20/11 2007

Passwort

Allgemeine Hinweise

 

Die Sicherheit und Integrität Ihrer Daten ebenso wie die Betriebssicherheit der Systeme hängen an aller erster Stelle von der Sicherheit der gewählten Passwortes ab, mit dem Ihre Kennung geschützt wird. Während der Kennungsname für andere leicht zu erfahren ist, da er z.B. mit Ihrem EMail-Namen identisch ist, ist das Passwort geheim. Die Passworte sollten daher mit größter Sorgfalt gewählt werden und dürfen jeweils nur dem betreffenden Benutzer bekannt sein.

 

Das Einstellen oder Ändern eines Passwortes, auch Kennwort genannt, erfolgt durch Eingabe der Befehle:

 

Windows 2000: Drücken Sie die Strg + Alt + Entf Tasten und wählen Kennwort ändern

 

passwd auf der Kommandoebene eines UNIX-Rechners ( WEB - Interface für Angehörige der Fachhochschule Brandenburg )

 

Sie werden sodann nach dem alten und zweimal nach dem neuen Passwort gefragt. Die zweimalige Eingabe soll verhindern, dass sich beim Einstellen des neuen Passwortes Tippfehler einschleichen.

 

Bitte vermeiden Sie bei der Wahl eines Passwortes die folgenden Möglichkeiten:

 

Passworte, die sich aus Ihrem Namen oder dem Namen Ihrer Institution ableiten lassen. Worte, die in einem (deutschen oder englischen) Wörterbuch vorkommen könnten, unabhängig davon, wie häufig sie im täglichen Gebrauch benutzt werden. Dies gilt auch für Passworte, die sich leicht aus solchen Worten ableiten lassen. Weibliche oder männliche Vornamen sind ebenfalls unsichere Passworte. Passworte, die nur aus Ziffern bestehen oder einfache Tastenfolgen wie qwertz oder aaaaa sind auch nicht geeignet. Wenn Sie Ziffern anhängen oder einflechten, Satzzeichen oder Sonderzeichen in einem Passwort verwenden, dann haben Sie eine bessere Wahl getroffen. Oder drehen Sie ein Wort einfach um.

 

Es existieren eine Vielzahl von Programmen, die Passwort knacken und dabei die oben beschriebenen "leichten" Passworte austesten und als Treffer dann das Passwort "erraten" haben.

 

Lesen Sie weiter, wenn Sie mehr über die Auswahl eines sicheren Passwortes erfahren wollen:

Der folgende Text wurde aus dem Englischen übersetzt und überarbeitet von Sebastian Reitenbach Das Original ist zu finden unter: www.umkc.edu

 

Passwortsicherheit

• Was genau ist eigentlich ein Passwort?
• Was ist Passwort-Sicherheit?
• Warum ist Passwort-Sicherheit so wichtig?
• Warum darf ich niemandem mein Passwort verraten?
• Warum darf ich mein Passwort nicht aufschreiben?
• Wie kann ich wissen, ob mein Passwort leicht erraten werden kann?
• Erst erzählt ihr mir, ich darf mein Passwort nicht aufschreiben. Nun darf ich kein Passwort wählen, das auf Worten basiert. Wie soll ich dann ein Passwort wählen, an das ich mich erinnern kann?
• Wenn ich nun schon so ein kompliziertes Passwort habe, warum dann für jeden Account dann noch ein anderes?
• Was wenn ich nun einfach doch ein Wort als mein Passwort benutze? Sie wissen es ja doch nicht!

20/11 2007

Was genau ist eigentlich ein Passwort?

Ein Passwort ist eine Zeichenkette die Sie gegenüber Ihrem Computer und dem Netzwerk identifiziert. Auf den meisten Systemen ist ein Passwort zwischen 6 und 8 Zeichen lang. Sie können Groß- und Kleinbuchstaben, Ziffern und Symbole verwenden. Umlaute und "ß" sind allerdings tabu. Bei den Symbolen sollten auf keinen Fall das at Zeichen (@) oder die Raute (#) benutzt werden. Diese Zeichen haben spezielle Bedeutungen auf vielen Systemen. Gültige Symbole (Sonderzeichen) sind:   . , _ - ?!

 

Was ist Passwort-Sicherheit?

Passwort Sicherheit besteht hauptsächlich aus diesen 6 Sachen:

 

1. Erzählen Sie niemanden Ihr Passwort, auch keinem Admin, und schon gar nicht am Telefon!

2. Schreiben Sie ihr Passwort nirgends auf!

3. Wenn Sie sich für ein Passwort entscheiden, nehmen Sie eines, das nicht schnell geraten werden kann!

4. Wenn Sie nicht sicher sind und denken es gibt jemanden, der ihr Passwort kennt, dann ändern Sie es!

5. Benutzen Sie für jeden Account (z.B.: E-Mail, Windows-Netzwerk) ein anderes Passwort!

6. Im Allgemeinen sollten Passwörter regelmäßig geändert werden!

 

Warum ist Passwort-Sicherheit so wichtig?

Es gibt Leute da draußen (im Allgemeinen auch als "böse Cracker" bezeichnet), die versuchen Ihr Passwort herauszufinden oder zu cracken. Wenn Sie es einmal haben, können Sie furchtbare Sachen mit den Daten in Ihrem Account anstellen. Im schlimmsten Falle können Sie auch schlimme Dinge mit den Daten anderer Accounts anstellen, unter Ihrem Namen Sachen anstellen, die Sie selbst nie tun würden (dem Präsidenten der FH eine böse E-Mail schicken) oder Sie benutzen den Zugang um andere Rechner zu hacken. Also ist auch das Argument, "Ich brauche kein gutes Passwort, weil ich eh nichts in meinem Account habe!" völlig hinfällig. Die Systemsicherheit liegt in der Verantwortung jedes einzelnen, und das Gesamtsystem ist nur so sicher wie das Schwächste Glied!

 

Warum darf ich niemandem mein Passwort verraten?

Ganz einfach, weil Sie absolut keine Ahnung haben wohin diese Information geht, nachdem es über ihre Lippen gekommen ist. Selbst wenn Sie es nur einer Person sagen, kann diese es anderen Personen erzählen, und so weiter, bis Ihr Passwort in die Hände eines Crackers fällt.

 

Warum darf ich mein Passwort nicht aufschreiben?

Noch mal, Sie haben keine Ahnung wohin die Informationen gehen, wenn Sie ihren Kopf verlassen. Ein Passwort auf einen Zettel geschrieben kann sehr schnell verloren gehen, oder jemand schaut Ihnen über die Schulter, wenn Sie zum Zettel greifen um sich einzuloggen. Cracker wissen auch genau wo Sie nach diesen "Zetteln" suchen müssen, unter Tastaturen, in Schubfächern oder im schlimmsten Falle sogar an den Monitor geklebt!! Passwörter sollten auch auf keinen Fall abgespeichert werden, wie es z.B. Web-Browser oder E-Mail Clients anbieten. Diese Passwörter liegen dann an bestimmten Stellen, die auch der Cracker kennt. Es ist einfach besser, Sie merken es sich.

 

Wie kann ich wissen, ob mein Passwort leicht erraten werden kann?

Dazu müssen Sie als erstes Wissen, wie "böse Cracker" Passwörter raten.

 

Ihr Passwort ist im System in verschlüsselter Form abgespeichert. Es ist durch einen mathematischen Verschlüsselungsalgorithmus geschützt. Es gibt keinen Algorithmus, der das verschlüsselte Passwort wieder rekonstruieren kann. Deshalb wissen auch selbst die Systemadministratoren nicht Ihr Passwort. Deshalb können böse Cracker auch nicht Ihr Passwort herausfinden, indem sie einfach das System fragen.

 

Sie benutzen einfach ein Passwort-Cracker-Programm. Das Crackprogramm arbetet, indem es Zeichenketten nimmt, diese verschlüsselt, und mit Ihrem verschlüsselten Passwort vergleicht. Wenn die beiden verschlüsselten Versionen die Selben sind, hat der Cracker Ihr Passwort herausgefunden.

 

Normalerweise würde es zu lange dauern, um einfach alle möglichen Kombinationen durchzutesten. (ca. 100000 Jahre bei einem Unix-Passwort(z.B.: Ihr E-Mail Passwort) auf einem halbwegs schnellem Rechner.) Deshalb versucht das Crackprogramm einfach nur die am meisten in Frage kommenden Kombinationen. Als erstes beginnt es mit dem, was es über das System herausfinden kann, z.B. Ihr Loginname, Ihren vollen Namen, Ihre Adresse, oder Ihre Personalnummer, etc. Diese wenigen Sachen zu probieren dauert selbst auf einem langsamen Computer nur ein paar Sekunden.

 

Wenn das Crackprogramm damit fertig ist, nimmt es ein großes Wörterbuch, welches jegliche Wörter jeder Sprache, Orte, Vor- und Nachnamen, Namen von Personen aus Büchern und Filmen, Jargon- und Slangausdrücke und Akronyme enthalten kann. Das Programm versucht alle Wörter aus dem Wörterbuch innerhalb weniger Minuten. Danach geht es folgendermaßen vor:

 

1. Jedes Wort rückwärts geschrieben

2. Jedes Wort mit einer oder mehreren Ziffernkombinationen am Ende

3. Jedes Wort mit einer oder mehreren Ziffernkombinationen am Anfang

4. Jedes Wort mit Ziffern in der Mitte

5. Jedes Wort mit gewissen Buchstaben durch gewissen Ziffern ersetzt, z.B. e durch 3 ersetzt

6. Jedes Wort groß geschrieben

7. Alle 2 Wörter zusammengeschrieben, mit Ziffern in der Mitte

 

Und so weiter... Es versucht jede Kombination die Sie sich vorstellen können. Wenn Sie also nicht wollen, dass jemand Ihr Passwort rät, dann nehmen Sie keines, das auf ein Wort basiert.

 

Erst erzählt ihr mir, ich darf mein Passwort nicht aufschreiben. Nun darf ich kein Passwort wählen, das auf Worten basiert. Wie soll ich dann ein Passwort wählen, an das ich mich erinnern kann?

Da gibt es Tricks, um gute Passwörter zu erzeugen die nicht geraten werden, aber auch nicht vergessen werden können. Hier ist einer dieser Tricks: Nehmen Sie einen Spruch, an den Sie sich erinnern können. Nun nehmen Sie die ersten Buchstaben jedes Wortes, denken Sie auch an Groß- und Kleinschreibung und an die Satzzeichen. Ein Beispiel:

 

Drei blinde Mäuse, sieh wie sie laufen

 

Sieht danach so aus:

 

3bM,swsl

 

Benutzen Sie jetzt auf keinen Fall dieses Beispiel, das wäre nicht sehr clever!

 

Wenn ich nun schon so ein kompliziertes Passwort habe, warum dann für jeden Account dann noch ein anderes?

Das ist leicht zu erklären. Bei den Unix Passwörtern dauert es ja sehr lange bis ein gutes Passwort gecrackt werden kann, wie oben schon beschrieben. Bei den Windows-Netzwerkkennwörtern ist das anders, diese Passwörter können mit einem aktuellem Rechner innerhalb von 3 Tagen ausnahmslos gecrackt werden. Wenn ein Cracker so an Ihr Passwort gelangt, dann der grundsätzliche Schutz ihres E-Mail Passwortes sinnlos, wenn Sie überall das selbe Passwort benuten.

 

Was wenn ich nun einfach doch ein Wort als mein Passwort benutze? Sie wissen es ja nicht!

Das ist so nicht wahr. Um das Camusnetzwerk sicher zu halten, lassen wir natürlich auch einen Passwort-Cracker in regelmäßigen Abständen laufen. Wir sind der Meinung, das wenn wir ihr Passwort herausfinden können, es genauso auch der Craker kann. Wenn wir Ihr Passwort auf diesem Wege herausbekommen, frieren wir Ihren Account ein, damit er nicht von jemand Anderem missbraucht werden kann. Um ihn wieder benutzen zu können, sollten Sie einen Termin mit dem zuständigen Administratoren des Rechners machen. Er/Sie wird dann sichergehen, dass Sie alles verstanden haben zum Thema Passwort-Sicherheit, was hier in diesem Text behandelt wurde, bevor Sie Ihren Account wiederbekommen.