Changes between Version 20 and Version 21 of Layoutunabhängigkeit

Timestamp:

30/09/14 09:16:17 (12 years ago)

Author:

anonymous

Comment:

abschnitt zu passwörtern überarbeitet

Layoutunabhängigkeit

@@ -11 +11 @@
 
 == Passwörter ==
+
+=== Wenn Neo nicht verfügbar ist ===
 Wer ab und zu mal an Rechnern sitzt, die einen Login verlangen kennt auch dieses Problem. Das eigene Layout wird erst nach dem Login zur Verfügung gestellt. Man ist also gezwungen auf die Tastatur zu schauen, langsam zu tippen und muss in Kauf nehmen, dass Personen die daneben sitzen oder Überwachungskameras mitlesen können.­­
-Eine Abhilfe schafft die Variante, dass man für seine Passwörter nur Zahlen nimmt. Da diese bei Neo und bei Qwertz gleich liegen, braucht man nicht darauf achten, welches Layout gerade eingeschaltet ist. Wer etwas Kreativität beim Ausdenken von Zahlen braucht, kann unter Linux dazu das Programm apg befragen. Eine Abfrage würde etwa so aussehen:
+Man sollte es grundsätzlich nicht machen. Kann sich durchaus einprägen.
+Eine Abhilfe schafft die Variante, dass man für seine Passwörter nur Zahlen
+nimmt. Da diese bei Neo und bei QWERTZ gleich liegen, braucht man nicht darauf
+achten, welches Layout gerade eingeschaltet ist. Wer etwas Kreativität braucht,
+kann unter Linux dazu das Programm apg befragen: 
+
 {{{
-apg -a 1 -M N -m 20 -s
+apg -a 1 -n 1 -M N -m 20 -s
 }}}
 
 Beispielausgabe:
 {{{
-# es werden immer 6 Passwörter ausgegeben, von denen
-# man sich eines (das Schönste, Einfachste, Beste) aussuchen kann
-08098440658554707567
-59254744162125926128
-36661548806180859843
-09713342758618828180
-95217775998037271184
 09400696516753334062
 }}}
@@ -31 +31 @@
 Ein offensichtlicher Nachteil ist natürlich, dass die Qualität der Passwörter durch den eingeschränkten Zeichenvorrat erheblich schlechter wird und ein Angreifer, der weiß, dass man nur bestimmte Zeichen verwendet, weniger (Rechen-)Aufwand hat, um das Passwort zu brechen. Dagegen hilft natürlich ein längeres Passwort, was allerdings den Nachteil hat, dass es sich nicht so leicht merken lässt. Damit das Passwort noch sicher bleibt sollte es daher mindestens 20 Stellen lang sein (= 10^20^ mögliche Passwörter)!
 
-Nimmt man die Zeichen »/*-+,« (die mit auf dem Ziffernblock liegen) noch mit dazu, braucht man immer noch mindestens 17 Stellen (= 15^17^ = 0,985 ∙ 10^20^ mögliche Passwörter). Ein weiteres Zeichen, dass bei Neo so liegt wie bei Qwertz ist der Buchstabe »m« (bzw. »M«). Damit ergeben sich 18 unterschiedliche Zeichen und man benötigt nur noch 16 Stellen (= 18^16^ = 1,21 ∙ 10^20^), um ein sicheres Passwort zu bekommen, was etwa die gleiche Sicherheit von 12 zufälligen Groß- und Kleinbuchstaben hat (= (2 ∙ 26)^12^ = 52^12^ = 3,91 ∙ 10^20^).
+Nimmt man die Zeichen [[span(style=background-color:#ccf, +-*/,)]] (die mit auf
+dem Ziffernblock liegen) noch mit dazu, braucht man immer noch mindestens 17
+Stellen (= 15^17^ = 0,985 ∙ 10^20^ mögliche Passwörter). Ein weiteres Zeichen,
+dass bei Neo so liegt wie bei QWERTZ ist der Buchstabe
+[[span(style=background-color:#ccf, m)]]  (bzw. [[span(style=background-color:#ccf, M)]]). Damit ergeben sich 18 unterschiedliche Zeichen und man benötigt nur noch 16 Stellen (= 18^16^ = 1,21 ∙ 10^20^), um ein sicheres Passwort zu bekommen, was etwa die gleiche Sicherheit von 12 zufälligen Groß- und Kleinbuchstaben hat (= (2 ∙ 26)^12^ = 52^12^ = 3,91 ∙ 10^20^).
 
 Das ist jedoch reine Theorie. In der Realität heisst auch nur ein einzigen Zeichen einer Zeichengruppe, dass der Codeknacker den gesamten Zeichenblock durchprobieren muss, da ihm ja nicht bekannt ist, ''welches'' Zeichen davon es ist.[[BR]]
-Das heisst, dass z.B. nur mit einem »/« schon nicht mehr alle 10 Ziffern, sondern auch noch alle Sonderzeichen durchprobiert werden müssen. Und da es in der Praxis viel wahrscheinlicher ist, dass ein Nutzer Buchstaben benutzt, bevor er auf Sonderzeichen ausweicht … was auch der Cracker weiss … wird er zuerst »a-zA-Z0-9 « ausprobieren, bevor er die Sonderzeichen auch ausprobiert.[[BR]]
-Deswegen wird ein Passwort das nur aus »0-9« und »/« besteht in der Praxis genauso unwahrscheinlich gefunden wie eines, das aus fast allen 256 ASCII-Zeichen oder ISO-8891-1-Zeichen besteht.
+Das heisst, dass z.B. nur mit einem [[span(style=background-color:#ccf, /)]]  schon nicht mehr alle 10 Ziffern,
+sondern auch noch alle Sonderzeichen durchprobiert werden müssen. Und da es in
+der Praxis viel wahrscheinlicher ist, dass ein Nutzer Buchstaben und Zahlen benutzt, bevor
+er auf Sonderzeichen ausweicht … was auch der Cracker weiß … wird er zuerst
+[[span(style=background-color:#ccf, a-zA-Z0-9)]]  ausprobieren.[[BR]]
+Deswegen wird ein Passwort das nur aus [[span(style=background-color:#ccf, 0-9)]] und [[span(style=background-color:#ccf, /)]] besteht in der Praxis genauso unwahrscheinlich gefunden wie eines, das aus fast allen 256 ASCII-Zeichen oder ISO-8891-1-Zeichen besteht.
 
-Aus den gleichen Gründen haben Passwörter die die beim NEO-Layout verfügbaren Unicode-Zeichen benutzen eine sehr viel höhere reale Sicherheit als welche, die sich noch auf „normale“ 265-Zeichen-Zeichensätze beschränken. »hallo« → 26^5^. Aber »hall∅« → mind. 65536^5^. (∅ = Mod3+Mod4+0)[[BR]]
+Nach aktuellen Empfehlungen sollten Passwörter mindestens 12 Zeichen lang sein.
+Dabei sollten sie Groß– und Kleinbuchstaben sowie Zahlen und Sonderzeichen
+(in der Regel [http://en.wikipedia.org/wiki/Special_characters diese] enthalten.
+Laut [https://www.grc.com/haystack.htm dieser Webseite] werden die verschiedenen
+Ansätze so bewertet:
+
+||Methode||Länge||Haltbarkeit bei hoher Rechenkapazität||
+||nur Ziffern|| 20||1,84 Wochen||
+||Ziffern mit m und M|| 12||1,04 Jahre||
+||Ziffern mit m und M|| 15||2,48 Tausend Jahrhunderte||
+||mit Ziffern, m, M, einem Sonderzeichen wie [+-*/,]|| 12||1,74 Jahrhunderte||
+||mit Ziffern, m, M, einem Sonderzeichen wie [+-*/,]|| 15||1,49 Millionen Jahrhunderte||
+||mit Unicode-Zeichen||||nicht untersucht||
+
+=== Passwörter mit Neo ===
+Wenn Neo immer verfügbar ist, bietet es sich an, die größere Zeichenvielfalt für
+Unicode zu nutzen.
+Passwörter die die beim NEO-Layout verfügbaren Unicode-Zeichen benutzen haben
+unter Umständen eine sehr viel höhere reale Sicherheit als welche, die sich noch auf „normale“ 265-Zeichen-Zeichensätze beschränken. »hallo« → 26^5^. Aber »hall∅« → mind. 65536^5^. (∅ = Mod3+Mod4+0)[[BR]]
 Ein schöner Trick um ohne mehr Merkleistung die Passwortqualität erheblich zu erhöhen.
 
+Webseiten erlauben allerdings meistens keine obskuren Sonderzeichen, und man
+könnte auch mit QWERTZ einige davon erzeugen.
+
+Außerdem erinnert dieser Ansatz an [http://de.wikipedia.org/wiki/Security_through_obscurity Security through obscurity]. Bei einer stärkeren Verbreitung von Neo würde die Schwäche dieser
+Idee offenbart; das Beispiel oben wäre z.B. anfällig für einen einfachen
+[http://de.wikipedia.org/wiki/W%C3%B6rterbuchangriff Wörterbuchangriff].
+
+Bei Passwörtern ist die Länge wichtiger als die Komplexität (vgl.
+[http://www.archonmagnus.com/articles/security/passwordEntropy.php hier]). Nach
+Untersuchungen werden außerdem sogar wenn Unicode-Zeichen verfügbar sind nur
+sehr wenige davon tatsächlich für Passwörter benutzt.
+
+Anstelle eines ausgefallenen Neo-Passworts (das bei z.B. Webseiten und
+vernetzten Systemen sehr vom Vorhandensein dieses Layouts abhängt) könnte man
+also auch ein gewöhnliches Passwort verwenden. Mit apg:
+
+{{{
+apg -a 1 -n 1 -M SCNL -m 15
+}}}
 
 --------------