com/ ...)
Ein Artikel aus der Security-Abteilung des aktuell vermutlich
meistgespielten Online-Games. Darin wird auch auf die Berechnung
verlinkt, dargestellt in einem Comic, aber offenbar ernstgemeint:
http://xkcd.com/936/
Mir fehlt leider die Voraussetzung, diesem Comic mathematisch zu
folgen.
Conclusio des Ganzen ist die Behauptung, daß Paßwörter aus 4 üblichen
Wörtern sicherer seien als der oben zitierte Tr0b4dor&3. Selbst wenn
man die 4 Wörter, wie z. B. "correct horse battery staple" aus einem
Grundwortschatz von 2000 Wörtern nimmt, brauche man zum Erraten
solcher Wort-Kombinationen 500 Jahre.
Empfohlen wird also, leicht zu merkende 4 Wörter als Paßwort zu
nehmen, die eigentlich unknackbar sind, anstatt ein schwer zu
merkendes alphanumerisches Ungetüm, das zudem leicht zu knacken sei.
Plausibel ist mir das nicht. Und mathematisch verstehe ich es nicht.
Kann mir das jemand erklären? Vor allem wüßte ich gerne, was genau die
im Comic erwähnten 28 und 44 bits of entropy sind bzw. woraus sie sich
bilden. Warum hat eines der 4 Wörter (correct, horse ...) 11 bits of
entropy?
Vinzent Hoefler
Sep 22, 2012, 4:36:37 AM9/22/12
to
Werner Tann wrote:
> Plausibel ist mir das nicht. Und mathematisch verstehe ich es nicht.
> Kann mir das jemand erklären? Vor allem wüßte ich gerne, was genau die
> im Comic erwähnten 28 und 44 bits of entropy sind bzw. woraus sie sich
> bilden. Warum hat eines der 4 Wörter (correct, horse ...) 11 bits of
> entropy?
Bei 2000 Wörtern im Grundwortschatz und zufälliger(!) Auswahl daraus,
> Plausibel ist mir das nicht. Und mathematisch verstehe ich es nicht.
> Kann mir das jemand erklären? Vor allem wüßte ich gerne, was genau die
> im Comic erwähnten 28 und 44 bits of entropy sind bzw. woraus sie sich
> bilden. Warum hat eines der 4 Wörter (correct, horse ...) 11 bits of
> entropy?
ergibt das eine Entropie von log2(2000) = 10.9 (und ein bißchen was)
pro Wort.
Nehmen wir 2048 Wörter, sind es sogar genau 11 Bits pro Wort. Vier
Wörter a 11 Bit sind dann 44 Bit.
Vinzent.
--
The most likely way for the world to be destroyed, most experts agree,
is by accident. That's where we come in; we're computer professionals.
We cause accidents.
-- Nathaniel Borenstein
Werner Tann
Sep 22, 2012, 5:10:39 AM9/22/12
to
"Vinzent Hoefler"
<0439279208b62c95...@t-domaingrabbing.de> schrieb:
>Werner Tann wrote:
>
>> Plausibel ist mir das nicht. Und mathematisch verstehe ich es nicht.
>> Kann mir das jemand erklären? Vor allem wüßte ich gerne, was genau die
>> im Comic erwähnten 28 und 44 bits of entropy sind bzw. woraus sie sich
>> bilden. Warum hat eines der 4 Wörter (correct, horse ...) 11 bits of
>> entropy?
>
>Bei 2000 Wörtern im Grundwortschatz und zufälliger(!) Auswahl daraus,
>ergibt das eine Entropie von log2(2000) = 10.9 (und ein bißchen was)
>pro Wort.
Okay, anders. Wie würdest Du das Deinem 12jährigen Sohn erklären, der
mit Entropie und Logarithmen noch nichts am Hut hat.
Der Wikipedia-Artikel
http://de.wikipedia.org/wiki/Entropie_%28Informationstheorie%29
ist für mich unlesbar, ebenso
http://de.wikipedia.org/wiki/Logarithmus
Konkret: Warum log(2)? Woher kommt die 2? Ob man eines der 2000 Wörter
auswählt oder nicht, also 2 mögliche "Zustände"? Sorry, daß ich
Logarithmen gelernt habe, ist leider 40 Jahre her. Was konkret
bedeutet eine Entropie von 44 Bits?
<0439279208b62c95...@t-domaingrabbing.de> schrieb:
>Werner Tann wrote:
>
>> Plausibel ist mir das nicht. Und mathematisch verstehe ich es nicht.
>> Kann mir das jemand erklären? Vor allem wüßte ich gerne, was genau die
>> im Comic erwähnten 28 und 44 bits of entropy sind bzw. woraus sie sich
>> bilden. Warum hat eines der 4 Wörter (correct, horse ...) 11 bits of
>> entropy?
>
>Bei 2000 Wörtern im Grundwortschatz und zufälliger(!) Auswahl daraus,
>ergibt das eine Entropie von log2(2000) = 10.9 (und ein bißchen was)
>pro Wort.
mit Entropie und Logarithmen noch nichts am Hut hat.
Der Wikipedia-Artikel
http://de.wikipedia.org/wiki/Entropie_%28Informationstheorie%29
ist für mich unlesbar, ebenso
http://de.wikipedia.org/wiki/Logarithmus
Konkret: Warum log(2)? Woher kommt die 2? Ob man eines der 2000 Wörter
auswählt oder nicht, also 2 mögliche "Zustände"? Sorry, daß ich
Logarithmen gelernt habe, ist leider 40 Jahre her. Was konkret
bedeutet eine Entropie von 44 Bits?
Vinzent Hoefler
Sep 22, 2012, 5:46:19 AM9/22/12
to
Werner Tann wrote:
> "Vinzent Hoefler"
> <0439279208b62c95...@t-domaingrabbing.de> schrieb:
> der
> mit Entropie und Logarithmen noch nichts am Hut hat.
Ich versuch's mal.
> Konkret: Warum log(2)? Woher kommt die 2?
Ausschließlich daher, daß man die Entropie in der Informationstheorie in
Bits angibt und ein Bit hat genau zwei Zustände.
Als Pseudo-Formel:
Anzahl der zur Darstellung notwendigen Bits = log2 (Anzahl der Zustände)
Andersherum: Mit x Bits kann man 2**x verschiedene Dinge (Symbole)
kodieren, so wie man mit x Ziffern 10**x verschiedene Zahlen darstellen
kann (dann wär's log10).
Die 2000 Wörter sind nichts anderes als Symbole, man kann sie beliebig
durch etwas anderes ersetzen (Zahlen, Farben, chinesische Schriftzeichen,
Volt, ...), das macht es höchstens schwerer, sie sich zu merken, aus Sicht
der Informationstheorie ist es aber völlig wurscht.
> Ob man eines der 2000 Wörter
> auswählt oder nicht, also 2 mögliche "Zustände"?
Nein, eines aus 2'000. Um das zahlenmäßig in Bits darzustellen, braucht
man derer 11.
> Sorry, daß ich
> Logarithmen gelernt habe, ist leider 40 Jahre her. Was konkret
> bedeutet eine Entropie von 44 Bits?
Hier: Daß es 2**44 verschiedene Möglichkeiten für ein solches Paßwort
gibt. Da bei zufälliger Auswahl die Wahrscheinlichkeit für das Auftreten
eines beliebigen Symbols gleich ist, hat jedes Wort den gleichen
Informationsgehalt (Entropie) und vier davon den vierfachen.
Interessant wird die Informationstheorie eigentlich erst, wenn die
Wahrscheinlichkeiten für das Auftreten der unterschiedlichen Symbole
auch unterschiedlich sind, wie das z.B. bei natürlichsprachlichem Text
der Fall ist. Oder bei dem, was User sich so als Paßwort generieren,
indem sie bestimmte Buchstaben durch andere Symbole ersetzen (E => 3,
S => $), weil die Paßwort-Policy Sonderzeichen und Zahlen verlangt.
> "Vinzent Hoefler"
> <0439279208b62c95...@t-domaingrabbing.de> schrieb:
>
>> Bei 2000 Wörtern im Grundwortschatz und zufälliger(!) Auswahl daraus,
>> ergibt das eine Entropie von log2(2000) = 10.9 (und ein bißchen was)
>> pro Wort.
>
> Okay, anders. Wie würdest Du das Deinem 12jährigen Sohn erklären,
18. Seit heute. ;)
>> Bei 2000 Wörtern im Grundwortschatz und zufälliger(!) Auswahl daraus,
>> ergibt das eine Entropie von log2(2000) = 10.9 (und ein bißchen was)
>> pro Wort.
>
> Okay, anders. Wie würdest Du das Deinem 12jährigen Sohn erklären,
> der
> mit Entropie und Logarithmen noch nichts am Hut hat.
> Konkret: Warum log(2)? Woher kommt die 2?
Bits angibt und ein Bit hat genau zwei Zustände.
Als Pseudo-Formel:
Anzahl der zur Darstellung notwendigen Bits = log2 (Anzahl der Zustände)
Andersherum: Mit x Bits kann man 2**x verschiedene Dinge (Symbole)
kodieren, so wie man mit x Ziffern 10**x verschiedene Zahlen darstellen
kann (dann wär's log10).
Die 2000 Wörter sind nichts anderes als Symbole, man kann sie beliebig
durch etwas anderes ersetzen (Zahlen, Farben, chinesische Schriftzeichen,
Volt, ...), das macht es höchstens schwerer, sie sich zu merken, aus Sicht
der Informationstheorie ist es aber völlig wurscht.
> Ob man eines der 2000 Wörter
> auswählt oder nicht, also 2 mögliche "Zustände"?
man derer 11.
> Sorry, daß ich
> Logarithmen gelernt habe, ist leider 40 Jahre her. Was konkret
> bedeutet eine Entropie von 44 Bits?
gibt. Da bei zufälliger Auswahl die Wahrscheinlichkeit für das Auftreten
eines beliebigen Symbols gleich ist, hat jedes Wort den gleichen
Informationsgehalt (Entropie) und vier davon den vierfachen.
Interessant wird die Informationstheorie eigentlich erst, wenn die
Wahrscheinlichkeiten für das Auftreten der unterschiedlichen Symbole
auch unterschiedlich sind, wie das z.B. bei natürlichsprachlichem Text
der Fall ist. Oder bei dem, was User sich so als Paßwort generieren,
indem sie bestimmte Buchstaben durch andere Symbole ersetzen (E => 3,
S => $), weil die Paßwort-Policy Sonderzeichen und Zahlen verlangt.
Helmut Springer
Sep 22, 2012, 6:01:08 AM9/22/12
to
> Passwï¿œrter mindestens 8stellig zu wï¿œhlen, alphanumerisch, mit
> Groￜ- und Kleinbuchstaben und Sonderzeichen.
Da brute force Angriffe immer schneller werden, muessen Passwoerter
hinreichend viele Moeglichkeiten haben, um standzuhalten. Also
entweder viel laenger oder aus einer groesseren Zeichenbasis.
Ersteres ist fuer Menschen wesentlich einfacher zu realisieren.
> Conclusio des Ganzen ist die Behauptung, daￜ Paￜwￜrter aus 4
> ï¿œblichen Wï¿œrtern sicherer seien als der oben zitierte Tr0b4dor&3.
Wenn diese 4 Woerter hinreichend lang sind, "daistwaslos" waere
nicht sehr stark.
30 zufaellige UTF-8 Zeichen sind natuerlich noch staerker, aber
schlecht zu merken.
--
MfG/Best regards
helmut springer panta rhei
> Groￜ- und Kleinbuchstaben und Sonderzeichen.
>
> Alles Schmarrn, wie es scheint.
Nein, und da ist kein Widerspruch.
> Alles Schmarrn, wie es scheint.
Da brute force Angriffe immer schneller werden, muessen Passwoerter
hinreichend viele Moeglichkeiten haben, um standzuhalten. Also
entweder viel laenger oder aus einer groesseren Zeichenbasis.
Ersteres ist fuer Menschen wesentlich einfacher zu realisieren.
> Conclusio des Ganzen ist die Behauptung, daￜ Paￜwￜrter aus 4
> ï¿œblichen Wï¿œrtern sicherer seien als der oben zitierte Tr0b4dor&3.
Wenn diese 4 Woerter hinreichend lang sind, "daistwaslos" waere
nicht sehr stark.
30 zufaellige UTF-8 Zeichen sind natuerlich noch staerker, aber
schlecht zu merken.
--
MfG/Best regards
helmut springer panta rhei
Ansgar -59cobalt- Wiechers
Sep 22, 2012, 6:07:30 AM9/22/12
to
Werner Tann <wt...@gmx.at> wrote:
> "Vinzent Hoefler" schrieb:
Wer's verstehen will, muss sich mit der Mathematik beschäftigen.
Wer sich nicht mit der Mathematik beschäftigen will, wird's nicht
verstehen.
Ganz einfach eigentlich, gell?
cu
59cobalt
--
"All vulnerabilities deserve a public fear period prior to patches
becoming available."
--Jason Coombs on Bugtraq
> "Vinzent Hoefler" schrieb:
>> Werner Tann wrote:
>>> Plausibel ist mir das nicht. Und mathematisch verstehe ich es nicht.
>>> Kann mir das jemand erklären? Vor allem wüßte ich gerne, was genau
>>> die im Comic erwähnten 28 und 44 bits of entropy sind bzw. woraus
>>> sie sich bilden. Warum hat eines der 4 Wörter (correct, horse ...)
>>> 11 bits of entropy?
>>
>>Bei 2000 Wörtern im Grundwortschatz und zufälliger(!) Auswahl daraus,
>>ergibt das eine Entropie von log2(2000) = 10.9 (und ein bißchen was)
>>pro Wort.
>
> Okay, anders. Wie würdest Du das Deinem 12jährigen Sohn erklären, der
> mit Entropie und Logarithmen noch nichts am Hut hat.
Gar nicht. Ich würde ihm sagen: "Make it so!"
>>> Plausibel ist mir das nicht. Und mathematisch verstehe ich es nicht.
>>> Kann mir das jemand erklären? Vor allem wüßte ich gerne, was genau
>>> die im Comic erwähnten 28 und 44 bits of entropy sind bzw. woraus
>>> sie sich bilden. Warum hat eines der 4 Wörter (correct, horse ...)
>>> 11 bits of entropy?
>>
>>Bei 2000 Wörtern im Grundwortschatz und zufälliger(!) Auswahl daraus,
>>ergibt das eine Entropie von log2(2000) = 10.9 (und ein bißchen was)
>>pro Wort.
>
> Okay, anders. Wie würdest Du das Deinem 12jährigen Sohn erklären, der
> mit Entropie und Logarithmen noch nichts am Hut hat.
Wer's verstehen will, muss sich mit der Mathematik beschäftigen.
Wer sich nicht mit der Mathematik beschäftigen will, wird's nicht
verstehen.
Ganz einfach eigentlich, gell?
cu
59cobalt
--
"All vulnerabilities deserve a public fear period prior to patches
becoming available."
--Jason Coombs on Bugtraq
Jens Fittig
Sep 22, 2012, 6:25:27 AM9/22/12
to
Helmut Springer schrieb:
> Werner Tann <wt...@gmx.at> wrote:
> > Jahrelang wird einem von Kundigen der IT-Sicherheit geraten,
> > Gro�- und Kleinbuchstaben und Sonderzeichen.
> >
> > Alles Schmarrn, wie es scheint.
>
> Nein, und da ist kein Widerspruch.
>
> Da brute force Angriffe immer schneller werden, muessen Passwoerter
> hinreichend viele Moeglichkeiten haben, um standzuhalten.
Irgend was verstehe ich nicht. Was n�tzt es denn, wenn die Logik zum
> > Alles Schmarrn, wie es scheint.
>
> Nein, und da ist kein Widerspruch.
>
> Da brute force Angriffe immer schneller werden, muessen Passwoerter
> hinreichend viele Moeglichkeiten haben, um standzuhalten.
Erzeugen unterschiedlicher Passworte immer sachneller wird wenn die
Eingabegeschwindigkeit und die Anzahl der Versuche begrenzt ist?
Werner Tann
Sep 22, 2012, 6:49:11 AM9/22/12
to
Ansgar -59cobalt- Wiechers <usene...@planetcobalt.net> schrieb:
>Wer's verstehen will, muss sich mit der Mathematik besch�ftigen.
>Wer sich nicht mit der Mathematik besch�ftigen will, wird's nicht
>verstehen.
Ich bin davon �berzeugt, da� man jedem kognitiv gesunden Menschen
alles erkl�ren kann, sei er Kind oder erwachsen, Hilfsarbeiter oder
Akademiker, Norweger oder Neger. Dadurch da� man eine Erkl�rung
vereinfacht, mu� sie nicht notwendig falsch werden. Auch die
differenziertesten wissenschaftlichen Theorien h�chsten
Abstraktionsgrades sind - gemessen an der Wirklichkeit, die sie
beschreiben wollen - immer Vereinfachungen. Siehe Quantentheorie.
Ganz praktisch "politisch" habe ich eine tief verwurzelte Abneigung
dagegen, Methoden anzuwenden, die mich *augenscheinlich* nicht
�berzeugen, deren Wirksamkeit ich also glauben mu�.
>Wer's verstehen will, muss sich mit der Mathematik besch�ftigen.
>Wer sich nicht mit der Mathematik besch�ftigen will, wird's nicht
>verstehen.
Ich bin davon �berzeugt, da� man jedem kognitiv gesunden Menschen
alles erkl�ren kann, sei er Kind oder erwachsen, Hilfsarbeiter oder
Akademiker, Norweger oder Neger. Dadurch da� man eine Erkl�rung
vereinfacht, mu� sie nicht notwendig falsch werden. Auch die
differenziertesten wissenschaftlichen Theorien h�chsten
Abstraktionsgrades sind - gemessen an der Wirklichkeit, die sie
beschreiben wollen - immer Vereinfachungen. Siehe Quantentheorie.
Ganz praktisch "politisch" habe ich eine tief verwurzelte Abneigung
dagegen, Methoden anzuwenden, die mich *augenscheinlich* nicht
�berzeugen, deren Wirksamkeit ich also glauben mu�.
Werner Tann
Sep 22, 2012, 6:49:11 AM9/22/12
to
"Vinzent Hoefler"
<0439279208b62c95...@t-domaingrabbing.de> schrieb:
>Andersherum: Mit x Bits kann man 2**x verschiedene Dinge (Symbole)
>kodieren, so wie man mit x Ziffern 10**x verschiedene Zahlen darstellen
>kann (dann w�r's log10).
Gut, das ist ungef�hr angekommen. Vielen Dank!
Plausibel ist es mir deswegen nicht geworden. Ich will nicht
akzeptieren, da� es schwierig sein soll, 4 W�rter aus 2000 in kurzer
Zeit herauszufinden.
correct horse battery staple
Anweisung ans Hackerskript:
Pr�fe jedes Zeichen, beginnend mit dem ersten, ob es in der Liste der
2000 W�rter enthalten ist.
Also c? Nein. Weiter mit co. Nein. Weiter mit cor. Nein. ... usw.
Treffer bei correct.
Hast Du eine Zeichenkette gefunden, die als Wort in der Liste ist,
merke Dir den String und trenne ihn von der Eingabe ab. Setze fort mit
dem n�chsten Zeichen. Also mit h von horse. Ist h in der Liste? Nein.
Ist ho in der Liste? Nein. .... usw. Ist horse in der Liste? Ja. H�nge
horse an das gemerkte correct.
usw.
Die Abarbeitung eines solchen Skripts wird vermutlich nicht mal eine
Sekunde dauern! Oder wo ist mein Denkfehler?
Wie gesagt, wir gehen davon aus, da� es sich um ein Pa�wort aus 2000
W�rtern des Grundwortschatzes handelt, wie im Artikel erkl�rt.
<0439279208b62c95...@t-domaingrabbing.de> schrieb:
>Andersherum: Mit x Bits kann man 2**x verschiedene Dinge (Symbole)
>kodieren, so wie man mit x Ziffern 10**x verschiedene Zahlen darstellen
Gut, das ist ungef�hr angekommen. Vielen Dank!
Plausibel ist es mir deswegen nicht geworden. Ich will nicht
akzeptieren, da� es schwierig sein soll, 4 W�rter aus 2000 in kurzer
Zeit herauszufinden.
correct horse battery staple
Anweisung ans Hackerskript:
Pr�fe jedes Zeichen, beginnend mit dem ersten, ob es in der Liste der
2000 W�rter enthalten ist.
Also c? Nein. Weiter mit co. Nein. Weiter mit cor. Nein. ... usw.
Treffer bei correct.
Hast Du eine Zeichenkette gefunden, die als Wort in der Liste ist,
merke Dir den String und trenne ihn von der Eingabe ab. Setze fort mit
dem n�chsten Zeichen. Also mit h von horse. Ist h in der Liste? Nein.
Ist ho in der Liste? Nein. .... usw. Ist horse in der Liste? Ja. H�nge
horse an das gemerkte correct.
usw.
Die Abarbeitung eines solchen Skripts wird vermutlich nicht mal eine
Sekunde dauern! Oder wo ist mein Denkfehler?
Wie gesagt, wir gehen davon aus, da� es sich um ein Pa�wort aus 2000
W�rtern des Grundwortschatzes handelt, wie im Artikel erkl�rt.
Vinzent Hoefler
Sep 22, 2012, 6:56:01 AM9/22/12
to
Jens Fittig wrote:
> Irgend was verstehe ich nicht. Was nützt es denn, wenn die Logik zum
<http://arstechnica.com/security/2012/08/passwords-under-assault/>
> Irgend was verstehe ich nicht. Was nützt es denn, wenn die Logik zum
> Erzeugen unterschiedlicher Passworte immer sachneller wird wenn die
> Eingabegeschwindigkeit und die Anzahl der Versuche begrenzt ist?
Man knackt sie offline.
> Eingabegeschwindigkeit und die Anzahl der Versuche begrenzt ist?
<http://arstechnica.com/security/2012/08/passwords-under-assault/>
Helmut Springer
Sep 22, 2012, 7:03:34 AM9/22/12
to
Das Passwort wird nicht im Klartext angegriffen, das waere in der
Tat so trivial wie ueberfluessig.
Tat so trivial wie ueberfluessig.
Jens Fittig
Sep 22, 2012, 7:09:59 AM9/22/12
to
Vinzent Hoefler schrieb:
> Jens Fittig wrote:
>
> > Irgend was verstehe ich nicht. Was n�tzt es denn, wenn die Logik zum
> > Erzeugen unterschiedlicher Passworte immer sachneller wird wenn die
> > Eingabegeschwindigkeit und die Anzahl der Versuche begrenzt ist?
>
> Man knackt sie offline.
>
> <http://arstechnica.com/security/2012/08/passwords-under-assault/>
>
Gibt es sowas auch in verst�ndlicher Sprache? Und kurzer einfacher
> > Eingabegeschwindigkeit und die Anzahl der Versuche begrenzt ist?
>
> Man knackt sie offline.
>
> <http://arstechnica.com/security/2012/08/passwords-under-assault/>
>
verst�ndlicher Erkl�rung?
Ich kann es nicht glauben, da� jemand "offline" z.B. mein Ebaypasswort
knacken kann. Oder GMX oder was auch immer. GMX macht nach 3 (oder 5?)
Fehlversuchen dicht! Andere Einloggm�glichkeiten auch �hnlich.
Wie soll also jemand offline mit 5 Versuchen mein Passwort erraten und
erfolgreich probieren k�nnen? Im normalen Wortschatz kommen meine
Passworte nicht vor. Ein Mix aus Silben und Sonderzeichen.
Es ist immer wieder faszinierend wie solche angeblich erfolgreichen
Versuche im Fernsehen gezeigt werden. Da laufen in atemberaubender
Geschwindigkeit Hexzahlengruppen �ber den Bildschrim und nach ein paar
Sekunden steht das Passwort in Klartext da und der Moderator loggt
sich damit demonstrativ als Beweis bei Ebay ein. Das glaube ich
einfach nicht.
Dietz Proepper
Sep 22, 2012, 7:05:50 AM9/22/12
to
Werner Tann wrote:
> "Vinzent Hoefler"
> <0439279208b62c95...@t-domaingrabbing.de> schrieb:
>
>>Andersherum: Mit x Bits kann man 2**x verschiedene Dinge (Symbole)
>>kodieren, so wie man mit x Ziffern 10**x verschiedene Zahlen darstellen
>>kann (dann w�r's log10).
>
> Gut, das ist ungef�hr angekommen. Vielen Dank!
>
> Plausibel ist es mir deswegen nicht geworden. Ich will nicht
> akzeptieren, da� es schwierig sein soll, 4 W�rter aus 2000 in kurzer
> Zeit herauszufinden.
>
> correct horse battery staple
>
> Anweisung ans Hackerskript:
> Pr�fe jedes Zeichen, beginnend mit dem ersten, ob es in der Liste der
> 2000 W�rter enthalten ist.
> Also c? Nein. Weiter mit co. Nein. Weiter mit cor. Nein. ... usw.
> Treffer bei correct.
Da liegt Dein Denkfehler. Du bekommst nicht die Antwort "Treffer bei
> "Vinzent Hoefler"
> <0439279208b62c95...@t-domaingrabbing.de> schrieb:
>
>>Andersherum: Mit x Bits kann man 2**x verschiedene Dinge (Symbole)
>>kodieren, so wie man mit x Ziffern 10**x verschiedene Zahlen darstellen
>>kann (dann w�r's log10).
>
> Gut, das ist ungef�hr angekommen. Vielen Dank!
>
> Plausibel ist es mir deswegen nicht geworden. Ich will nicht
> akzeptieren, da� es schwierig sein soll, 4 W�rter aus 2000 in kurzer
> Zeit herauszufinden.
>
> correct horse battery staple
>
> Anweisung ans Hackerskript:
> Pr�fe jedes Zeichen, beginnend mit dem ersten, ob es in der Liste der
> 2000 W�rter enthalten ist.
> Also c? Nein. Weiter mit co. Nein. Weiter mit cor. Nein. ... usw.
> Treffer bei correct.
'correct'". Du bekommst nur die Antwort "falsches Passwort".
Du musst solange probieren, bis Du *genau* die Zeichenfolge "correct horse
battery staple" testest. Und das sind bei einem Alphabet mit 2000 Symbolen
(das W�rterbuch) in der G��enordnung 2000^4/2 = 8*10^12 notwendige Versuche.
Das entspricht btw. in etwa den 44 bit von weiter oben, 2^44 /2 ~ 8.8*10^12.
--
The Eagle has landed.
Vinzent Hoefler
Sep 22, 2012, 7:10:11 AM9/22/12
to
Werner Tann wrote:
> "Vinzent Hoefler"
> <0439279208b62c95...@t-domaingrabbing.de> schrieb:
>
>> Andersherum: Mit x Bits kann man 2**x verschiedene Dinge (Symbole)
>> kodieren, so wie man mit x Ziffern 10**x verschiedene Zahlen darstellen
>> kann (dann wär's log10).
> "Vinzent Hoefler"
> <0439279208b62c95...@t-domaingrabbing.de> schrieb:
>
>> Andersherum: Mit x Bits kann man 2**x verschiedene Dinge (Symbole)
>> kodieren, so wie man mit x Ziffern 10**x verschiedene Zahlen darstellen
>
> Gut, das ist ungefähr angekommen. Vielen Dank!
Gut. :)
> Plausibel ist es mir deswegen nicht geworden. Ich will nicht
> Zeit herauszufinden.
>
> correct horse battery staple
>
> Anweisung ans Hackerskript:
> Prüfe jedes Zeichen, beginnend mit dem ersten, ob es in der Liste der
>
> correct horse battery staple
>
> Anweisung ans Hackerskript:
> 2000 Wörter enthalten ist.
Nein, nicht Zeichen, wir suchen Worte (als Ersatz für Symbole).
Wir gehen ebenfalls davon aus, daß dem Cracker diese Wortliste bekannt ist
und meinetwegen auch, daß er weiß, daß es vier Worte aus eben dieser Liste
sind.
> Die Abarbeitung eines solchen Skripts wird vermutlich nicht mal eine
> Sekunde dauern! Oder wo ist mein Denkfehler?
das Paßwort bekannt ist oder Teile davon bereits zum Teilerfolg
führen. Ersteres sollte man in allen Szenarien ausschließen können. ;)
Letzteres ist schlich falsch. Entweder das Paßwort paßt oder es paßt
nicht (ok, letzteres ist nicht ganz korrekt, wenn man letztlich nur
Hashes vergleicht, aber die Kollisionswahrscheinlichkeit ist gering
genug, um sie vernachlässigen zu können).
Ein Kombinationsschloß mit vier Ziffern hat ja auch 10'000 Möglichkeiten,
die man durchprobieren müßte. Was Du beschreibst, wäre ein Kombinations-
schloß, was Dir nach jeder Ziffer sagt, ob sie richtig war oder nicht,
was die Anzahl der Versuche von durchschnittlich 5'000 auf maximal 40
(4 Ziffern a 10 Möglichkeiten) heruntersetzt.
> Wie gesagt, wir gehen davon aus, daß es sich um ein Paßwort aus 2000
> Wörtern des Grundwortschatzes handelt, wie im Artikel erklärt.
Exakt. Der Hacker hat nun diesen Wortschatz und muß die korrekten vier
Wörter daraus finden. Brute force wäre das die Kombination jeden Wortes
mit jedem aus dem Wörterbuch, das sind mal eben 2000 x 2000 x 2000 x 2000
Möglichkeiten (also ziemlich genau 16 Billionen). Um 16 Billionen
Möglichkeiten darzustellen, benötigt man mindestens 44 (ganze) Bit.
Vinzent Hoefler
Sep 22, 2012, 7:25:00 AM9/22/12
to
Jens Fittig wrote:
> Vinzent Hoefler schrieb:
>
>> Jens Fittig wrote:
>>
>> > Irgend was verstehe ich nicht. Was nützt es denn, wenn die Logik zum
> Vinzent Hoefler schrieb:
>
>> Jens Fittig wrote:
>>
>> > Erzeugen unterschiedlicher Passworte immer sachneller wird wenn die
>> > Eingabegeschwindigkeit und die Anzahl der Versuche begrenzt ist?
>>
>> Man knackt sie offline.
>>
>> <http://arstechnica.com/security/2012/08/passwords-under-assault/>
>
> Gibt es sowas auch in verständlicher Sprache? Und kurzer einfacher
>> > Eingabegeschwindigkeit und die Anzahl der Versuche begrenzt ist?
>>
>> Man knackt sie offline.
>>
>> <http://arstechnica.com/security/2012/08/passwords-under-assault/>
>
> verständlicher Erklärung?
>
> Ich kann es nicht glauben, daß jemand "offline" z.B. mein Ebaypasswort
> knacken kann. Oder GMX oder was auch immer. GMX macht nach 3 (oder 5?)
> Fehlversuchen dicht! Andere Einloggmöglichkeiten auch ähnlich.
Vielleicht nicht spezifisch Deines. Aber das eines anderen, welches in
einer veröffentlichten Paßwortliste steht und in anderen Accounts
so (oder nur ähnlich) wiederverwendet wird.
> Wie soll also jemand offline mit 5 Versuchen mein Passwort erraten und
> Passworte nicht vor. Ein Mix aus Silben und Sonderzeichen.
Ja, und? Wenn er 10'000'000 Usernamen mit den zugehörigen Paßworthashes
hat, kann er versuchen, die Hashes zu knacken. Und irgendeiner von den
Usernamen wird dann schon sein "12345", "passwort123" oder "f6/V12-gmx"
(weil das andere "f6/V12-wow" lautete) als Paßwort wiederverwendet haben.
> Es ist immer wieder faszinierend wie solche angeblich erfolgreichen
> Versuche im Fernsehen gezeigt werden. Da laufen in atemberaubender
> Sekunden steht das Passwort in Klartext da und der Moderator loggt
> sich damit demonstrativ als Beweis bei Ebay ein. Das glaube ich
> einfach nicht.
Wenn er bei Ebay das gleiche Paßwort verwendet wie das aus der geknackten
> sich damit demonstrativ als Beweis bei Ebay ein. Das glaube ich
> einfach nicht.
Datenbank (sofern es nicht ohnehin die von Ebay wäre) wird das klappen.
Und ja, das ist natürlich der Show wegen.
Aber was die Leute immer wieder gern verkennen ist ja nicht, daß es darum
geht, /eine/ spezifische Person bzw. deren Accounts anzugreifen, sondern
eine /beliebige/. Der Rest ist eine Frage der Wahrscheinlichkeit.
Robert Jasiek
Sep 22, 2012, 7:34:15 AM9/22/12
to
Dietz Proepper wrote:
>2000^4/2
Wieso /2 ?
>2000^4/2
Wieso /2 ?
Jens Fittig
Sep 22, 2012, 7:41:27 AM9/22/12
to
Vinzent Hoefler schrieb:
<viel Theorie>
die IMHO nichts nutzt, weil keiner so viele Versuche bis zum Erfolg
durchf�hren kann und wohl nur in den seltensten F�llen irgendwas mit
Passwortlisten anfangen kann, die genau zu dem zu knackenden Passwort
passen k�nnten.
Werner Tann
Sep 22, 2012, 8:19:11 AM9/22/12
to
Helmut Springer <delta+...@lug-s.org> schrieb:
>Da brute force Angriffe immer schneller werden, muessen Passwoerter
>hinreichend viele Moeglichkeiten haben, um standzuhalten.
�brigens ist die eigentliche Message des von mir zitierten Artikels,
die eigentliche Erkenntnis der Spieleschmiede ArenaNet, da� die
heutigen Hacker von Spiele-Servern mehrheitlich gar keine
BruteForce-Methoden verwenden, sondern die Benutzer- und Pa�w�rter
bereits kennen! Aus Phishingattacken, Keyloggern uws. Und sie n�tzen
die Tatsache aus, da� sehr viele Spieler die desselben Accountdaten
f�r verschiedene Spiele benutzen. Hei�t: 1 Server geknackt und Daten
gestohlen oder die Daten per Phishing f�r 1 Spiel abgegriffen, �ffnet
Zugang zu weiteren Spielen.
>Da brute force Angriffe immer schneller werden, muessen Passwoerter
>hinreichend viele Moeglichkeiten haben, um standzuhalten.
die eigentliche Erkenntnis der Spieleschmiede ArenaNet, da� die
heutigen Hacker von Spiele-Servern mehrheitlich gar keine
BruteForce-Methoden verwenden, sondern die Benutzer- und Pa�w�rter
bereits kennen! Aus Phishingattacken, Keyloggern uws. Und sie n�tzen
die Tatsache aus, da� sehr viele Spieler die desselben Accountdaten
f�r verschiedene Spiele benutzen. Hei�t: 1 Server geknackt und Daten
gestohlen oder die Daten per Phishing f�r 1 Spiel abgegriffen, �ffnet
Zugang zu weiteren Spielen.
Werner Tann
Sep 22, 2012, 8:19:12 AM9/22/12
to
Dietz Proepper <dietz...@rotfl.franken.de> schrieb:
>Da liegt Dein Denkfehler. Du bekommst nicht die Antwort "Treffer bei
>'correct'". Du bekommst nur die Antwort "falsches Passwort".
Das ist mir inzwischen auch aufgegangen, ja. :-)
Nach Eingabe von "c", bekommt der Hacker ja keine Best�tigung daf�r,
da� "c" an dieser Position richtig ist. Er mu� immer die gesamte
Zeichenkette ausprobieren und bekommt nur f�rs Ganze ein "richtig"
oder "falsch".
Verwirrend sind die "�blichen W�rter" halt deswegen, weil immer betont
wurde, man solle in Pa�w�rter keine solchen W�rterbuchw�rter
verwenden, auch nicht als Teil des Pa�worts, z. B. als bkcorrectQa.
Offensichtlich stellt bei "correcthorsebatterystaple" die *L�nge* die
Sicherheit her und macht die darin verwendeten �blichen W�rter f�r den
Benutzer ungef�hrlich.
>Da liegt Dein Denkfehler. Du bekommst nicht die Antwort "Treffer bei
>'correct'". Du bekommst nur die Antwort "falsches Passwort".
Nach Eingabe von "c", bekommt der Hacker ja keine Best�tigung daf�r,
da� "c" an dieser Position richtig ist. Er mu� immer die gesamte
Zeichenkette ausprobieren und bekommt nur f�rs Ganze ein "richtig"
oder "falsch".
Verwirrend sind die "�blichen W�rter" halt deswegen, weil immer betont
wurde, man solle in Pa�w�rter keine solchen W�rterbuchw�rter
verwenden, auch nicht als Teil des Pa�worts, z. B. als bkcorrectQa.
Offensichtlich stellt bei "correcthorsebatterystaple" die *L�nge* die
Sicherheit her und macht die darin verwendeten �blichen W�rter f�r den
Benutzer ungef�hrlich.
Werner Tann
Sep 22, 2012, 8:22:43 AM9/22/12
to
Werner Tann <wt...@gmx.at> schrieb:
>Verwirrend sind die "�blichen W�rter" halt deswegen, weil immer betont
>wurde, man solle in Pa�w�rter keine solchen W�rterbuchw�rter
>verwenden
Herrgottsakra, vor lauter Logarithmen kann ich jetzt nimmer Deutsch.
--> man solle in Pa�w�rterN
(Kam davon, weil ich zuerst "in Pa�w�rter ... packen" schreiben
wollte.)
>Verwirrend sind die "�blichen W�rter" halt deswegen, weil immer betont
>wurde, man solle in Pa�w�rter keine solchen W�rterbuchw�rter
>verwenden
--> man solle in Pa�w�rterN
(Kam davon, weil ich zuerst "in Pa�w�rter ... packen" schreiben
wollte.)
Thomas Hochstein
Sep 22, 2012, 9:27:53 AM9/22/12
to
Werner Tann schrieb:
> Verwirrend sind die "üblichen Wörter" halt deswegen, weil immer betont
> wurde, man solle in Paßwörter keine solchen Wörterbuchwörter
> verwenden, auch nicht als Teil des Paßworts, z. B. als bkcorrectQa.
Das ist ja auch grundsätzlich richtig. Eine wirklich zufällige Folge
von 11 Zeichen (nicht nur kleine und große Buchstaben, sondern auch
Zahlen und Sonderzeichen) ist deutlich sicherer, als wenn 7 dieser 11
Zeichen ein "Wörterbuchwort" sind wie in Deinem Falle.
Andersherum sind 25 Zeichen sicherer als 11.
> Offensichtlich stellt bei "correcthorsebatterystaple" die *Länge* die
> Sicherheit her und macht die darin verwendeten üblichen Wörter für den
> Benutzer ungefährlich.
Dennoch wären 25 völlig zufällige Zeichen wiederum sicherer.
-thh
> Verwirrend sind die "üblichen Wörter" halt deswegen, weil immer betont
> wurde, man solle in Paßwörter keine solchen Wörterbuchwörter
> verwenden, auch nicht als Teil des Paßworts, z. B. als bkcorrectQa.
Das ist ja auch grundsätzlich richtig. Eine wirklich zufällige Folge
von 11 Zeichen (nicht nur kleine und große Buchstaben, sondern auch
Zahlen und Sonderzeichen) ist deutlich sicherer, als wenn 7 dieser 11
Zeichen ein "Wörterbuchwort" sind wie in Deinem Falle.
Andersherum sind 25 Zeichen sicherer als 11.
> Offensichtlich stellt bei "correcthorsebatterystaple" die *Länge* die
> Sicherheit her und macht die darin verwendeten üblichen Wörter für den
> Benutzer ungefährlich.
Dennoch wären 25 völlig zufällige Zeichen wiederum sicherer.
-thh
Karl-Uwe Frank
Sep 22, 2012, 10:23:49 AM9/22/12
to
On 22.09.12 07:50, Werner Tann wrote:
> Manchmal kriegt man auch in der IT das Gefühl, deren Aussagen seien so
> gewiß wie jene der Ernährungsberater, die uns heute davon abraten, das
> zu essen, was sie uns gestern empfohlen haben.
>
> Jahrelang wird einem von Kundigen der IT-Sicherheit geraten,
> Passwörter mindestens 8stellig zu wählen, alphanumerisch, mit Groß-
> und Kleinbuchstaben und Sonderzeichen.
>
Hier findest Du diesbezüglich einen sehr gut erklärenden Artikel,
> Manchmal kriegt man auch in der IT das Gefühl, deren Aussagen seien so
> gewiß wie jene der Ernährungsberater, die uns heute davon abraten, das
> zu essen, was sie uns gestern empfohlen haben.
>
> Jahrelang wird einem von Kundigen der IT-Sicherheit geraten,
> Passwörter mindestens 8stellig zu wählen, alphanumerisch, mit Groß-
> und Kleinbuchstaben und Sonderzeichen.
>
allerdings nur in English.
http://pthree.org/2011/03/07/strong-passwords-need-entropy/
Interessant ist eventuell noch die am Ende des Artikel erwähnte Passcard
(http://passwordcard.org). Eine zuverlässige, einfache, flexible Lösung
für das tägliche Passwort-Problem.
Cheers,
Karl-Uwe
Ansgar -59cobalt- Wiechers
Sep 22, 2012, 10:29:10 AM9/22/12
to
Anzahl Möglichkeiten, die man im Durchschnitt testen muss, um einen
Treffer zu erhalten.
Ansgar -59cobalt- Wiechers
Sep 22, 2012, 10:33:03 AM9/22/12
to
>> Wer's verstehen will, muss sich mit der Mathematik beschäftigen.
>> Wer sich nicht mit der Mathematik beschäftigen will, wird's nicht
>> verstehen.
>
> Ich bin davon überzeugt, [...]
Das steht dir frei.
>> Wer sich nicht mit der Mathematik beschäftigen will, wird's nicht
>> verstehen.
>
> Ich bin davon überzeugt, [...]
Das steht dir frei.
Dietz Proepper
Sep 22, 2012, 10:37:23 AM9/22/12
to
Werner Tann wrote:
> Dietz Proepper <dietz...@rotfl.franken.de> schrieb:
>
>>Da liegt Dein Denkfehler. Du bekommst nicht die Antwort "Treffer bei
>>'correct'". Du bekommst nur die Antwort "falsches Passwort".
>
> Das ist mir inzwischen auch aufgegangen, ja. :-)
Gut.
> Dietz Proepper <dietz...@rotfl.franken.de> schrieb:
>
>>Da liegt Dein Denkfehler. Du bekommst nicht die Antwort "Treffer bei
>>'correct'". Du bekommst nur die Antwort "falsches Passwort".
>
> Das ist mir inzwischen auch aufgegangen, ja. :-)
> Nach Eingabe von "c", bekommt der Hacker ja keine Bestätigung dafür,
> daß "c" an dieser Position richtig ist. Er muß immer die gesamte
> Zeichenkette ausprobieren und bekommt nur fürs Ganze ein "richtig"
> oder "falsch".
Exakt.
> Verwirrend sind die "üblichen Wörter" halt deswegen, weil immer betont
> wurde, man solle in Paßwörter keine solchen Wörterbuchwörter
> verwenden,
ist selten die Rede. Zudem, es gibt nachwievor Systeme, welche Passwörter auf
recht kurze Längen begrenzen, dort sind wortbasierte Passwörter eher
ungeschickt.
> auch nicht als Teil des Paßworts, z. B. als bkcorrectQa.
> Offensichtlich stellt bei "correcthorsebatterystaple" die *Länge* die
> Sicherheit her und macht die darin verwendeten üblichen Wörter für den
> Benutzer ungefährlich.
Exakt. Ein Wort <-> 2000 Versuche, zwei Wörter, 2000*2000 usw. wenn man
> Sicherheit her und macht die darin verwendeten üblichen Wörter für den
> Benutzer ungefährlich.
vielleicht noch ungewöhnliche Wörter mit einmischt, dann wird das Alphabet
(d.h. die Menge der Wörter) nochmal wesentlich größer.
Dietz Proepper
Sep 22, 2012, 10:40:36 AM9/22/12
to
sie einfach merkbare und trotzdem relativ gute Passwörter erzeugt. Man könnte
natürlich auch statt "correct horse battery stable" z.B. "cret hre btey sal"
verwenden, d.h. Indices auf den Langtext als Passwort verwenden. Damit
kombiniert man einfache Mnemorierbarkeit mit sehr guten Passwörtern.
Thomas Hochstein
Sep 22, 2012, 11:02:06 AM9/22/12
to
Dietz Proepper schrieb:
> Thomas Hochstein wrote:
>> Dennoch wären 25 völlig zufällige Zeichen wiederum sicherer.
>
> Und wesentlich schlechter zu merken.
Klar. Viele einfach merkbare Paßworte sind deutlich sicherer als die
theoretisch sicheren, die aufgrund ihrer schlechten Merkbarkeit dann
aber auf einem Post-it unter der Tastatur (oder am Bildschirm ...)
kleben. ;)
-thh
> Thomas Hochstein wrote:
>> Dennoch wären 25 völlig zufällige Zeichen wiederum sicherer.
>
> Und wesentlich schlechter zu merken.
theoretisch sicheren, die aufgrund ihrer schlechten Merkbarkeit dann
aber auf einem Post-it unter der Tastatur (oder am Bildschirm ...)
kleben. ;)
-thh
Werner Tann
Sep 22, 2012, 1:29:49 PM9/22/12
to
Thomas Hochstein <t...@inter.net> schrieb:
>Klar. Viele einfach merkbare Pa�worte sind deutlich sicherer als die
mehrmalige Falscheingabe der 25-Zeichen-Wurst. Man vertippt sich
bekanntlich auch bei einfachen W�rtern des Grundwortschatzes, zumal
man Pa�w�rter oft "blind" eingeben mu�. Au�erdem d�rfte bei einfachen
W�rtern die Konzentration aufs richtige Tippen sinken - im Vergleich
zur Eingabe alphanumerischer Sinnlossilben. So nach dem Motto "Dazu
brauch' ich mich nicht zu konzentrieren, ich werd ja wohl noch
'dasisteinmegageilespasswort" richtig tippen k�nnen.'" :-)
Ich sehe gerade, mein ISP erlaubt mir nur Pa�w�rter von 8 bis 16
Zeichen. Hm, 4 W�rter � 4 Zeichen, das beruhigt mich wieder nicht so
besonders. Vielleicht sollte ich doch diese 4 kurzen W�rtchen ein
wenig aufpeppen mit Sonderzeichen und Gro�- und Klein ... Und ich hab
doch noch irgendwo ein Post-It-Bl�ckchen herumliegen ...
Hach Gott, ist das Leben schwierich 8-)
>Klar. Viele einfach merkbare Pa�worte sind deutlich sicherer als die
>theoretisch sicheren, die aufgrund ihrer schlechten Merkbarkeit dann
>aber auf einem Post-it unter der Tastatur (oder am Bildschirm ...)
>kleben. ;)
Nicht zu vergessen die verplemperte Arbeitszeit durch ein- oder gar
>aber auf einem Post-it unter der Tastatur (oder am Bildschirm ...)
>kleben. ;)
mehrmalige Falscheingabe der 25-Zeichen-Wurst. Man vertippt sich
bekanntlich auch bei einfachen W�rtern des Grundwortschatzes, zumal
man Pa�w�rter oft "blind" eingeben mu�. Au�erdem d�rfte bei einfachen
W�rtern die Konzentration aufs richtige Tippen sinken - im Vergleich
zur Eingabe alphanumerischer Sinnlossilben. So nach dem Motto "Dazu
brauch' ich mich nicht zu konzentrieren, ich werd ja wohl noch
'dasisteinmegageilespasswort" richtig tippen k�nnen.'" :-)
Ich sehe gerade, mein ISP erlaubt mir nur Pa�w�rter von 8 bis 16
Zeichen. Hm, 4 W�rter � 4 Zeichen, das beruhigt mich wieder nicht so
besonders. Vielleicht sollte ich doch diese 4 kurzen W�rtchen ein
wenig aufpeppen mit Sonderzeichen und Gro�- und Klein ... Und ich hab
doch noch irgendwo ein Post-It-Bl�ckchen herumliegen ...
Hach Gott, ist das Leben schwierich 8-)
Werner Holtfreter
Sep 22, 2012, 3:30:00 PM9/22/12
to
Am Sat, 22 Sep 2012 13:10:11 +0200 schrieb Vinzent Hoefler:
> Ein Kombinationsschloß mit vier Ziffern hat ja auch 10'000
> Möglichkeiten, die man durchprobieren müßte. Was Du beschreibst, wäre
> ein Kombinations- schloß, was Dir nach jeder Ziffer sagt, ob sie richtig
> war oder nicht,
Letzteres ist bei billigen Zahlenschlössern Realität: Ein bisschen
> Ein Kombinationsschloß mit vier Ziffern hat ja auch 10'000
> Möglichkeiten, die man durchprobieren müßte. Was Du beschreibst, wäre
> ein Kombinations- schloß, was Dir nach jeder Ziffer sagt, ob sie richtig
> war oder nicht,
Vorspannung, und die einzelnen Zahlenrädchen rasten in der passenden
Stellung schon ein wenig ein. Das nur am Rande.
--
Gruß Werner
Werner Holtfreter
Sep 22, 2012, 3:42:44 PM9/22/12
to
Am Sat, 22 Sep 2012 13:25:00 +0200 schrieb Vinzent Hoefler:
> Wenn er 10'000'000 Usernamen mit den zugehörigen Paßworthashes
> hat, kann er versuchen, die Hashes zu knacken.
Das setzt voraus, dass diese Hashes gestohlen wurden.
> Wenn er 10'000'000 Usernamen mit den zugehörigen Paßworthashes
> hat, kann er versuchen, die Hashes zu knacken.
Offline-Knacken kann man auch mit verschlüsselten Datenträgern oder
verschlüsselten E-Mails versuchen. Aber wenn die Prüfung online auf einem
integren Server des Anbieters erfolgt, der die Zahl der Versuche und/oder
die Zeit zwischen den Versuchen bestimmt, kommt man nicht dazu, sehr
viele Kombinationen zu testen. Unter dieser Bedingung genügt dann eben
die 4-stellige Pin der Kreditkarte. Bei drei Versuchen hat man eine
Chance von 1/(9999/3) = 1/3333. Naja, immer noch bessere Chancen, als
beim Lotto.
--
Gruß Werner
Vinzent Hoefler
Sep 22, 2012, 6:03:15 PM9/22/12
to
Werner Holtfreter wrote:
> Unter dieser Bedingung genügt dann eben
> die 4-stellige Pin der Kreditkarte. Bei drei Versuchen hat man eine
> Chance von 1/(9999/3) = 1/3333. Naja, immer noch bessere Chancen, als
> beim Lotto.
Und wenn ich 3'333 Kreditkarten zum Rumprobieren habe...
> Unter dieser Bedingung genügt dann eben
> die 4-stellige Pin der Kreditkarte. Bei drei Versuchen hat man eine
> Chance von 1/(9999/3) = 1/3333. Naja, immer noch bessere Chancen, als
> beim Lotto.
<http://www.datagenetics.com/blog/september32012/>
PIN Freq
#1 1234 10.713%
#2 1111 6.016%
#3 0000 1.881%
Statistisch kann ich mit "1234" auf 300 Treffer beim ersten Versuch
hoffen.
Message has been deleted
Message has been deleted
Message has been deleted
Message has been deleted
Message has been deleted
Message has been deleted
Message has been deleted
Helmut Springer
Sep 23, 2012, 1:56:53 AM9/23/12
to
Werner Tann <wt...@gmx.at> wrote:
> Ich bin davon ￜberzeugt, daￜ man jedem kognitiv gesunden Menschen
> alles erklï¿œren kann, sei er Kind oder erwachsen, Hilfsarbeiter
> oder Akademiker, Norweger oder Neger.
Es dauert halt entsprechend lange.
> Dadurch daￜ man eine Erklￜrung vereinfacht, muￜ sie nicht
> notwendig falsch werden.
Ab einem gewissen Vereinfachungsgrad wird das Verstaendnis eines
komplexen Vorgangs immer falsch. Es ist vielleicht noch plausibel,
aber es reicht nicht mehr zur Erfassung der notwendigen
Eigenschaften.
> Auch die differenziertesten wissenschaftlichen Theorien hï¿œchsten
> Abstraktionsgrades sind - gemessen an der Wirklichkeit, die sie
> beschreiben wollen - immer Vereinfachungen. Siehe Quantentheorie.
Das macht es nicht einfacher, im Gegenteil. In der Physik ist das
Verstehen der Grenzen und Widersprueche der Modelle fundamentaler
Teil des Verstaendnisses.
> Ganz praktisch "politisch" habe ich eine tief verwurzelte
> Abneigung dagegen, Methoden anzuwenden, die mich *augenscheinlich*
> nicht ￜberzeugen, deren Wirksamkeit ich also glauben muￜ.
In der Statistik zB kann man Dinge beweisen, es macht sie aber nicht
glaubhafter.
--
MfG/Best regards
helmut springer panta rhei
> Ich bin davon ￜberzeugt, daￜ man jedem kognitiv gesunden Menschen
> alles erklï¿œren kann, sei er Kind oder erwachsen, Hilfsarbeiter
> oder Akademiker, Norweger oder Neger.
Es dauert halt entsprechend lange.
> Dadurch daￜ man eine Erklￜrung vereinfacht, muￜ sie nicht
> notwendig falsch werden.
Ab einem gewissen Vereinfachungsgrad wird das Verstaendnis eines
komplexen Vorgangs immer falsch. Es ist vielleicht noch plausibel,
aber es reicht nicht mehr zur Erfassung der notwendigen
Eigenschaften.
> Auch die differenziertesten wissenschaftlichen Theorien hï¿œchsten
> Abstraktionsgrades sind - gemessen an der Wirklichkeit, die sie
> beschreiben wollen - immer Vereinfachungen. Siehe Quantentheorie.
Das macht es nicht einfacher, im Gegenteil. In der Physik ist das
Verstehen der Grenzen und Widersprueche der Modelle fundamentaler
Teil des Verstaendnisses.
> Ganz praktisch "politisch" habe ich eine tief verwurzelte
> Abneigung dagegen, Methoden anzuwenden, die mich *augenscheinlich*
> nicht ￜberzeugen, deren Wirksamkeit ich also glauben muￜ.
In der Statistik zB kann man Dinge beweisen, es macht sie aber nicht
glaubhafter.
--
MfG/Best regards
helmut springer panta rhei
Juergen P. Meier
Sep 23, 2012, 2:07:59 AM9/23/12
to
Werner Tann <wt...@gmx.at>:
> "Vinzent Hoefler"
><0439279208b62c95...@t-domaingrabbing.de> schrieb:
>
>>Werner Tann wrote:
>>
>>> Plausibel ist mir das nicht. Und mathematisch verstehe ich es nicht.
>>> Kann mir das jemand erklären? Vor allem wüßte ich gerne, was genau die
>>> im Comic erwähnten 28 und 44 bits of entropy sind bzw. woraus sie sich
>>> bilden. Warum hat eines der 4 Wörter (correct, horse ...) 11 bits of
>>> entropy?
>>
>>Bei 2000 Wörtern im Grundwortschatz und zufälliger(!) Auswahl daraus,
>>ergibt das eine Entropie von log2(2000) = 10.9 (und ein bißchen was)
>>pro Wort.
>
> Okay, anders. Wie würdest Du das Deinem 12jährigen Sohn erklären, der
> mit Entropie und Logarithmen noch nichts am Hut hat.
Ersetze Entropie mit Aequivalenz oder die Anzahl moeglicher
variationen eines Wortes.
> Konkret: Warum log(2)? Woher kommt die 2? Ob man eines der 2000 Wörter
Wenn man die Zahl der Moeglichen Woerter in Bit ausdruecken will, muss
man den 2-er Logarithmus anwenden. die Bit-Zahl ist hier der Exponent,
also 2^11 = 2048, die Umkerung der Exponentialfunktoin heist halt
Logarithmus, und wenn die Exponentenbasis 2 ist, heist das 2-er
Logarithmus. Bei 10er Potenzen nimmt man den Zehner-Logarithmus log10
statdessen (beispiel: log_10 (10000) = 3, 10 ^ 3 = 10000.
In Bit will man das deswegen ausdruecken, um es mit kryptischen
Passwoertern vergleichen zu koennen.
> auswählt oder nicht, also 2 mögliche "Zustände"? Sorry, daß ich
> Logarithmen gelernt habe, ist leider 40 Jahre her. Was konkret
> bedeutet eine Entropie von 44 Bits?
Das du als Angreifer im Mittel 2^44/2 Versuche brauchst, um die
Passphrase zu erraten.
Verglichen mit einem kyrptischen PAsswort mit einer Staerke von nur
28 bit ist das nicht knapp doppelt so viel, sondern 2^16 mal so stark.
Schreibe die Exponenten einfach mal ausgerechnet hin:
2^44 = 17592186044416
2^28 = 268435456
2^16 = 65536
Eine Phrase aus vier zufaelligen gewoehnlichen Woertern ergibt also
einen Suchraum fuer einen Angreifer von 1 aus 17592186044416.
Bei dem Passwort sind es nur 1 aus 268435456, ein Brute-Forece Angriff
gegen die Passphrase dauert also 65536 mal laenger als gegen das Passwort.
Wenn du einen System hast, wo ein Angreifer z.B. 100.000 Passworte pro
minute ausrobieren kann, ist das Passwort in Mittel nach 22, spaetestens
nach 44 Stunden geknackt.
Bei der PAssphrase tut sich dieser Angreifer schwerer: er braucht im
Mittel 167 Jahre und hat es spaetestens nach 334 Jahren geknackt.
Natuerlich ist es individuell anders, wie leicht bzw. schwer sich der
Einzelene kryptische Zeichenfolgen im Vergleich zu beliebigen
Wortfolgen merken kann. Diese indiviuell verschiedene Komponente
verwaessert natuerlich obige Allgemeinsicht so stark, dass es fuer den
Einzelnen durchaus nicht so allgemein zutreffen mag, im Allgemeinen
hingegen, also bei der Mehrzahl der Menschen die in einer auf Sprache
fixierten Gesellschaft aufgewachsen sind und als erste und wichtigste
Kommunikatoinsform eben das gesprochene Wort erlernt haben, kann man
durchaus verallgemeinern. Einzelfaelle stehen natuerlich dabei aussen
Vor.
HTH,
Juergen
--
Juergen P. Meier - "This World is about to be Destroyed!"
end
If you think technology can solve your problems you don't understand
technology and you don't understand your problems. (Bruce Schneier)
> "Vinzent Hoefler"
><0439279208b62c95...@t-domaingrabbing.de> schrieb:
>
>>Werner Tann wrote:
>>
>>> Plausibel ist mir das nicht. Und mathematisch verstehe ich es nicht.
>>> Kann mir das jemand erklären? Vor allem wüßte ich gerne, was genau die
>>> im Comic erwähnten 28 und 44 bits of entropy sind bzw. woraus sie sich
>>> bilden. Warum hat eines der 4 Wörter (correct, horse ...) 11 bits of
>>> entropy?
>>
>>Bei 2000 Wörtern im Grundwortschatz und zufälliger(!) Auswahl daraus,
>>ergibt das eine Entropie von log2(2000) = 10.9 (und ein bißchen was)
>>pro Wort.
>
> Okay, anders. Wie würdest Du das Deinem 12jährigen Sohn erklären, der
> mit Entropie und Logarithmen noch nichts am Hut hat.
Ersetze Entropie mit Aequivalenz oder die Anzahl moeglicher
variationen eines Wortes.
> Konkret: Warum log(2)? Woher kommt die 2? Ob man eines der 2000 Wörter
Wenn man die Zahl der Moeglichen Woerter in Bit ausdruecken will, muss
man den 2-er Logarithmus anwenden. die Bit-Zahl ist hier der Exponent,
also 2^11 = 2048, die Umkerung der Exponentialfunktoin heist halt
Logarithmus, und wenn die Exponentenbasis 2 ist, heist das 2-er
Logarithmus. Bei 10er Potenzen nimmt man den Zehner-Logarithmus log10
statdessen (beispiel: log_10 (10000) = 3, 10 ^ 3 = 10000.
In Bit will man das deswegen ausdruecken, um es mit kryptischen
Passwoertern vergleichen zu koennen.
> auswählt oder nicht, also 2 mögliche "Zustände"? Sorry, daß ich
> Logarithmen gelernt habe, ist leider 40 Jahre her. Was konkret
> bedeutet eine Entropie von 44 Bits?
Das du als Angreifer im Mittel 2^44/2 Versuche brauchst, um die
Passphrase zu erraten.
Verglichen mit einem kyrptischen PAsswort mit einer Staerke von nur
28 bit ist das nicht knapp doppelt so viel, sondern 2^16 mal so stark.
Schreibe die Exponenten einfach mal ausgerechnet hin:
2^44 = 17592186044416
2^28 = 268435456
2^16 = 65536
Eine Phrase aus vier zufaelligen gewoehnlichen Woertern ergibt also
einen Suchraum fuer einen Angreifer von 1 aus 17592186044416.
Bei dem Passwort sind es nur 1 aus 268435456, ein Brute-Forece Angriff
gegen die Passphrase dauert also 65536 mal laenger als gegen das Passwort.
Wenn du einen System hast, wo ein Angreifer z.B. 100.000 Passworte pro
minute ausrobieren kann, ist das Passwort in Mittel nach 22, spaetestens
nach 44 Stunden geknackt.
Bei der PAssphrase tut sich dieser Angreifer schwerer: er braucht im
Mittel 167 Jahre und hat es spaetestens nach 334 Jahren geknackt.
Natuerlich ist es individuell anders, wie leicht bzw. schwer sich der
Einzelene kryptische Zeichenfolgen im Vergleich zu beliebigen
Wortfolgen merken kann. Diese indiviuell verschiedene Komponente
verwaessert natuerlich obige Allgemeinsicht so stark, dass es fuer den
Einzelnen durchaus nicht so allgemein zutreffen mag, im Allgemeinen
hingegen, also bei der Mehrzahl der Menschen die in einer auf Sprache
fixierten Gesellschaft aufgewachsen sind und als erste und wichtigste
Kommunikatoinsform eben das gesprochene Wort erlernt haben, kann man
durchaus verallgemeinern. Einzelfaelle stehen natuerlich dabei aussen
Vor.
HTH,
Juergen
--
Juergen P. Meier - "This World is about to be Destroyed!"
end
If you think technology can solve your problems you don't understand
technology and you don't understand your problems. (Bruce Schneier)
Juergen P. Meier
Sep 23, 2012, 2:29:12 AM9/23/12
to
Dietz Proepper <dietz...@rotfl.franken.de>:
gibt (die schraenken naemlich den suchraum ein, was den Angriff
erleichtert). Bei "sal" waere das z.B. nicht gegeben.
Der Angreifer muss natuerlich auch deinen Algorithmus zur
Wortumbildung kennen, um mit einer Grundwortschatz-Dictionary-Attacke
deine Passphrase als Wortattacke anzugreifen. Sonst bleibt ihm nur der
Brute-force gegen ein "Passwort" aus 16 zeichen (buchstaben), also
2^(16 * 26)...
Eine Balance aus Merkbarkeit und Modifikationen ist uebrigens
ueberraschend schwer zu finden.
> Und wesentlich schlechter zu merken. Das Schöne an der Wortmethode ist, dass
> sie einfach merkbare und trotzdem relativ gute Passwörter erzeugt. Man könnte
> natürlich auch statt "correct horse battery stable" z.B. "cret hre btey sal"
> verwenden, d.h. Indices auf den Langtext als Passwort verwenden. Damit
> kombiniert man einfache Mnemorierbarkeit mit sehr guten Passwörtern.
Solange die Memen eindeutig sind und es keine hohe Zahl von doubletten
> sie einfach merkbare und trotzdem relativ gute Passwörter erzeugt. Man könnte
> natürlich auch statt "correct horse battery stable" z.B. "cret hre btey sal"
> verwenden, d.h. Indices auf den Langtext als Passwort verwenden. Damit
> kombiniert man einfache Mnemorierbarkeit mit sehr guten Passwörtern.
gibt (die schraenken naemlich den suchraum ein, was den Angriff
erleichtert). Bei "sal" waere das z.B. nicht gegeben.
Der Angreifer muss natuerlich auch deinen Algorithmus zur
Wortumbildung kennen, um mit einer Grundwortschatz-Dictionary-Attacke
deine Passphrase als Wortattacke anzugreifen. Sonst bleibt ihm nur der
Brute-force gegen ein "Passwort" aus 16 zeichen (buchstaben), also
2^(16 * 26)...
Eine Balance aus Merkbarkeit und Modifikationen ist uebrigens
ueberraschend schwer zu finden.
Werner Tann
Sep 23, 2012, 2:48:10 AM9/23/12
to
Ralf Döblitz <doeb...@doeblitz.net> schrieb:
>> Dadurch daß man eine Erklärung vereinfacht, muß sie nicht notwendig
>> falsch werden. Auch die differenziertesten wissenschaftlichen Theorien
>> höchsten Abstraktionsgrades sind - gemessen an der Wirklichkeit, die
>Vereinfachung irgendwann auf "1 = 1" hinaus. Zwar sachlich korrekt, aber
>die eigentlich wichtigen Details gehen verloren.
Was die "eigentlich wichtigen Details" oder das "bestimmte Minimum an
Fachwissen" sind, ist doch reine Definitionssache. Woher nimmt die
Sonne die Power, daß sie nun seit über 4 Milliarden Jahren leuchten
und heizen kann? Kernfusion, sagt die Naturwissenschaft. Das "wichtige
Detail" der Kernfusion versteht aber doch bitte jemand ohne Studium
nie wirklich "ganz". Was aber, behaupte ich, auch unnötig ist für Otto
Normalverbraucher. Man kann die Kernfusion vereinfachend und knapp
beschreiben, und das läuft nicht auf 1=1 hinaus ...
>> Ganz praktisch "politisch" habe ich eine tief verwurzelte Abneigung
>> dagegen, Methoden anzuwenden, die mich *augenscheinlich* nicht
>> überzeugen, deren Wirksamkeit ich also glauben muß.
>
>Dagegen hilft nur lernen.
Der Punkt ist, daß dies noch zu Zeiten Leonardo da Vincis gelang,
heute kann niemand in allen Wissenschaften auf dem Stand unserer Zeit
sein, nicht mal auf populärwissenschaftlichem Niveau, von
universitärem ganz zu schweigen. Meist sind Interessen und Kenntnisse
recht eindeutig in bestimmten Wissensbereichen verortet, bei
Ausblendung wenig verwandter anderer. Wer als interessierter Laie über
Kernfusion recht gut Bescheid weiß, kann in der Regel nicht näher
erklären, was der Expressionismus vorstellt usw.
>> Dadurch daß man eine Erklärung vereinfacht, muß sie nicht notwendig
>> falsch werden. Auch die differenziertesten wissenschaftlichen Theorien
>> höchsten Abstraktionsgrades sind - gemessen an der Wirklichkeit, die
>> sie beschreiben wollen - immer Vereinfachungen. Siehe Quantentheorie.
>
>Aber ein bestimmtes Minimum an Fachwissen ist notwendig, sonst läuft die
>
>Vereinfachung irgendwann auf "1 = 1" hinaus. Zwar sachlich korrekt, aber
>die eigentlich wichtigen Details gehen verloren.
Was die "eigentlich wichtigen Details" oder das "bestimmte Minimum an
Fachwissen" sind, ist doch reine Definitionssache. Woher nimmt die
Sonne die Power, daß sie nun seit über 4 Milliarden Jahren leuchten
und heizen kann? Kernfusion, sagt die Naturwissenschaft. Das "wichtige
Detail" der Kernfusion versteht aber doch bitte jemand ohne Studium
nie wirklich "ganz". Was aber, behaupte ich, auch unnötig ist für Otto
Normalverbraucher. Man kann die Kernfusion vereinfachend und knapp
beschreiben, und das läuft nicht auf 1=1 hinaus ...
>> Ganz praktisch "politisch" habe ich eine tief verwurzelte Abneigung
>> dagegen, Methoden anzuwenden, die mich *augenscheinlich* nicht
>
>Dagegen hilft nur lernen.
Der Punkt ist, daß dies noch zu Zeiten Leonardo da Vincis gelang,
heute kann niemand in allen Wissenschaften auf dem Stand unserer Zeit
sein, nicht mal auf populärwissenschaftlichem Niveau, von
universitärem ganz zu schweigen. Meist sind Interessen und Kenntnisse
recht eindeutig in bestimmten Wissensbereichen verortet, bei
Ausblendung wenig verwandter anderer. Wer als interessierter Laie über
Kernfusion recht gut Bescheid weiß, kann in der Regel nicht näher
erklären, was der Expressionismus vorstellt usw.
Werner Tann
Sep 23, 2012, 2:48:10 AM9/23/12
to
Helmut Springer <delta+...@lug-s.org> schrieb:
>> Ganz praktisch "politisch" habe ich eine tief verwurzelte
>> Abneigung dagegen, Methoden anzuwenden, die mich *augenscheinlich*
>> nicht überzeugen, deren Wirksamkeit ich also glauben muß.
seinem Hauptwerk wunderbar ausführt. Der rationale Beweis überzeugt
uns kognitiv, "wirklich" glauben tun wir's aufgrund der Anschauung.
>> Ganz praktisch "politisch" habe ich eine tief verwurzelte
>> Abneigung dagegen, Methoden anzuwenden, die mich *augenscheinlich*
>
>In der Statistik zB kann man Dinge beweisen, es macht sie aber nicht
>glaubhafter.
... wie generell in der Mathematik/Geometrie, wie Schopenhauer in
>In der Statistik zB kann man Dinge beweisen, es macht sie aber nicht
>glaubhafter.
seinem Hauptwerk wunderbar ausführt. Der rationale Beweis überzeugt
uns kognitiv, "wirklich" glauben tun wir's aufgrund der Anschauung.
Dietz Proepper
Sep 23, 2012, 4:43:20 AM9/23/12
to
>>Klar. Viele einfach merkbare Paßworte sind deutlich sicherer als die
Fehlerrate? Das Arbeitszeitargument ist imnsho eine verklausulierte Ansage,
man sei zu faul. (nicht persönlich nehmen bitte)
> Man vertippt sich
> bekanntlich auch bei einfachen Wörtern des Grundwortschatzes, zumal
> man Paßwörter oft "blind" eingeben muß. Außerdem dürfte bei einfachen
> Wörtern die Konzentration aufs richtige Tippen sinken - im Vergleich
Nun, ich kenne Leute, die bei 180 Anschlägen die Minute alle 20min mal einen
Tippfehler machen, einen Text in einer ihnen vertrauten Sprache voraus
gesetzt. Solche Leute haben mit fünf Wörtern ala 8 Zeichen als Passwort
garkein Problem, und tippen das auch mit sehr akzeptablen Fehlerraten ein.
Mit 16 zufälligen Symbolen hätten bewusste Leute massive Probleme, sowohl vom
Merken, als auch vom Eingeben her.
> Ich sehe gerade, mein ISP erlaubt mir nur Paßwörter von 8 bis 16
> Zeichen.
Ach, ISP ist eher harmlos (wenn es der DSL-Provider ist und Du gerade vom DSL-
Zugangs-Passwort sprichst).
Sollte er z.B. für Webmail nur 16 Zeichen vorsehen, dann häng' ihn hoch auf.
> Hm, 4 Wörter á 4 Zeichen, das beruhigt mich wieder nicht so
> besonders. Vielleicht sollte ich doch diese 4 kurzen Wörtchen ein
> wenig aufpeppen mit Sonderzeichen und Groß- und Klein ... Und ich hab
> doch noch irgendwo ein Post-It-Blöckchen herumliegen ...
OMG. Nimm die klassische Methode. Eine Zeile z.b. aus einem Gedicht, welche Du
Dir einprägen kannst. Davon die Anfangsbuchstaben, oder der 2. Buchstabe jeden
Wortes ergibt ein meistens sehr brauchbares Passwort. Verzcihte auch auf dne
Käse mit Sonderzeichen und Zahlen, merk' Dir einfach eine etwas längere Zeile,
un schon bist Du mit a-z genauso "sicher" wie mit a-z0-9!-?.
> Hach Gott, ist das Leben schwierich 8-)
Und am Ende stirbt man.
>>theoretisch sicheren, die aufgrund ihrer schlechten Merkbarkeit dann
>>aber auf einem Post-it unter der Tastatur (oder am Bildschirm ...)
>>kleben. ;)
>
> Nicht zu vergessen die verplemperte Arbeitszeit durch ein- oder gar
> mehrmalige Falscheingabe der 25-Zeichen-Wurst.
Ouch. Sag' mal, wie oft gibst Du täglich Passwörter ein und wie groß ist Deine
>>aber auf einem Post-it unter der Tastatur (oder am Bildschirm ...)
>>kleben. ;)
>
> Nicht zu vergessen die verplemperte Arbeitszeit durch ein- oder gar
> mehrmalige Falscheingabe der 25-Zeichen-Wurst.
Fehlerrate? Das Arbeitszeitargument ist imnsho eine verklausulierte Ansage,
man sei zu faul. (nicht persönlich nehmen bitte)
> Man vertippt sich
> bekanntlich auch bei einfachen Wörtern des Grundwortschatzes, zumal
> man Paßwörter oft "blind" eingeben muß. Außerdem dürfte bei einfachen
> Wörtern die Konzentration aufs richtige Tippen sinken - im Vergleich
> zur Eingabe alphanumerischer Sinnlossilben. So nach dem Motto "Dazu
> brauch' ich mich nicht zu konzentrieren, ich werd ja wohl noch
> 'dasisteinmegageilespasswort" richtig tippen können.'" :-)
> brauch' ich mich nicht zu konzentrieren, ich werd ja wohl noch
Nun, ich kenne Leute, die bei 180 Anschlägen die Minute alle 20min mal einen
Tippfehler machen, einen Text in einer ihnen vertrauten Sprache voraus
gesetzt. Solche Leute haben mit fünf Wörtern ala 8 Zeichen als Passwort
garkein Problem, und tippen das auch mit sehr akzeptablen Fehlerraten ein.
Mit 16 zufälligen Symbolen hätten bewusste Leute massive Probleme, sowohl vom
Merken, als auch vom Eingeben her.
> Ich sehe gerade, mein ISP erlaubt mir nur Paßwörter von 8 bis 16
> Zeichen.
Ach, ISP ist eher harmlos (wenn es der DSL-Provider ist und Du gerade vom DSL-
Zugangs-Passwort sprichst).
Sollte er z.B. für Webmail nur 16 Zeichen vorsehen, dann häng' ihn hoch auf.
> Hm, 4 Wörter á 4 Zeichen, das beruhigt mich wieder nicht so
> besonders. Vielleicht sollte ich doch diese 4 kurzen Wörtchen ein
> wenig aufpeppen mit Sonderzeichen und Groß- und Klein ... Und ich hab
> doch noch irgendwo ein Post-It-Blöckchen herumliegen ...
OMG. Nimm die klassische Methode. Eine Zeile z.b. aus einem Gedicht, welche Du
Dir einprägen kannst. Davon die Anfangsbuchstaben, oder der 2. Buchstabe jeden
Wortes ergibt ein meistens sehr brauchbares Passwort. Verzcihte auch auf dne
Käse mit Sonderzeichen und Zahlen, merk' Dir einfach eine etwas längere Zeile,
un schon bist Du mit a-z genauso "sicher" wie mit a-z0-9!-?.
> Hach Gott, ist das Leben schwierich 8-)
Dietz Proepper
Sep 23, 2012, 5:05:34 AM9/23/12
to
> [...]
Um auch bei kaputten Passwortsystemen ("maximal 16 Zeichen") einfache
Generatoren zu haben, z.B.
> Die Entropie bleibt gleich,
IBTD. Der Zustandsraum wird dadurch, dass verschiedene Indizierungsmethoden
existieren größer. man Binomialkoeffizient. (ja, nicht genau dieser ;-)
Ist btw. auch ein einfaches Mittel, sich aus einem Master etliche individuelle
Passwörter zu basteln.
>> Man könnte natürlich auch statt "correct horse battery stable" z.B.
>> "cret hre btey sal" verwenden, d.h. Indices auf den Langtext als
>> Passwort verwenden. Damit kombiniert man einfache Mnemorierbarkeit mit
>> sehr guten Passwörtern.
>
> Warum sollte man das tun?
>> "cret hre btey sal" verwenden, d.h. Indices auf den Langtext als
>> Passwort verwenden. Damit kombiniert man einfache Mnemorierbarkeit mit
>> sehr guten Passwörtern.
>
Um auch bei kaputten Passwortsystemen ("maximal 16 Zeichen") einfache
Generatoren zu haben, z.B.
> Die Entropie bleibt gleich,
IBTD. Der Zustandsraum wird dadurch, dass verschiedene Indizierungsmethoden
existieren größer. man Binomialkoeffizient. (ja, nicht genau dieser ;-)
Ist btw. auch ein einfaches Mittel, sich aus einem Master etliche individuelle
Passwörter zu basteln.
Dietz Proepper
Sep 23, 2012, 5:12:30 AM9/23/12
to
Juergen P. Meier wrote:
> Dietz Proepper <dietz...@rotfl.franken.de>:
>> Und wesentlich schlechter zu merken. Das Schöne an der Wortmethode ist,
>> dass sie einfach merkbare und trotzdem relativ gute Passwörter erzeugt. Man
>> könnte natürlich auch statt "correct horse battery stable" z.B. "cret hre
>> btey sal" verwenden, d.h. Indices auf den Langtext als Passwort verwenden.
>> Damit kombiniert man einfache Mnemorierbarkeit mit sehr guten Passwörtern.
>
> Solange die Memen eindeutig sind und es keine hohe Zahl von doubletten
> gibt (die schraenken naemlich den suchraum ein, was den Angriff
> erleichtert). Bei "sal" waere das z.B. nicht gegeben.
Fixpunktsuche ist allerdings einfacher, wenn die Fixpunkte an bekannten
> Dietz Proepper <dietz...@rotfl.franken.de>:
>> Und wesentlich schlechter zu merken. Das Schöne an der Wortmethode ist,
>> dass sie einfach merkbare und trotzdem relativ gute Passwörter erzeugt. Man
>> könnte natürlich auch statt "correct horse battery stable" z.B. "cret hre
>> btey sal" verwenden, d.h. Indices auf den Langtext als Passwort verwenden.
>> Damit kombiniert man einfache Mnemorierbarkeit mit sehr guten Passwörtern.
>
> Solange die Memen eindeutig sind und es keine hohe Zahl von doubletten
> gibt (die schraenken naemlich den suchraum ein, was den Angriff
> erleichtert). Bei "sal" waere das z.B. nicht gegeben.
Stellen liegen ;-).
> Der Angreifer muss natuerlich auch deinen Algorithmus zur
> Wortumbildung kennen, um mit einer Grundwortschatz-Dictionary-Attacke
> deine Passphrase als Wortattacke anzugreifen.
zu verwenden, in Abhängigkeit von meinen Kopfrechenfähigkeiten.
> Sonst bleibt ihm nur der
> Brute-force gegen ein "Passwort" aus 16 zeichen (buchstaben), also
> 2^(16 * 26)...
Logarithmus zu fehlen...
> Eine Balance aus Merkbarkeit und Modifikationen ist uebrigens
> ueberraschend schwer zu finden.
des Passworts) erhöht die Merkbarkeit imho beträchtlich.
ds_Dieter_Schultheis
Sep 23, 2012, 6:53:58 AM9/23/12
to
Am 22.09.2012 09:50, schrieb Werner Tann:
> Manchmal kriegt man auch in der IT das Gefühl, deren Aussagen seien so
> gewiß wie jene der Ernährungsberater, die uns heute davon abraten, das
> zu essen, was sie uns gestern empfohlen haben.
>
> Jahrelang wird einem von Kundigen der IT-Sicherheit geraten,
> Passwörter mindestens 8stellig zu wählen, alphanumerisch, mit Groß-
> und Kleinbuchstaben und Sonderzeichen.
>
> Alles Schmarrn, wie es scheint.
> Manchmal kriegt man auch in der IT das Gefühl, deren Aussagen seien so
> gewiß wie jene der Ernährungsberater, die uns heute davon abraten, das
> zu essen, was sie uns gestern empfohlen haben.
>
> Jahrelang wird einem von Kundigen der IT-Sicherheit geraten,
> Passwörter mindestens 8stellig zu wählen, alphanumerisch, mit Groß-
> und Kleinbuchstaben und Sonderzeichen.
>
>
> Zum Knacken eines Paßworts wie z. B. Tr0b4dor&3 brauchen Hacker
> angeblich nur 3 Tage, bei vorausgesetzten 1000 Versuchen pro Sekunde.
> Läßt man die Server-Intelligenz mal außen vor - sie wird hoffentlich
> nicht so blöd sein zuzuschauen, wie 3 Tage lang Millionen vergeblicher
> Zugriffe erfolgen, wenn auch von unterschiedlichen IP-Adressen via
> Bot-Netzen - so ist trotzdem die angebliche Knackzeit erschreckend
> gering.
>
> http://tinyurl.com/cme4qym
> (https://www.guildwars2.com/ ...)
> Ein Artikel aus der Security-Abteilung des aktuell vermutlich
> meistgespielten Online-Games. Darin wird auch auf die Berechnung
> verlinkt, dargestellt in einem Comic, aber offenbar ernstgemeint:
> http://xkcd.com/936/
Die Empfehlung berücksichtigt die aktuelle Rechenpower der im Markt
vorhandenen Computer. Da Passwörter als Hash Werte gespeichert werden,
müssen die Hash Werte der Passwörter berechnet und mit dem z.B. im
Speicher ermittelten Hash Wert des aktuellen Passwortes verglichen
werden. Und aktuelle Computer erledigen dieses halt viel schneller. Als
Ausgleich muss man daher die Passwortlänge mit zunehmender PC
Leistungsfähigkeit vergrößern.
In "Reinbow" Tabellen liegen die Hash Werte für viele Passwörter bereits
in berechneter Form vor. Die kann dann auch ein lahmer PC schnell
vergleichen. Jedoch steigt die Dateigröße solcher Tabellen mit
zunehmender PW Länge überproportional an. Daher enthalten diese häufig
längere Begriffe nur, wenn diese auch in Wörterbüchern stehen.
Daher sollte alles, was in Wörterbüchern steht, als PW tabu sein, wenn
es "relativ" sicher sein soll.
Der Kompromiss aus lang, kompliziert und trotzdem leicht merkbar sind
Sätze, wo man aus jedem Wort nur z.B. die ersten beiden Buchstaben
verwendet. Einzelne Buchstaben kann man dann noch durch Zahlen /
Sonderzeichen (z.B. 3 statt E oder @ statt A) ersetzen.
Auf Großrechenanlagen / auf Supercomputern sind aber auch diese
Passworte recht schnell berechnet. Nur ist der logistische und
finanzielle Aufwand so groß, das kein 0815 Hacker die Nutzungsmöglickeit
an diesen Supercomputern hat.
PS:
Die Rechenpower, die heute als Smartphone in der Hosentasche steckt,
benötigte vor langer Zeit mal ganze Rechenzentren. PC können das ganze
häufig noch 100 mal schneller.
--
MfG
Dieter
Werner Holtfreter
Sep 23, 2012, 8:44:34 AM9/23/12
to
Am Sat, 22 Sep 2012 12:49:11 +0200 schrieb Werner Tann:
> Ich bin davon überzeugt, daß man jedem kognitiv gesunden Menschen alles
> erklären kann, sei er Kind oder erwachsen, Hilfsarbeiter oder
> Akademiker, Norweger oder Neger. Dadurch daß man eine Erklärung
korrekte Sprache kommt gut bei mir an. Es ist Pflicht der allgemein
finanzierten Wissenschaft, ihre Ergebnisse *auch* allgemein verständlich
zu vermitteln.
Im Usenet ist es keine Pflicht sondern Freundlichkeit.
--
Gruß Werner
> Ich bin davon überzeugt, daß man jedem kognitiv gesunden Menschen alles
> erklären kann, sei er Kind oder erwachsen, Hilfsarbeiter oder
> Akademiker, Norweger oder Neger. Dadurch daß man eine Erklärung
> vereinfacht, muß sie nicht notwendig falsch werden.
Sehr gut argumentiert, auch der Verzicht auf verschwurbelte, politisch
korrekte Sprache kommt gut bei mir an. Es ist Pflicht der allgemein
finanzierten Wissenschaft, ihre Ergebnisse *auch* allgemein verständlich
zu vermitteln.
Im Usenet ist es keine Pflicht sondern Freundlichkeit.
--
Gruß Werner
Werner Holtfreter
Sep 23, 2012, 8:44:36 AM9/23/12
to
Am Sun, 23 Sep 2012 00:03:15 +0200 schrieb Vinzent Hoefler:
> Werner Holtfreter wrote:
>
>> Unter dieser Bedingung genügt dann eben die 4-stellige Pin der
>> Kreditkarte. Bei drei Versuchen hat man eine Chance von 1/(9999/3) =
>> 1/3333. Naja, immer noch bessere Chancen, als beim Lotto.
>
> Und wenn ich 3'333 Kreditkarten zum Rumprobieren habe...
>
> <http://www.datagenetics.com/blog/september32012/>
>
> PIN Freq
> #1 1234 10.713%
> #2 1111 6.016%
> #3 0000 1.881%
Dieses Verhalten der Menschen ist nur möglich, wenn die PIN frei wählbar
> Werner Holtfreter wrote:
>
>> Unter dieser Bedingung genügt dann eben die 4-stellige Pin der
>> Kreditkarte. Bei drei Versuchen hat man eine Chance von 1/(9999/3) =
>> 1/3333. Naja, immer noch bessere Chancen, als beim Lotto.
>
> Und wenn ich 3'333 Kreditkarten zum Rumprobieren habe...
>
> <http://www.datagenetics.com/blog/september32012/>
>
> PIN Freq
> #1 1234 10.713%
> #2 1111 6.016%
> #3 0000 1.881%
ist, für Bankkarten in Deutschland nach meiner Kenntnis also nicht.
Stattdessen werden bei den automatisch vergebenen PINs deine oben
genannten Kombinationen (und einige weitere simple) vermutlich
unterdrückt, so dass sich meine oben angegebene Trefferwahrscheinlichkeit
1/3333 ein wenig erhöht.
In der Vergangenheit gab es auch einmal Beschwerden über die
Gleichverteilung der PIN-Vergabe, d.h. einige PINs wurden häufiger
vergeben. Aber sicherlich nicht mit der oben genannten Schieflage.
Jedenfalls scheint es ratsam, auch frei wählbare PINs zufällig zu
generieren, statt sie sich auszudenken, denn man kann nicht ausschließen,
dass andere auf die gleichen Gedanken kommen.
--
Gruß Werner
Stefan Reuther
Sep 23, 2012, 10:29:12 AM9/23/12
to
Dietz Proepper wrote:
Sonderzeichen und Zahlen bestehen.
Stefan
> Werner Tann wrote:
>>Hm, 4 Wörter á 4 Zeichen, das beruhigt mich wieder nicht so
>>besonders. Vielleicht sollte ich doch diese 4 kurzen Wörtchen ein
>>wenig aufpeppen mit Sonderzeichen und Groß- und Klein ... Und ich hab
>>doch noch irgendwo ein Post-It-Blöckchen herumliegen ...
>
> OMG. Nimm die klassische Methode. Eine Zeile z.b. aus einem Gedicht, welche Du
> Dir einprägen kannst. Davon die Anfangsbuchstaben, oder der 2. Buchstabe jeden
> Wortes ergibt ein meistens sehr brauchbares Passwort. Verzcihte auch auf dne
> Käse mit Sonderzeichen und Zahlen, merk' Dir einfach eine etwas längere Zeile,
> un schon bist Du mit a-z genauso "sicher" wie mit a-z0-9!-?.
Das dumme sind an der Stelle Zugangssysteme, die auf dem Käse mit den
>>Hm, 4 Wörter á 4 Zeichen, das beruhigt mich wieder nicht so
>>besonders. Vielleicht sollte ich doch diese 4 kurzen Wörtchen ein
>>wenig aufpeppen mit Sonderzeichen und Groß- und Klein ... Und ich hab
>>doch noch irgendwo ein Post-It-Blöckchen herumliegen ...
>
> OMG. Nimm die klassische Methode. Eine Zeile z.b. aus einem Gedicht, welche Du
> Dir einprägen kannst. Davon die Anfangsbuchstaben, oder der 2. Buchstabe jeden
> Wortes ergibt ein meistens sehr brauchbares Passwort. Verzcihte auch auf dne
> Käse mit Sonderzeichen und Zahlen, merk' Dir einfach eine etwas längere Zeile,
> un schon bist Du mit a-z genauso "sicher" wie mit a-z0-9!-?.
Sonderzeichen und Zahlen bestehen.
Stefan
Stefan Reuther
Sep 23, 2012, 10:32:44 AM9/23/12
to
>>Da liegt Dein Denkfehler. Du bekommst nicht die Antwort "Treffer bei
>>'correct'". Du bekommst nur die Antwort "falsches Passwort".
>
> Das ist mir inzwischen auch aufgegangen, ja. :-)
> Nach Eingabe von "c", bekommt der Hacker ja keine Bestätigung dafür,
> daß "c" an dieser Position richtig ist.
Bei korrekt implementierten Passwortsystemen, ja.
Ich habe auch schon welche erlebt, die die Bestätigung tatsächlich nach
jedem Buchstaben gegeben haben. WIMRE irgendwelche BIOS-Passworte, ist
'ne Weile her. Aber der Vollständigkeit halber muss man das natürlich
noch sicherstellen.
Stefan
>>'correct'". Du bekommst nur die Antwort "falsches Passwort".
>
> Das ist mir inzwischen auch aufgegangen, ja. :-)
> Nach Eingabe von "c", bekommt der Hacker ja keine Bestätigung dafür,
> daß "c" an dieser Position richtig ist.
Bei korrekt implementierten Passwortsystemen, ja.
Ich habe auch schon welche erlebt, die die Bestätigung tatsächlich nach
jedem Buchstaben gegeben haben. WIMRE irgendwelche BIOS-Passworte, ist
'ne Weile her. Aber der Vollständigkeit halber muss man das natürlich
noch sicherstellen.
Stefan
Jens Hektor
Sep 23, 2012, 1:44:29 PM9/23/12
to
On 22.09.2012 09:50, Werner Tann wrote:
> Zum Knacken eines Paßworts wie z. B. Tr0b4dor&3 brauchen Hacker
> angeblich nur 3 Tage, bei vorausgesetzten 1000 Versuchen pro Sekunde.
Die Rechnung glaube ich nicht.
> Zum Knacken eines Paßworts wie z. B. Tr0b4dor&3 brauchen Hacker
> angeblich nur 3 Tage, bei vorausgesetzten 1000 Versuchen pro Sekunde.
Helmut Springer
Sep 23, 2012, 2:47:02 PM9/23/12
to
Werner Tann <wt...@gmx.at> wrote:
>>In der Statistik zB kann man Dinge beweisen, es macht sie aber
>>nicht glaubhafter.
>
> ... wie generell in der Mathematik/Geometrie, wie Schopenhauer in
> seinem Hauptwerk wunderbar ausführt. Der rationale Beweis
> überzeugt uns kognitiv, "wirklich" glauben tun wir's aufgrund der
> Anschauung.
In der Statistik laeuft die Realitaet regelmaessig unserer
>>In der Statistik zB kann man Dinge beweisen, es macht sie aber
>>nicht glaubhafter.
>
> ... wie generell in der Mathematik/Geometrie, wie Schopenhauer in
> seinem Hauptwerk wunderbar ausführt. Der rationale Beweis
> überzeugt uns kognitiv, "wirklich" glauben tun wir's aufgrund der
> Anschauung.
Anschauung zuwider, in einigen Bereichen der Theoretischen Physik
muss Anschauung zwangslaeufig eine sehr persoenliche Sache bleiben
und man verwendet Mathematik als Sprache.
Werner Tann
Sep 23, 2012, 4:11:11 PM9/23/12
to
Jens Hektor <hek...@rz.rwth-aachen.de> schrieb:
>> Zum Knacken eines Paßworts wie z. B. Tr0b4dor&3 brauchen Hacker
>> angeblich nur 3 Tage, bei vorausgesetzten 1000 Versuchen pro Sekunde.
>
>Die Rechnung glaube ich nicht.
Wenn Du Vinzent freundlich bittest, erklärt er Dir die Bit-Entropie,
oder waren's die Entropie-Bits?, bestimmt gerne nochmal. :-)
>> Zum Knacken eines Paßworts wie z. B. Tr0b4dor&3 brauchen Hacker
>> angeblich nur 3 Tage, bei vorausgesetzten 1000 Versuchen pro Sekunde.
>
>Die Rechnung glaube ich nicht.
oder waren's die Entropie-Bits?, bestimmt gerne nochmal. :-)
Volker Birk
Sep 23, 2012, 4:20:35 PM9/23/12
to
Werner Tann <wt...@gmx.at> wrote:
> Ich bin davon überzeugt, daß man jedem kognitiv gesunden Menschen
> alles erklären kann, sei er Kind oder erwachsen, Hilfsarbeiter oder
> Akademiker, Norweger oder Neger.
Ja, auch Mathematik.
> Ich bin davon überzeugt, daß man jedem kognitiv gesunden Menschen
> alles erklären kann, sei er Kind oder erwachsen, Hilfsarbeiter oder
> Akademiker, Norweger oder Neger.
> Dadurch daß man eine Erklärung
> vereinfacht, muß sie nicht notwendig falsch werden.
oft ist zu vereinfachen ohne zu verfälschen.
> Auch die differenziertesten wissenschaftlichen Theorien höchsten
> Abstraktionsgrades sind - gemessen an der Wirklichkeit, die sie
> beschreiben wollen - immer Vereinfachungen. Siehe Quantentheorie.
(wie auch immer geartete) Realität.
> Ganz praktisch "politisch" habe ich eine tief verwurzelte Abneigung
> dagegen, Methoden anzuwenden, die mich *augenscheinlich* nicht
> überzeugen, deren Wirksamkeit ich also glauben muß.
Viele Grüsse,
VB.
--
“Und was willst du hier mit solch Jammergestalten wie Sloterdijk e.a?
Das sind keine Philosophen, sondern pseudophilosophierende
Selbstdarsteller auf den neoliberalen Bühnen des dummen Geschwätzes
und der clicki-bunt-medial perpetuierten Beliebigkeit!” (Sina in dsp)
Message has been deleted
Message has been deleted
Message has been deleted
Juergen P. Meier
Sep 24, 2012, 12:29:22 AM9/24/12
to
Dietz Proepper <dietz...@rotfl.franken.de>:
Das Dumme daran ist nur, dass der (kryptologische) Laie nicht
qualifizieren kann, was komplex und was einfach nur obfuskat ist.
Bei Buchstabenersetzungen ala "aus e mach 3, aus o mach 0 etc." erhoet
sich die Komplexitaet /fuer den Angreifer/ praktisch gar nicht.
(mathematisch: nur linear um Bruchteile eines Bits je Ersetzung).
>> Sonst bleibt ihm nur der
>> Brute-force gegen ein "Passwort" aus 16 zeichen (buchstaben), also
>> 2^(16 * 26)...
>
> Offensichtlich trivialer Angriff :-)). Allerdings scheint mir da ein
> Logarithmus zu fehlen...
Nein. Solange der Angreifer die Einschraenkungen nicht algorithmisch
Ausdruecken kann, muss er alles ausprobieren.
>> Eine Balance aus Merkbarkeit und Modifikationen ist uebrigens
>> ueberraschend schwer zu finden.
>
> Nun, Verzicht auf Zahlen und Sonderzeichen (mit entsprechenden Verlï¿œngerung
> des Passworts) erhï¿œht die Merkbarkeit imho betrï¿œchtlich.
Das mag sein, aber das /hinzufuegen/ von Ziffern oder Sonderzeichen zu
Woertern (solange man sie sich einfach merken kann) erhoeht die
Komplexitaet durchaus. Das Ersetzen von Buchstaben hingegen ist
nichts als grober Unfug.
Das Bloede an diesem Thema ist, dass die Mathematik dem normalen
Menschenverstand in den wichtigen Folgerungen genau entgegen steht.
Darum ist es dem Laien auch so schwer verstaendlich zu machen, warum
sein tolles P@$5w0r7 trivial ist, und in der Komplexitaet um fuer ihn
im Wortsinne /unglaubliche/ zigtausend mal unsicherer ist als die
Passphrase "horse battery charge sum".
Das widerspricht der menschlichen Intuition, und der Laie muss der
Mathematik halt blind vertrauen.
> Juergen P. Meier wrote:
>
>> Der Angreifer muss natuerlich auch deinen Algorithmus zur
>> Wortumbildung kennen, um mit einer Grundwortschatz-Dictionary-Attacke
>> deine Passphrase als Wortattacke anzugreifen.
>
> Eben. Und es hindert mich ja auch niemand daran, wirklich komplexe Umformungen
> zu verwenden, in Abhï¿œngigkeit von meinen Kopfrechenfï¿œhigkeiten.
>
>> Der Angreifer muss natuerlich auch deinen Algorithmus zur
>> Wortumbildung kennen, um mit einer Grundwortschatz-Dictionary-Attacke
>> deine Passphrase als Wortattacke anzugreifen.
>
> Eben. Und es hindert mich ja auch niemand daran, wirklich komplexe Umformungen
Das Dumme daran ist nur, dass der (kryptologische) Laie nicht
qualifizieren kann, was komplex und was einfach nur obfuskat ist.
Bei Buchstabenersetzungen ala "aus e mach 3, aus o mach 0 etc." erhoet
sich die Komplexitaet /fuer den Angreifer/ praktisch gar nicht.
(mathematisch: nur linear um Bruchteile eines Bits je Ersetzung).
>> Sonst bleibt ihm nur der
>> Brute-force gegen ein "Passwort" aus 16 zeichen (buchstaben), also
>> 2^(16 * 26)...
>
> Offensichtlich trivialer Angriff :-)). Allerdings scheint mir da ein
> Logarithmus zu fehlen...
Ausdruecken kann, muss er alles ausprobieren.
>> Eine Balance aus Merkbarkeit und Modifikationen ist uebrigens
>> ueberraschend schwer zu finden.
>
> des Passworts) erhï¿œht die Merkbarkeit imho betrï¿œchtlich.
Das mag sein, aber das /hinzufuegen/ von Ziffern oder Sonderzeichen zu
Woertern (solange man sie sich einfach merken kann) erhoeht die
Komplexitaet durchaus. Das Ersetzen von Buchstaben hingegen ist
nichts als grober Unfug.
Das Bloede an diesem Thema ist, dass die Mathematik dem normalen
Menschenverstand in den wichtigen Folgerungen genau entgegen steht.
Darum ist es dem Laien auch so schwer verstaendlich zu machen, warum
sein tolles P@$5w0r7 trivial ist, und in der Komplexitaet um fuer ihn
im Wortsinne /unglaubliche/ zigtausend mal unsicherer ist als die
Passphrase "horse battery charge sum".
Das widerspricht der menschlichen Intuition, und der Laie muss der
Mathematik halt blind vertrauen.
Juergen P. Meier
Sep 24, 2012, 12:40:55 AM9/24/12
to
Jens Hektor <hek...@rz.rwth-aachen.de>:
Mit Jack-the-Ripper und der schon in den 90er Jahren dort
per Default implementierten Basis-Variation und dem Woerterbuch
aus der Zeit: Plausibel.
Wenn man die Suffix-Kombinatorik zuerst ausprobieren laesst, duerfte
das Passwort schon frueher geknackt sein - aber als Angreifer weis man
das ja nie.
per Default implementierten Basis-Variation und dem Woerterbuch
aus der Zeit: Plausibel.
Wenn man die Suffix-Kombinatorik zuerst ausprobieren laesst, duerfte
das Passwort schon frueher geknackt sein - aber als Angreifer weis man
das ja nie.
Juergen P. Meier
Sep 24, 2012, 12:44:05 AM9/24/12
to
>> Der Angreifer muss natuerlich auch deinen Algorithmus zur
>> Wortumbildung kennen, um mit einer Grundwortschatz-Dictionary-Attacke
>> deine Passphrase als Wortattacke anzugreifen.
>
> Eben. Und es hindert mich ja auch niemand daran, wirklich komplexe Umformungen
> zu verwenden, in Abhängigkeit von meinen Kopfrechenfähigkeiten.
>> Wortumbildung kennen, um mit einer Grundwortschatz-Dictionary-Attacke
>> deine Passphrase als Wortattacke anzugreifen.
>
> Eben. Und es hindert mich ja auch niemand daran, wirklich komplexe Umformungen
> zu verwenden, in Abhängigkeit von meinen Kopfrechenfähigkeiten.
Das Dumme daran ist nur, dass der (kryptologische) Laie nicht
qualifizieren kann, was komplex und was einfach nur konfus ist.
Bei Buchstabenersetzungen ala "aus e mach 3, aus o mach 0 etc." erhoet
sich die Komplexitaet /fuer den Angreifer/ praktisch gar nicht.
(mathematisch: nur linear um Bruchteile eines Bits je Ersetzung).
>> Sonst bleibt ihm nur der
>> Brute-force gegen ein "Passwort" aus 16 zeichen (buchstaben), also
>> 2^(16 * 26)...
>
> Offensichtlich trivialer Angriff :-)). Allerdings scheint mir da ein
> Logarithmus zu fehlen...
>> Brute-force gegen ein "Passwort" aus 16 zeichen (buchstaben), also
>> 2^(16 * 26)...
>
> Offensichtlich trivialer Angriff :-)). Allerdings scheint mir da ein
> Logarithmus zu fehlen...
Nein. Solange der Angreifer die Einschraenkungen nicht algorithmisch
Ausdruecken kann, muss er alles ausprobieren.
Ausdruecken kann, muss er alles ausprobieren.
>> Eine Balance aus Merkbarkeit und Modifikationen ist uebrigens
>> ueberraschend schwer zu finden.
>
> Nun, Verzicht auf Zahlen und Sonderzeichen (mit entsprechenden Verlängerung
> des Passworts) erhöht die Merkbarkeit imho beträchtlich.
>> ueberraschend schwer zu finden.
>
> Nun, Verzicht auf Zahlen und Sonderzeichen (mit entsprechenden Verlängerung
> des Passworts) erhöht die Merkbarkeit imho beträchtlich.
Das mag sein, aber das /hinzufuegen/ von Ziffern oder Sonderzeichen zu
Woertern (solange man sie sich einfach merken kann) erhoeht die
Komplexitaet durchaus. Das Ersetzen von Buchstaben hingegen ist
nichts als grober Unfug.
Das Bloede an diesem Thema ist, dass die Mathematik dem normalen
Menschenverstand in den wichtigen Folgerungen genau entgegen steht.
Darum ist es dem Laien auch so schwer verstaendlich zu machen, warum
sein tolles P@$5w0r7 trivial ist, und in der Komplexitaet um fuer ihn
im Wortsinne /unglaubliche/ zigtausend mal unsicherer ist als die
Passphrase "horse battery charge sum".
Das widerspricht der menschlichen Intuition, und der Laie muss der
Mathematik halt blind vertrauen.
Woertern (solange man sie sich einfach merken kann) erhoeht die
Komplexitaet durchaus. Das Ersetzen von Buchstaben hingegen ist
nichts als grober Unfug.
Das Bloede an diesem Thema ist, dass die Mathematik dem normalen
Menschenverstand in den wichtigen Folgerungen genau entgegen steht.
Darum ist es dem Laien auch so schwer verstaendlich zu machen, warum
sein tolles P@$5w0r7 trivial ist, und in der Komplexitaet um fuer ihn
im Wortsinne /unglaubliche/ zigtausend mal unsicherer ist als die
Passphrase "horse battery charge sum".
Das widerspricht der menschlichen Intuition, und der Laie muss der
Mathematik halt blind vertrauen.
Werner Tann
Sep 24, 2012, 3:06:14 AM9/24/12
to
Volker Birk <bum...@dingens.org> schrieb:
>> Auch die differenziertesten wissenschaftlichen Theorien höchsten
>> Abstraktionsgrades sind - gemessen an der Wirklichkeit, die sie
>> beschreiben wollen - immer Vereinfachungen. Siehe Quantentheorie.
>
>Naturwissenschaftliche Theorie beschreibt immer Modelle, niemals eine
>(wie auch immer geartete) Realität.
Wobei man aber nicht so tun sollte, als wäre die Naturwissenschaft der
Hort des Konstruktivismus. Wenn heute noch jemand die Illusion einer
objektiven Realität hochhält, dann ist es mit Sicherheit die
Naturwissenschaft. Auf jeder Seite im "Spektrum der Wissenschaft" in
jedem zweiten Satz wird klar, daß die Naturwissenschaft wissen möchte,
wie die "Welt" tickt und nicht, wie *wir* ticken, wenn wir sie so
beschreiben, wie wir sie beschreiben. Das Reden von "Modellen" ist nur
Feigheit vor dem Feind, mit dem die Naturwissenschaft denkt, das
Subjekt-Objekt-Problem mit einem kleinen Schlenker aus der Welt zu
schaffen. In Wahrheit hat sie damit nur den Konflikt zwischen Subjekt
und Objekt mediatisiert, indem sie zwischen beide das "Modell" schiebt
- ohne das Objekt im traditionellen Sinn dabei aufzugeben.
>> Auch die differenziertesten wissenschaftlichen Theorien höchsten
>> Abstraktionsgrades sind - gemessen an der Wirklichkeit, die sie
>> beschreiben wollen - immer Vereinfachungen. Siehe Quantentheorie.
>
>Naturwissenschaftliche Theorie beschreibt immer Modelle, niemals eine
>(wie auch immer geartete) Realität.
Hort des Konstruktivismus. Wenn heute noch jemand die Illusion einer
objektiven Realität hochhält, dann ist es mit Sicherheit die
Naturwissenschaft. Auf jeder Seite im "Spektrum der Wissenschaft" in
jedem zweiten Satz wird klar, daß die Naturwissenschaft wissen möchte,
wie die "Welt" tickt und nicht, wie *wir* ticken, wenn wir sie so
beschreiben, wie wir sie beschreiben. Das Reden von "Modellen" ist nur
Feigheit vor dem Feind, mit dem die Naturwissenschaft denkt, das
Subjekt-Objekt-Problem mit einem kleinen Schlenker aus der Welt zu
schaffen. In Wahrheit hat sie damit nur den Konflikt zwischen Subjekt
und Objekt mediatisiert, indem sie zwischen beide das "Modell" schiebt
- ohne das Objekt im traditionellen Sinn dabei aufzugeben.
Jens Hektor
Sep 24, 2012, 4:11:46 AM9/24/12
to
Am 24.09.2012 06:40, schrieb Juergen P. Meier:
> Jens Hektor <hek...@rz.rwth-aachen.de>:
>> On 22.09.2012 09:50, Werner Tann wrote:
>>> Zum Knacken eines Paßworts wie z. B. Tr0b4dor&3 brauchen Hacker
>>> angeblich nur 3 Tage, bei vorausgesetzten 1000 Versuchen pro Sekunde.
>>
>> Die Rechnung glaube ich nicht.
>
> Mit Jack-the-Ripper und der schon in den 90er Jahren dort
> per Default implementierten Basis-Variation und dem Woerterbuch
> aus der Zeit: Plausibel.
ACK. Hätte mir den Comic angucken müssen. Der troubador war mir entgangen.
> Jens Hektor <hek...@rz.rwth-aachen.de>:
>> On 22.09.2012 09:50, Werner Tann wrote:
>>> Zum Knacken eines Paßworts wie z. B. Tr0b4dor&3 brauchen Hacker
>>> angeblich nur 3 Tage, bei vorausgesetzten 1000 Versuchen pro Sekunde.
>>
>> Die Rechnung glaube ich nicht.
>
> Mit Jack-the-Ripper und der schon in den 90er Jahren dort
> per Default implementierten Basis-Variation und dem Woerterbuch
> aus der Zeit: Plausibel.
Volker Birk
Sep 24, 2012, 4:17:53 AM9/24/12
to
Werner Tann <wt...@gmx.at> wrote:
> Volker Birk <bum...@dingens.org> schrieb:
>>> Auch die differenziertesten wissenschaftlichen Theorien höchsten
>>> Abstraktionsgrades sind - gemessen an der Wirklichkeit, die sie
>>> beschreiben wollen - immer Vereinfachungen. Siehe Quantentheorie.
>>Naturwissenschaftliche Theorie beschreibt immer Modelle, niemals eine
>>(wie auch immer geartete) Realität.
> Wobei man aber nicht so tun sollte, als wäre die Naturwissenschaft der
> Hort des Konstruktivismus. Wenn heute noch jemand die Illusion einer
> objektiven Realität hochhält, dann ist es mit Sicherheit die
> Naturwissenschaft.
Ist es eine Illusion? Übrigens gibt es immer noch nicht nur den
> Volker Birk <bum...@dingens.org> schrieb:
>>> Auch die differenziertesten wissenschaftlichen Theorien höchsten
>>> Abstraktionsgrades sind - gemessen an der Wirklichkeit, die sie
>>> beschreiben wollen - immer Vereinfachungen. Siehe Quantentheorie.
>>Naturwissenschaftliche Theorie beschreibt immer Modelle, niemals eine
>>(wie auch immer geartete) Realität.
> Wobei man aber nicht so tun sollte, als wäre die Naturwissenschaft der
> Hort des Konstruktivismus. Wenn heute noch jemand die Illusion einer
> objektiven Realität hochhält, dann ist es mit Sicherheit die
> Naturwissenschaft.
kritischen Rationalismus, sondern der Positivismus ist nicht auszurotten
;-)
Und etwas Positivismus täte Not, uns blieben die ganzen
"Interpretationen" der Quantentheorie erspart.
> Auf jeder Seite im "Spektrum der Wissenschaft" in jedem zweiten Satz
> wird klar, daß die Naturwissenschaft wissen möchte, wie die "Welt"
> tickt und nicht, wie *wir* ticken, wenn wir sie so beschreiben, wie
> wir sie beschreiben.
sie kann es nur indirekt. Die Methode ist aber gut und funktioniert
prächtig. Weshalb sollte irgend jemand sie aufgeben wollen?
Ach ja, hin und wieder kommt ein Dummschwätzer daher und kippt seinen
Unsinn in die Presse. Dupfbacken-Mechanizismus ist halt grade en vogue.
Passt hervorragend zur Ideologie.
> Das Reden von "Modellen" ist nur Feigheit vor dem Feind, mit dem die
> Naturwissenschaft denkt, das Subjekt-Objekt-Problem mit einem kleinen
> Schlenker aus der Welt zu schaffen. In Wahrheit hat sie damit nur den
> Konflikt zwischen Subjekt und Objekt mediatisiert, indem sie zwischen
> beide das "Modell" schiebt - ohne das Objekt im traditionellen Sinn
> dabei aufzugeben.
Sprache beschreibt die Wirklichkeit – aber so, wie sie Sina meint. Es
beschreibt unsere Vorstellung von der Realität. Die Empirie liefert, ob
diese Vorstellung taugt; sie liefert – nun das härteste Indiz für eine
Realität – intersubjektiv.
Werner Tann
Sep 24, 2012, 10:01:40 AM9/24/12
to
Volker Birk <bum...@dingens.org> schrieb:
>Das Modell steht nicht zwischen Subjekt und Objekt. Das Modell als
>Sprache beschreibt die Wirklichkeit - aber so, wie sie Sina meint. Es
eben voraus, daß es da draußen eine Realität gibt, auf deren Objekte
sich die Wissenschaft stürzen kann, um sie zu untersuchen. Die
gegenteilige Auffassung ist die, daß die Objekte der sog. Realität und
damit diese Realität erst selbst *durch unser Bewußtsein* konstruiert
werden. Dem, der sich nie damit beschäftigt hat, muß man immer
dazusagen, nein, deswegen wird unsere Wirklichkeit nicht
geisterhaft-diffus, und die Welt wird dadurch auch nicht zu unserer
Einbildung.
Ich finde, der Begriff des Modells ist nur eine kleine
Rückversicherung der Wissenschaft gegenüber erkenntniskritischen
Angriffen auf ihre Methodik. Im Grunde ist es einerlei, ob man die
"Wahrheit in 10 Thesen" über die Schwerkraft schreibt oder eine
"Theorie" über die Schwerkraft aufstellt ... oder ein "Modell" darüber
entwickelt. Diese Ansätze unterscheiden sich in der Absolutheit des
Wahrheitsanspruchs, aber nicht in ihrem grundsätzlich positivistischen
Ansatz.
>Das Modell steht nicht zwischen Subjekt und Objekt. Das Modell als
>beschreibt unsere Vorstellung von der Realität.
Wenn man von "unserer Vorstellung von Realität" spricht, setzt man
eben voraus, daß es da draußen eine Realität gibt, auf deren Objekte
sich die Wissenschaft stürzen kann, um sie zu untersuchen. Die
gegenteilige Auffassung ist die, daß die Objekte der sog. Realität und
damit diese Realität erst selbst *durch unser Bewußtsein* konstruiert
werden. Dem, der sich nie damit beschäftigt hat, muß man immer
dazusagen, nein, deswegen wird unsere Wirklichkeit nicht
geisterhaft-diffus, und die Welt wird dadurch auch nicht zu unserer
Einbildung.
Ich finde, der Begriff des Modells ist nur eine kleine
Rückversicherung der Wissenschaft gegenüber erkenntniskritischen
Angriffen auf ihre Methodik. Im Grunde ist es einerlei, ob man die
"Wahrheit in 10 Thesen" über die Schwerkraft schreibt oder eine
"Theorie" über die Schwerkraft aufstellt ... oder ein "Modell" darüber
entwickelt. Diese Ansätze unterscheiden sich in der Absolutheit des
Wahrheitsanspruchs, aber nicht in ihrem grundsätzlich positivistischen
Ansatz.
Volker Birk
Sep 24, 2012, 10:44:46 AM9/24/12
to
Werner Tann <wt...@gmx.at> wrote:
> Volker Birk <bum...@dingens.org> schrieb:
>>Das Modell steht nicht zwischen Subjekt und Objekt. Das Modell als
>>Sprache beschreibt die Wirklichkeit - aber so, wie sie Sina meint. Es
>>beschreibt unsere Vorstellung von der Realität.
> Wenn man von "unserer Vorstellung von Realität" spricht, setzt man
> eben voraus, daß es da draußen eine Realität gibt, auf deren Objekte
> sich die Wissenschaft stürzen kann, um sie zu untersuchen.
Man setzt damit voraus, dass es eine Realität gibt. Inwieweit (und wie
> Volker Birk <bum...@dingens.org> schrieb:
>>Das Modell steht nicht zwischen Subjekt und Objekt. Das Modell als
>>Sprache beschreibt die Wirklichkeit - aber so, wie sie Sina meint. Es
>>beschreibt unsere Vorstellung von der Realität.
> Wenn man von "unserer Vorstellung von Realität" spricht, setzt man
> eben voraus, daß es da draußen eine Realität gibt, auf deren Objekte
> sich die Wissenschaft stürzen kann, um sie zu untersuchen.
genau) sich die Wissenschaft darauf "stürzt", ist eine andere Frage ;-)
Es ist die der Wissenschaftstheorie. Oben schreibe ich aber nur davon,
dass unsere Vorstellung von der Realität die Objekte enthält, über die
wir sprechen. Über Objekte der Realität sage ich dort nichts.
Das liegt im übrigen daran, dass ich mich aus Metaphysik weitgehend
heraushalte. Ich arbeite mit der Annahme, dass es eine Realität gibt.
Aber sogar diese bleibt eine Annahme.
> Die gegenteilige Auffassung ist die, daß die Objekte der sog. Realität
> und damit diese Realität erst selbst *durch unser Bewußtsein*
> konstruiert werden. Dem, der sich nie damit beschäftigt hat, muß man
> immer dazusagen, nein, deswegen wird unsere Wirklichkeit nicht
> geisterhaft-diffus, und die Welt wird dadurch auch nicht zu unserer
> Einbildung.
zwar nicht beigelegt ist, aber der Naturalismus nicht mehr zu halten.
> Ich finde, der Begriff des Modells ist nur eine kleine
> Rückversicherung der Wissenschaft gegenüber erkenntniskritischen
> Angriffen auf ihre Methodik.
Naturwissenschaft sogar verteidigen: sie ist sowohl
wissenschaftstheoretisch sauber fundert, als auch in ihrer
Praktikabilität ungeschlagen. Entsprechend hat sie es nicht nötig,
unsauber argumentativ vorzugehen.
> Im Grunde ist es einerlei, ob man die "Wahrheit in 10 Thesen" über die
> Schwerkraft schreibt oder eine "Theorie" über die Schwerkraft
> aufstellt ... oder ein "Modell" darüber entwickelt. Diese Ansätze
> unterscheiden sich in der Absolutheit des Wahrheitsanspruchs, aber
> nicht in ihrem grundsätzlich positivistischen Ansatz.
Es ist in etwa wie beim Problem der Entscheidbarkeit. Für einen
Informatiker ist selbstverständlich, dass es nicht entscheidbare,
semi-entscheidbare und auch sehr wohl entscheidbare Sprachen gibt. Ist
für eine Sprache gezeigt, dass sie nicht entscheidbar ist, so wird nicht
gejammert, lamentiert und fabuliert. Dann ist es eben so. Das ist ein
valides Ergebnis aus der Entscheidbarkeitstheorie. Und so ist es auch
mit der (verwandten) Berechenbarkeit von Problemen.
Analog ist es eben mit den Aussagen, die man treffen kann, und dem
Wissen, das man haben kann. Und dabei ist nichts besonderes, und man
muss auch nicht rumphantasieren, sondern kann valide Ergebnisse der
Erkenntnistheorie auch einfach akzeptieren.
Volker Birk
Sep 24, 2012, 10:50:54 AM9/24/12
to
Werner Tann <wt...@gmx.at> wrote:
> Volker Birk <bum...@dingens.org> schrieb:
>>Das Modell steht nicht zwischen Subjekt und Objekt. Das Modell als
>>Sprache beschreibt die Wirklichkeit - aber so, wie sie Sina meint. Es
>>beschreibt unsere Vorstellung von der Realität.
> Wenn man von "unserer Vorstellung von Realität" spricht, setzt man
> eben voraus, daß es da draußen eine Realität gibt, auf deren Objekte
> sich die Wissenschaft stürzen kann, um sie zu untersuchen.
> Volker Birk <bum...@dingens.org> schrieb:
>>Das Modell steht nicht zwischen Subjekt und Objekt. Das Modell als
>>Sprache beschreibt die Wirklichkeit - aber so, wie sie Sina meint. Es
>>beschreibt unsere Vorstellung von der Realität.
> Wenn man von "unserer Vorstellung von Realität" spricht, setzt man
> eben voraus, daß es da draußen eine Realität gibt, auf deren Objekte
> sich die Wissenschaft stürzen kann, um sie zu untersuchen.
Man setzt damit voraus, dass es eine Realität gibt. Inwieweit (und wie
genau) sich die Wissenschaft darauf "stürzt", ist eine andere Frage ;-)
Es ist die der Wissenschaftstheorie. Oben schreibe ich aber nur davon,
dass unsere Vorstellung von der Realität die Objekte enthält, über die
wir sprechen. Über Objekte der Realität sage ich dort nichts.
Das liegt im übrigen daran, dass ich mich aus Metaphysik weitgehend
heraushalte. Ich arbeite mit der Annahme, dass es eine Realität gibt.
Aber sogar diese bleibt eine Annahme.
genau) sich die Wissenschaft darauf "stürzt", ist eine andere Frage ;-)
Es ist die der Wissenschaftstheorie. Oben schreibe ich aber nur davon,
dass unsere Vorstellung von der Realität die Objekte enthält, über die
wir sprechen. Über Objekte der Realität sage ich dort nichts.
Das liegt im übrigen daran, dass ich mich aus Metaphysik weitgehend
heraushalte. Ich arbeite mit der Annahme, dass es eine Realität gibt.
Aber sogar diese bleibt eine Annahme.
> Die gegenteilige Auffassung ist die, daß die Objekte der sog. Realität
> und damit diese Realität erst selbst *durch unser Bewußtsein*
> konstruiert werden. Dem, der sich nie damit beschäftigt hat, muß man
> immer dazusagen, nein, deswegen wird unsere Wirklichkeit nicht
> geisterhaft-diffus, und die Welt wird dadurch auch nicht zu unserer
> Einbildung.
Nun, Sina hat ja in <k3mih7$j69$1...@news.albasani.net> zurecht darauf
> und damit diese Realität erst selbst *durch unser Bewußtsein*
> konstruiert werden. Dem, der sich nie damit beschäftigt hat, muß man
> immer dazusagen, nein, deswegen wird unsere Wirklichkeit nicht
> geisterhaft-diffus, und die Welt wird dadurch auch nicht zu unserer
> Einbildung.
hingewiesen, dass der Universalienstreit zwar nicht beigelegt ist, aber
der Naturalismus nicht mehr zu halten.
der Naturalismus nicht mehr zu halten.
> Ich finde, der Begriff des Modells ist nur eine kleine
> Rückversicherung der Wissenschaft gegenüber erkenntniskritischen
> Angriffen auf ihre Methodik.
> Rückversicherung der Wissenschaft gegenüber erkenntniskritischen
> Angriffen auf ihre Methodik.
Das halte ich für einen Denkfehler. Dem gegenüber möchte ich die
Naturwissenschaft sogar verteidigen: sie ist sowohl
wissenschaftstheoretisch sauber fundert, als auch in ihrer
Praktikabilität ungeschlagen. Entsprechend hat sie es nicht nötig,
unsauber argumentativ vorzugehen.
Naturwissenschaft sogar verteidigen: sie ist sowohl
wissenschaftstheoretisch sauber fundert, als auch in ihrer
Praktikabilität ungeschlagen. Entsprechend hat sie es nicht nötig,
unsauber argumentativ vorzugehen.
> Im Grunde ist es einerlei, ob man die "Wahrheit in 10 Thesen" über die
> Schwerkraft schreibt oder eine "Theorie" über die Schwerkraft
> aufstellt ... oder ein "Modell" darüber entwickelt. Diese Ansätze
> unterscheiden sich in der Absolutheit des Wahrheitsanspruchs, aber
> nicht in ihrem grundsätzlich positivistischen Ansatz.
> Schwerkraft schreibt oder eine "Theorie" über die Schwerkraft
> aufstellt ... oder ein "Modell" darüber entwickelt. Diese Ansätze
> unterscheiden sich in der Absolutheit des Wahrheitsanspruchs, aber
> nicht in ihrem grundsätzlich positivistischen Ansatz.
Da kann ich Dir nicht folgen. Im Gegenteil:
Es ist in etwa wie beim Problem der Entscheidbarkeit. Für einen
Informatiker ist selbstverständlich, dass es nicht entscheidbare,
semi-entscheidbare und auch sehr wohl entscheidbare Sprachen gibt. Ist
für eine Sprache gezeigt, dass sie nicht entscheidbar ist, so wird nicht
gejammert, lamentiert und fabuliert. Dann ist es eben so. Das ist ein
valides Ergebnis aus der Entscheidbarkeitstheorie. Und so ist es auch
mit der (verwandten) Berechenbarkeit von Problemen.
Analog ist es eben mit den Aussagen, die man treffen kann, und dem
Wissen, das man haben kann. Und dabei ist nichts besonderes, und man
muss auch nicht rumphantasieren, sondern kann valide Ergebnisse der
Erkenntnistheorie auch einfach akzeptieren.
F'up in passende Gruppe gesetzt.
Es ist in etwa wie beim Problem der Entscheidbarkeit. Für einen
Informatiker ist selbstverständlich, dass es nicht entscheidbare,
semi-entscheidbare und auch sehr wohl entscheidbare Sprachen gibt. Ist
für eine Sprache gezeigt, dass sie nicht entscheidbar ist, so wird nicht
gejammert, lamentiert und fabuliert. Dann ist es eben so. Das ist ein
valides Ergebnis aus der Entscheidbarkeitstheorie. Und so ist es auch
mit der (verwandten) Berechenbarkeit von Problemen.
Analog ist es eben mit den Aussagen, die man treffen kann, und dem
Wissen, das man haben kann. Und dabei ist nichts besonderes, und man
muss auch nicht rumphantasieren, sondern kann valide Ergebnisse der
Erkenntnistheorie auch einfach akzeptieren.
Robert Jasiek
Sep 24, 2012, 12:49:34 PM9/24/12
to
Volker Birk wrote:
>Naturwissenschaft sogar verteidigen: sie ist sowohl
>wissenschaftstheoretisch sauber fundert
Soweit es Mathematik als Grundlage betrifft: ja. Welche anderen
>Naturwissenschaft sogar verteidigen: sie ist sowohl
>wissenschaftstheoretisch sauber fundert
sauberen Fundierungen meinst du?
>F'up in passende Gruppe gesetzt.
Volker Birk
Sep 24, 2012, 1:55:18 PM9/24/12
to
Robert Jasiek <jas...@snafu.de> wrote:
> Volker Birk wrote:
>>Naturwissenschaft sogar verteidigen: sie ist sowohl
>>wissenschaftstheoretisch sauber fundert
> Soweit es Mathematik als Grundlage betrifft: ja. Welche anderen
> sauberen Fundierungen meinst du?
Ich spreche von Wissenschaftstheorie, nicht von Mathematik. Kurz:
> Volker Birk wrote:
>>Naturwissenschaft sogar verteidigen: sie ist sowohl
>>wissenschaftstheoretisch sauber fundert
> Soweit es Mathematik als Grundlage betrifft: ja. Welche anderen
> sauberen Fundierungen meinst du?
Wissenschaftstheoretisch ist Naturwissenschaft die Wissenschaft vom
Kreieren von Modellen zur Vorhersage zukünftiger Empirie. Im kritischen
Rationalismus versteht man unter Empirie Beobachtung der Realität. Im
logischen Empirismus versteht man unter Empirie Wahrnehmung.
Im kritischen Rationalismus wird für die Wissenschaftlichkeit eines
Modelles u.a. gefordert, dass es widerlegbare Aussagen trifft. Im
logischen Empirismus wird für die Wissenschaftlichkeit eines Modelles
u.a. gefordert, dass es prüfbare Aussagen trifft. Beide Ansätze
postulieren die Anwendung von Ockhams Rasiermesser.
> Sorry, lese ich gerade nicht, daher weiter hier.
Robert Jasiek
Sep 24, 2012, 4:25:21 PM9/24/12
to
Volker Birk wrote:
>zuk�nftiger
Nicht notwendigerweise nur zuk�nftiger:)
>kritischen Rationalismus [...] logischen Empirismus
Ok, da habe ich Stichworte, zu denen ich mich mal schlau machen kann,
danke.
>widerlegbare Aussagen [...] pr�fbare Aussagen [...] Ockhams Rasiermesser.
Das sind Eigenschaften, die ich schon mal geh�rt hatte. Mir war nur
nicht klar, dass sie einen Teil der Grundlagen von
Wissenschaftstheorie bilden.
>zuk�nftiger
Nicht notwendigerweise nur zuk�nftiger:)
>kritischen Rationalismus [...] logischen Empirismus
Ok, da habe ich Stichworte, zu denen ich mich mal schlau machen kann,
danke.
>widerlegbare Aussagen [...] pr�fbare Aussagen [...] Ockhams Rasiermesser.
Das sind Eigenschaften, die ich schon mal geh�rt hatte. Mir war nur
nicht klar, dass sie einen Teil der Grundlagen von
Wissenschaftstheorie bilden.
Juergen Ilse
Sep 24, 2012, 4:59:31 PM9/24/12
to
Hallo,
Jens Fittig <inv...@invalid.invalid> wrote:
> Ich kann es nicht glauben, daß jemand "offline" z.B. mein Ebaypasswort
> knacken kann. Oder GMX oder was auch immer. GMX macht nach 3 (oder 5?)
> Fehlversuchen dicht! Andere Einloggmöglichkeiten auch ähnlich.
Wenn jemand (z.B. duech Sicherheitsluecken bei der Implemwntierung der
Website) die Liste der Usernamen und Passworthashes klauen konnte,
kann er dann in Ruhe offline die Passworte knacken, unabhaengig von
evt. Schranken fuer die Zahl der "Online Fehlversuche".
> Wie soll also jemand offline mit 5 Versuchen mein Passwort erraten und
> erfolgreich probieren können? Im normalen Wortschatz kommen meine
> Passworte nicht vor. Ein Mix aus Silben und Sonderzeichen.
Es gab schon Faelle, wo die Listen der Passworthashes und Usernamen
geklaut wurden (auch schon bei "prominenten" Websites).
Tschuess,
Juergen Ilse (jue...@usenet-verwaltung.de)
--
Ein Domainname ist nur ein Name, nicht mehr und nicht weniger.
Wer mehr hineininterpretiert, hat das Domain-Name-System nicht
verstanden.
Jens Fittig <inv...@invalid.invalid> wrote:
> Ich kann es nicht glauben, daß jemand "offline" z.B. mein Ebaypasswort
> knacken kann. Oder GMX oder was auch immer. GMX macht nach 3 (oder 5?)
> Fehlversuchen dicht! Andere Einloggmöglichkeiten auch ähnlich.
Wenn jemand (z.B. duech Sicherheitsluecken bei der Implemwntierung der
Website) die Liste der Usernamen und Passworthashes klauen konnte,
kann er dann in Ruhe offline die Passworte knacken, unabhaengig von
evt. Schranken fuer die Zahl der "Online Fehlversuche".
> Wie soll also jemand offline mit 5 Versuchen mein Passwort erraten und
> erfolgreich probieren können? Im normalen Wortschatz kommen meine
> Passworte nicht vor. Ein Mix aus Silben und Sonderzeichen.
Es gab schon Faelle, wo die Listen der Passworthashes und Usernamen
geklaut wurden (auch schon bei "prominenten" Websites).
Tschuess,
Juergen Ilse (jue...@usenet-verwaltung.de)
--
Ein Domainname ist nur ein Name, nicht mehr und nicht weniger.
Wer mehr hineininterpretiert, hat das Domain-Name-System nicht
verstanden.
Message has been deleted
Message has been deleted
Message has been deleted
Helmut Hullen
Sep 25, 2012, 12:37:00 AM9/25/12
to
Hallo, Heiko,
Du meintest am 25.09.12:
> Bei Passwörtern, die aus Klein- und Großbuchstaben des Alphabets (des
> "A-B-C") und aus Ziffern zusammengesetzt sind, enthält das
> kryptographische Alphabet 26 * 2 + 10 = 62 Symbole. Für ein
> 3-stelliges Passwort gibt es 62^3 = 238328 Kombinationen, für ein
> 4-stelliges bereits 62^4 = etwa 15 Mio.,
bis dahin richtig
> also 62 mal mehr ...
Falsch: 61 mal mehr (oder 62 mal soviel).
Dürfte aber für die Ratezeit keinen deutlichen Unterschied machen.
Viele Gruesse!
Helmut
Du meintest am 25.09.12:
> Bei Passwörtern, die aus Klein- und Großbuchstaben des Alphabets (des
> "A-B-C") und aus Ziffern zusammengesetzt sind, enthält das
> kryptographische Alphabet 26 * 2 + 10 = 62 Symbole. Für ein
> 3-stelliges Passwort gibt es 62^3 = 238328 Kombinationen, für ein
> 4-stelliges bereits 62^4 = etwa 15 Mio.,
bis dahin richtig
> also 62 mal mehr ...
Falsch: 61 mal mehr (oder 62 mal soviel).
Dürfte aber für die Ratezeit keinen deutlichen Unterschied machen.
Viele Gruesse!
Helmut
Ansgar Strickerschmidt
Sep 25, 2012, 3:53:00 AM9/25/12
to
Also schrieb Vinzent Hoefler:
> Werner Holtfreter wrote:
>
>> Unter dieser Bedingung genügt dann eben
>> die 4-stellige Pin der Kreditkarte. Bei drei Versuchen hat man eine
>> Chance von 1/(9999/3) = 1/3333. Naja, immer noch bessere Chancen, als
>> beim Lotto.
>
> Und wenn ich 3'333 Kreditkarten zum Rumprobieren habe...
>
> <http://www.datagenetics.com/blog/september32012/>
>
> PIN Freq
> #1 1234 10.713%
> #2 1111 6.016%
> #3 0000 1.881%
>
> Statistisch kann ich mit "1234" auf 300 Treffer beim ersten Versuch
> hoffen.
Aus dem Gedächtnis:
<spaceballs>
"Und - wie lautet der Code für den Luftschild?"
(König:) "Sie lautet: ... 1 .... 2 .... 3 ... 4 .... 5 ..."
(Schrotti:) "1-2-3-4-5? Nur ein Idiot hätte eine solche Kombination an
seinem Aktenkoffer!"
(später, der Präsident von Spaceballs City:)
"Und, habt ihr die Kombination für den Luftschild?"
"Ja - sie lautet 1-2-3-4-5 !"
"Seltsam! Die gleiche Kombination habe ich an meinem Aktenkoffer!"
</spaceballs>
Ans-"we brake for nobody"-gar
PS: Irgendwelche Spaceballs-Fans hier?
--
*** Musik! ***
> Werner Holtfreter wrote:
>
>> Unter dieser Bedingung genügt dann eben
>> die 4-stellige Pin der Kreditkarte. Bei drei Versuchen hat man eine
>> Chance von 1/(9999/3) = 1/3333. Naja, immer noch bessere Chancen, als
>> beim Lotto.
>
> Und wenn ich 3'333 Kreditkarten zum Rumprobieren habe...
>
> <http://www.datagenetics.com/blog/september32012/>
>
> PIN Freq
> #1 1234 10.713%
> #2 1111 6.016%
> #3 0000 1.881%
>
> Statistisch kann ich mit "1234" auf 300 Treffer beim ersten Versuch
> hoffen.
Aus dem Gedächtnis:
<spaceballs>
"Und - wie lautet der Code für den Luftschild?"
(König:) "Sie lautet: ... 1 .... 2 .... 3 ... 4 .... 5 ..."
(Schrotti:) "1-2-3-4-5? Nur ein Idiot hätte eine solche Kombination an
seinem Aktenkoffer!"
(später, der Präsident von Spaceballs City:)
"Und, habt ihr die Kombination für den Luftschild?"
"Ja - sie lautet 1-2-3-4-5 !"
"Seltsam! Die gleiche Kombination habe ich an meinem Aktenkoffer!"
</spaceballs>
Ans-"we brake for nobody"-gar
PS: Irgendwelche Spaceballs-Fans hier?
--
*** Musik! ***
Steffen Weider
Sep 25, 2012, 4:15:28 AM9/25/12
to
On 24.09.2012 19:55, Volker Birk wrote:
> Robert Jasiek <jas...@snafu.de> wrote:
>> Volker Birk wrote:
>>> Naturwissenschaft sogar verteidigen: sie ist sowohl
>>> wissenschaftstheoretisch sauber fundert
>> Soweit es Mathematik als Grundlage betrifft: ja. Welche anderen
>> sauberen Fundierungen meinst du?
>
> Ich spreche von Wissenschaftstheorie, nicht von Mathematik. Kurz:
>
> Wissenschaftstheoretisch ist Naturwissenschaft die Wissenschaft vom
> Kreieren von Modellen zur Vorhersage zukünftiger Empirie. Im kritischen
> Rationalismus versteht man unter Empirie Beobachtung der Realität. Im
> logischen Empirismus versteht man unter Empirie Wahrnehmung.
>
> Im kritischen Rationalismus wird für die Wissenschaftlichkeit eines
> Modelles u.a. gefordert, dass es widerlegbare Aussagen trifft. Im
> logischen Empirismus wird für die Wissenschaftlichkeit eines Modelles
> u.a. gefordert, dass es prüfbare Aussagen trifft. Beide Ansätze
> postulieren die Anwendung von Ockhams Rasiermesser.
Volker Birk
Sep 25, 2012, 4:59:50 AM9/25/12
to
Steffen Weider <wei...@zib.de> wrote:
[Wissenschaftstheorie]
empfehlen:
<https://de.wikipedia.org/wiki/Wissenschaftstheorie>
<https://de.wikipedia.org/wiki/Kritischer_Rationalismus>
<https://de.wikipedia.org/wiki/Logischer_Empirismus>
Ich nutze gerne das "Historische Wörterbuch der Philosophie", das ist
extrem brauchbar. Ich hab mir da den Indexband besorgt, denn dort ist
eine CD mit bei, mit dem gesamten Text aller Bände in einem
übersichtlichen Viewer:
<http://www.amazon.de/dp/3796520502/>
Das Nette daran ist besonders, dass kein Kopierschutz-Unfug gemacht
wurde, sondern stattdessen das Geld in die Entwicklung eines Viewers für
mehrere Plattformen gesteckt. Ich hab mir den Inhalt meiner CD hier auf
das MacBook kopiert, und den Starter ins Dock gezogen ;-)
Das HWdPh ist schlichtweg geradezu unglaublich gut strukturiert,
übersichtlich und vollständig.
Im englischsprachigen Bereich nutze ich gerne zusätzlich das hier:
<http://plato.stanford.edu/contents.html>
Es gibt aber natürlich eine Menge Literatur zum Thema; da ich kein
Wissenschaftstheoretiker bin, fragst Du für Details am besten in
de.sci.philosophie nach.
[Wissenschaftstheorie]
> Finde ich spannend, hast Du da einen Literaturtipp?
Ganz albern kann ich die entsprechenden Wikipedia-Einträge als Einstieg
empfehlen:
<https://de.wikipedia.org/wiki/Wissenschaftstheorie>
<https://de.wikipedia.org/wiki/Kritischer_Rationalismus>
<https://de.wikipedia.org/wiki/Logischer_Empirismus>
Ich nutze gerne das "Historische Wörterbuch der Philosophie", das ist
extrem brauchbar. Ich hab mir da den Indexband besorgt, denn dort ist
eine CD mit bei, mit dem gesamten Text aller Bände in einem
übersichtlichen Viewer:
<http://www.amazon.de/dp/3796520502/>
Das Nette daran ist besonders, dass kein Kopierschutz-Unfug gemacht
wurde, sondern stattdessen das Geld in die Entwicklung eines Viewers für
mehrere Plattformen gesteckt. Ich hab mir den Inhalt meiner CD hier auf
das MacBook kopiert, und den Starter ins Dock gezogen ;-)
Das HWdPh ist schlichtweg geradezu unglaublich gut strukturiert,
übersichtlich und vollständig.
Im englischsprachigen Bereich nutze ich gerne zusätzlich das hier:
<http://plato.stanford.edu/contents.html>
Es gibt aber natürlich eine Menge Literatur zum Thema; da ich kein
Wissenschaftstheoretiker bin, fragst Du für Details am besten in
de.sci.philosophie nach.
Steffen Weider
Sep 25, 2012, 8:47:43 AM9/25/12
to
> <http://plato.stanford.edu/contents.html>
>
> Es gibt aber natürlich eine Menge Literatur zum Thema; da ich kein
> Wissenschaftstheoretiker bin, fragst Du für Details am besten in
> de.sci.philosophie nach.
>
Das ist mehr als genug. Eigentlich dachte ich mehr an einen
>
> Es gibt aber natürlich eine Menge Literatur zum Thema; da ich kein
> Wissenschaftstheoretiker bin, fragst Du für Details am besten in
> de.sci.philosophie nach.
>
Einstiegsartikel als an Details. Vielen Dank!
Wolf Stringhammer
Sep 25, 2012, 9:54:23 AM9/25/12
to
"Werner Tann" schrieb:
> Zum Knacken eines Paßworts wie z. B. Tr0b4dor&3 brauchen Hacker
> angeblich nur 3 Tage, bei vorausgesetzten 1000 Versuchen pro Sekunde.
auf gängige Weise durch andere Zeichen ersetzt (etwa O durch 0 etc.).
Bei 10.000 Wörtern und 5 Buchstaben, die pro Wort ersetzt werden
könnten (angenommen durch jeweils 2 andere Zeichen) ergibt sich fol-
gende Anzahl von Möglichkeiten:
1000 x 3 x 3 x 3 x 3 x 3 = 1000 x 3^5 = ca. 243.000
3 deswegen, weil es folgende drei Möglichkeiten gibt: unverändert/
erste Variante, zweite Variante.
(Bei 1000 Versuchen/Sekunde wären das gerade mal 243 Sekunden,
in dem Comic wurden also mehr Variationen angenommen.)
Computer kennen nur Bits und Bytes, also Nullen und Einsen.
1 Bit = 2 Möglichkeiten (nämlich 0 oder 1)
2 Bit = 2x2 = 2^2 = 4 Möglichkeiten
3 Bit = 2x2x2 = 4x2 = 2^3 = 8 Möglichkeiten
4 Bit = 8x2 = 2^4 = 16 Möglichkeiten
5 Bit = 16x2 = 2^5 = 32 Möglichkeiten
...
18 Bit = 2^18 = 262.144 Möglichkeiten
Die obigen 243.000 Möglichkeiten entsprechen also etwa der Anzahl
Möglichkeiten von 18 Bit. Man nennt hier die 18 die "Entropie". Das
heißt einfach so. Punkt. Das obige Verfahren (mit 243.000 Möglich-
keiten) hat also eine Entropie von rund 18 Bit.
Der Logarithmus ist die Umkehrfunktion der Potenz, daher
N = LOG2 (2^N)
LOG2 = Logarithmus zur Basis 2, weil eben 2 hoch N.
Noch genauer könntest Du also rechnen: Die Entropie des obigen
Verfahrens mit 243.000 Möglichkeiten ist
LOG2 (243.000) = 17,89059679
Errechnet mit Excel, die Formel in Excel ist: LOG(243000;2)
Ich hoffe, das hilft Dir weiter. Dein 12jähriger Sohn wird es wohl noch
nicht verstehen, aber Du vielleicht ;-)
Gruß, W.
Werner Tann
Sep 25, 2012, 9:59:00 AM9/25/12
to
Dietz Proepper <dietz...@rotfl.franken.de> schrieb:
>> Ich sehe gerade, mein ISP erlaubt mir nur Paßwörter von 8 bis 16
>> Zeichen.
>
>Ach, ISP ist eher harmlos (wenn es der DSL-Provider ist und Du gerade vom DSL-
>Zugangs-Passwort sprichst).
Warum ist ISP harmlos, also das Paßwort für den Internetzugang? Weil
bei meinem Festnetz-Internet der Zugang an meiner Telefonnummer
"hängt" und sich daher sowieso niemand einloggen kann, der nicht in
meiner Wohnung sitzt?
>Sollte er z.B. für Webmail nur 16 Zeichen vorsehen, dann häng' ihn hoch auf.
Naja, Webmail ... Mit diesem Paßwort (nur 8 bis 16 Zeichen) hole ich
via eMail-Client oder via Web-Interface meine Post ab. Im Gegensatz
zum "ISP-Paßwort" kann man die Mails natürlich von überall auf der
Welt abholen, wenn man das PW kennt oder hackt.
Richtig soweit?
>> Ich sehe gerade, mein ISP erlaubt mir nur Paßwörter von 8 bis 16
>> Zeichen.
>
>Ach, ISP ist eher harmlos (wenn es der DSL-Provider ist und Du gerade vom DSL-
>Zugangs-Passwort sprichst).
Warum ist ISP harmlos, also das Paßwort für den Internetzugang? Weil
bei meinem Festnetz-Internet der Zugang an meiner Telefonnummer
"hängt" und sich daher sowieso niemand einloggen kann, der nicht in
meiner Wohnung sitzt?
>Sollte er z.B. für Webmail nur 16 Zeichen vorsehen, dann häng' ihn hoch auf.
Naja, Webmail ... Mit diesem Paßwort (nur 8 bis 16 Zeichen) hole ich
via eMail-Client oder via Web-Interface meine Post ab. Im Gegensatz
zum "ISP-Paßwort" kann man die Mails natürlich von überall auf der
Welt abholen, wenn man das PW kennt oder hackt.
Richtig soweit?
ds_Dieter_Schultheis
Sep 29, 2012, 5:43:43 AM9/29/12
to
>>> Ich sehe gerade, mein ISP erlaubt mir nur Pa�w�rter von 8 bis 16
> meiner Wohnung sitzt?
>
>> Sollte er z.B. f�r Webmail nur 16 Zeichen vorsehen, dann h�ng' ihn hoch auf.
>
> Naja, Webmail ... Mit diesem Pa�wort (nur 8 bis 16 Zeichen) hole ich
in aller Ruhe m�gliche Hash Werte berechnen und mit dem Passwort Hash
von deinem Computer vergleichen. Er braucht keine Eingabeversuche
machen. Die macht er erst, wenn die Berechnung f�r ein vermutetes
Passwort mit dem Passwort Hash auf deinem System �bereinstimmt.
Er braucht danach genau einen Versuch, sich in dein System einzuloggen.
Das Auslesen erledigt man z.B. mit einem von CD/USB gestarteten Live
Linux oder indem man die Festplatte vor�bergehend ausbaut und z.B. In
ein USB Geh�use h�ngt.
Auch ein Virus kann dieses erledigen und dann die Hash Werte nach Hause
telefonieren.
Bei guten Internet- und E-Mail Anbietern sind die Hash Werte deiner
Passworte auf deren Servern f�r Angreifer nicht zug�nglich. Und wenn man
dann z.B. nur drei Versuche hat, bis der Zugang vor�bergehend (z.B. 24
Stunden) oder bis zur manuellen Entsperrung vom Support gesperrt ist,
ist es f�r Angreifer so gut wie nicht m�glich, deine nicht in jedem
W�rterbuch zu findenden PW's im Handumdrehen zu knacken.
Bei 8 Zeichen reicht die Rechenpower aktueller PC's h�ufig aus, die Hash
Werte m�glicher Passworte in kurzer Zeit zu berechnen. 16 Zeichen
erfordern momentan noch eine ganze Rechnerfarm, wenn es nicht Jahre
dauern soll (Kosten).
Mit steigender PC Leistung steigen aber die Anforderungen an ein
sicheres PW.
--
MfG
Dieter
>>> Zeichen.
>>
>> Ach, ISP ist eher harmlos (wenn es der DSL-Provider ist und Du gerade vom DSL-
>> Zugangs-Passwort sprichst).
>
> Warum ist ISP harmlos, also das Pa�wort f�r den Internetzugang? Weil
>>
>> Ach, ISP ist eher harmlos (wenn es der DSL-Provider ist und Du gerade vom DSL-
>> Zugangs-Passwort sprichst).
>
> bei meinem Festnetz-Internet der Zugang an meiner Telefonnummer
> "h�ngt" und sich daher sowieso niemand einloggen kann, der nicht in
> meiner Wohnung sitzt?
>
>> Sollte er z.B. f�r Webmail nur 16 Zeichen vorsehen, dann h�ng' ihn hoch auf.
>
> Naja, Webmail ... Mit diesem Pa�wort (nur 8 bis 16 Zeichen) hole ich
> via eMail-Client oder via Web-Interface meine Post ab. Im Gegensatz
> zum "ISP-Pa�wort" kann man die Mails nat�rlich von �berall auf der
> Welt abholen, wenn man das PW kennt oder hackt.
>
> Richtig soweit?
>
Wenn jemand Zugriff auf deinen Computer / dein Dateisystem hat, kann er
>
> Richtig soweit?
>
in aller Ruhe m�gliche Hash Werte berechnen und mit dem Passwort Hash
von deinem Computer vergleichen. Er braucht keine Eingabeversuche
machen. Die macht er erst, wenn die Berechnung f�r ein vermutetes
Passwort mit dem Passwort Hash auf deinem System �bereinstimmt.
Er braucht danach genau einen Versuch, sich in dein System einzuloggen.
Das Auslesen erledigt man z.B. mit einem von CD/USB gestarteten Live
Linux oder indem man die Festplatte vor�bergehend ausbaut und z.B. In
ein USB Geh�use h�ngt.
Auch ein Virus kann dieses erledigen und dann die Hash Werte nach Hause
telefonieren.
Bei guten Internet- und E-Mail Anbietern sind die Hash Werte deiner
Passworte auf deren Servern f�r Angreifer nicht zug�nglich. Und wenn man
dann z.B. nur drei Versuche hat, bis der Zugang vor�bergehend (z.B. 24
Stunden) oder bis zur manuellen Entsperrung vom Support gesperrt ist,
ist es f�r Angreifer so gut wie nicht m�glich, deine nicht in jedem
W�rterbuch zu findenden PW's im Handumdrehen zu knacken.
Bei 8 Zeichen reicht die Rechenpower aktueller PC's h�ufig aus, die Hash
Werte m�glicher Passworte in kurzer Zeit zu berechnen. 16 Zeichen
erfordern momentan noch eine ganze Rechnerfarm, wenn es nicht Jahre
dauern soll (Kosten).
Mit steigender PC Leistung steigen aber die Anforderungen an ein
sicheres PW.
--
MfG
Dieter
ds_Dieter_Schultheis
Sep 29, 2012, 5:48:43 AM9/29/12
to
Am 23.09.2012 18:56, schrieb Ralf Döblitz:
> Stefan Reuther <stefa...@arcor.de> schrieb:
>> Werner Tann wrote:
>>> Dietz Proepper <dietz...@rotfl.franken.de> schrieb:
>>>> Da liegt Dein Denkfehler. Du bekommst nicht die Antwort "Treffer bei
>>>> 'correct'". Du bekommst nur die Antwort "falsches Passwort".
>>>
>>> Das ist mir inzwischen auch aufgegangen, ja. :-)
>>> Nach Eingabe von "c", bekommt der Hacker ja keine Bestätigung dafür,
>>> daß "c" an dieser Position richtig ist.
>>
>> Bei korrekt implementierten Passwortsystemen, ja.
>>
>> Ich habe auch schon welche erlebt, die die Bestätigung tatsächlich nach
>> jedem Buchstaben gegeben haben. WIMRE irgendwelche BIOS-Passworte, ist
>> 'ne Weile her. Aber der Vollständigkeit halber muss man das natürlich
>> noch sicherstellen.
>
> Oder WiFi Protected Setup, bei dem auch nach der ersten Hälfte der PIN
> schon eine Rückmeldung kommt - was dann eben den zu durchsuchenden Code-
> raum von n auf 2 sqrt(n) reduziert.
>
> Ralf
>
Daher darf WPS nur für die kurze Zeit der Anmeldung eines neuen WLAN
Gerätes aktiv sein.
Bei den Telekom Speedports war WPS daueraktiv und lies sich vor dem FW
Update beim SP 921 auch im der Konfig nicht ausschalten. Nach dem FW
Update der Telekom für die betroffenen Modelle wird WPS jetzt nach
einiger Zeit automatisch deaktiviert.
Der Aufschrei war ja recht groß.
--
MfG
Dieter
> Stefan Reuther <stefa...@arcor.de> schrieb:
>> Werner Tann wrote:
>>> Dietz Proepper <dietz...@rotfl.franken.de> schrieb:
>>>> Da liegt Dein Denkfehler. Du bekommst nicht die Antwort "Treffer bei
>>>> 'correct'". Du bekommst nur die Antwort "falsches Passwort".
>>>
>>> Das ist mir inzwischen auch aufgegangen, ja. :-)
>>> Nach Eingabe von "c", bekommt der Hacker ja keine Bestätigung dafür,
>>> daß "c" an dieser Position richtig ist.
>>
>> Bei korrekt implementierten Passwortsystemen, ja.
>>
>> Ich habe auch schon welche erlebt, die die Bestätigung tatsächlich nach
>> jedem Buchstaben gegeben haben. WIMRE irgendwelche BIOS-Passworte, ist
>> 'ne Weile her. Aber der Vollständigkeit halber muss man das natürlich
>> noch sicherstellen.
>
> Oder WiFi Protected Setup, bei dem auch nach der ersten Hälfte der PIN
> schon eine Rückmeldung kommt - was dann eben den zu durchsuchenden Code-
> raum von n auf 2 sqrt(n) reduziert.
>
> Ralf
>
Daher darf WPS nur für die kurze Zeit der Anmeldung eines neuen WLAN
Gerätes aktiv sein.
Bei den Telekom Speedports war WPS daueraktiv und lies sich vor dem FW
Update beim SP 921 auch im der Konfig nicht ausschalten. Nach dem FW
Update der Telekom für die betroffenen Modelle wird WPS jetzt nach
einiger Zeit automatisch deaktiviert.
Der Aufschrei war ja recht groß.
--
MfG
Dieter
Werner Tann
Sep 29, 2012, 6:20:08 AM9/29/12
to
ds_Dieter_Schultheis <news...@t-online.de> schrieb:
>>> Ach, ISP ist eher harmlos (wenn es der DSL-Provider ist und Du gerade vom DSL-
>>> Zugangs-Passwort sprichst).
[...]
nicht nach.
Deiner Antwort habe ich aber nicht entnommen, worin nun der
Sicherheitsunterschied zwischen ISP- und Mailpa�wort besteht, den
Dietz angesprochen hat. Warum ist ISP "harmlos"? Grunds�tzlich sind
die Logins hier ISPseitig vorgegebene 10stellige Zahlen und dann eben
das freigew�hlte Pa�wort.
>>> Ach, ISP ist eher harmlos (wenn es der DSL-Provider ist und Du gerade vom DSL-
>>> Zugangs-Passwort sprichst).
>>> Sollte er z.B. f�r Webmail nur 16 Zeichen vorsehen, dann h�ng' ihn hoch auf.
>>
>> Naja, Webmail ... Mit diesem Pa�wort (nur 8 bis 16 Zeichen) hole ich
>> via eMail-Client oder via Web-Interface meine Post ab. Im Gegensatz
>> zum "ISP-Pa�wort" kann man die Mails nat�rlich von �berall auf der
>> Welt abholen, wenn man das PW kennt oder hackt.
>>
>> Richtig soweit?
>>
>Wenn jemand Zugriff auf deinen Computer / dein Dateisystem hat, kann er
Dieser Spezialfall macht mir wenig Sorgen, dar�ber denke ich daher
>>
>> Naja, Webmail ... Mit diesem Pa�wort (nur 8 bis 16 Zeichen) hole ich
>> via eMail-Client oder via Web-Interface meine Post ab. Im Gegensatz
>> zum "ISP-Pa�wort" kann man die Mails nat�rlich von �berall auf der
>> Welt abholen, wenn man das PW kennt oder hackt.
>>
>> Richtig soweit?
>>
>Wenn jemand Zugriff auf deinen Computer / dein Dateisystem hat, kann er
nicht nach.
Deiner Antwort habe ich aber nicht entnommen, worin nun der
Sicherheitsunterschied zwischen ISP- und Mailpa�wort besteht, den
Dietz angesprochen hat. Warum ist ISP "harmlos"? Grunds�tzlich sind
die Logins hier ISPseitig vorgegebene 10stellige Zahlen und dann eben
das freigew�hlte Pa�wort.
Message has been deleted
0 new messages