Welches Passwort soll ich festlegen?
Jeder kennt das Problem, ein Passwort zu wählen.
Und damit er nicht in seiner Erinnerung verloren geht, damit niemand empört wird und damit er nachahmungsresistent – unzerbrechlich – ist. Über Chiffren und Passwörter lässt sich viel schreiben. Neben einem eindeutigen und „richtig“ zusammengesetzten Passwort ist es jedoch auch notwendig, dessen Speicherung und Verwaltung systematisch und kompetent zu organisieren. Andererseits - Paranoia, und selbst wenn man ihn vergisst... .
Ein Passwort zu knacken ist schwierig, aber möglich. Sie können die Arbeit von Einbrechern erheblich erschweren.
"Einer der größten soziale Netzwerke berichtete, dass von mehr als einer Milliarde Versuchen, sich in das System einzuloggen, fast täglich mehr als 600.000 von Angreifern unternommen werden, die versuchen, Zugriff auf die Nachrichten, Fotos und andere persönliche Informationen anderer Personen zu erhalten.
Das amerikanische Internetunternehmen SplashData hat eine Liste der dümmsten und schwächsten Passwörter zusammengestellt, die Menschen auf der ganzen Welt verwenden. Leider verwenden viele Nutzer genau diese – so dass man sie sich leicht merken kann.
Das idiotischste und zugleich gefährlichste Passwort war „Passwort“.
An zweiter Stelle steht die Zahlenkombination „123456“, an dritter Stelle „12345678“. Die Wörter „Football“ und „Superman“ fanden Eingang in die Rangliste.
12345678
vertrauensnr.1
Baseball
Ich liebe dich
Sonnenschein
passw0rd
Übermensch
Experten raten dazu, vorsichtiger zu sein und nicht dasselbe Passwort für E-Mails, Online-Banking und andere Online-Dienste zu verwenden. Experten auf diesem Gebiet Informationssicherheit warnte Benutzer davor, dasselbe Login-Passwort-Paar für mehrere verschiedene Websites zu verwenden. Ein sicheres Passwort muss mindestens acht Zeichen enthalten, Zahlen, Groß- und Kleinbuchstaben enthalten und Spezielle Symbole(z. B. Unterstrich, Dollar oder Prozent).
Es ist viel einfacher, einfache Passwörter programmgesteuert zu knacken, aber komplexe Passwörter mit Brute-Force-Methoden sind sehr schwierig.
Ein einfacher Tipp zur Wahl eines relativ komplexen Passworts.
Wir nehmen jedes Wort. Sagen wir den Namen eines geliebten Menschen oder den Namen eines Haustieres. Schalten Sie die Tastatur auf Englisch um.
Wir schauen uns die russischen Buchstaben an und tippen diesen unvergesslichen Namen.
Natürlich mit Großbuchstaben!
Beispielsweise wird der Name des Hundes Sharik in Ifhbr umgewandelt
Name Miranda -> Vbhfylf
Es ist leicht zu merken und ziemlich schwer zu erlernen/hacken.
Um es schwieriger zu machen, können Sie den Namen Ihres Lieblingsbuchs (Lied usw.) verwenden. Wenn der Name außerdem eine Zahl enthält, ist das großartig! Schließlich kann und soll diese Zahl auch in Zahlen geschrieben werden. In diesem Fall können Leerzeichen übersprungen oder durch einen Unterstrich _ ersetzt werden.
Zum Beispiel:
3veirtnthf -> Drei Musketiere
100ktnjlbyjxtcndf -> Hundert Jahre Einsamkeit.
123456, 11111 usw.
qwerty, fyva, avs, „password“ / „password“ usw.
Name (dein, geliebter Mensch, Haustier...)
Geburtsdatum (Ihres, Ihre Lieben, Ihr Haustier...)
Telefonnummer
Und auch:
Die zulässige Mindestlänge des Passworts beträgt 8 Zeichen
Das Passwort sollte bedeutungslos sein
Warum ist das bei der Passwortwahl so wichtig?
Schauen wir uns jede dieser Positionen einzeln an.
Kurz zu den ersten 2 Punkten. Diese Passwörter sind einfach, gebräuchlich und jedem Hacker bekannt; seien Sie versichert, dass dies das Erste ist, was eine Person, die versucht, Ihr Konto zu hacken, versuchen wird.
Um einen Eindruck von den verbleibenden Positionen zu bekommen, tauchen wir in die Tiefe des Problems ein und versuchen, alles von innen zu betrachten.
Jedes Passwort, das Sie bei der Registrierung eingeben, wird vor dem Betreten des Speichers unbedingt verschlüsselt. Es gibt viele solcher Verschlüsselungsalgorithmen. Am Beispiel der häufigsten davon, der Einweg-MD5-Verschlüsselung, verfolgen wir den Weg unseres Passworts von der Registrierung bis zum Hacken.
Nach der Verschlüsselung nimmt unser Passwort also die Form eines HASH (Prüfsumme) an, der in unserem Fall aus 32 speziell gewonnenen Zeichen besteht und zum Beispiel so aussieht: „202cb962ac59075b964b07152d234b70“ für das Passwort „123“.
Wenn es einem Angreifer gelingt, Zugriff auf den Speicher zu erhalten und an die HASHES unserer Passwörter zu gelangen. Dann steht er vor der Aufgabe, sie zu entschlüsseln. Dabei hilft ihm eine spezielle Software, die leicht im Internet zu finden ist.
Jedes Programm zum Entschlüsseln von Passwörtern dieser Art verwendet eine Brute-Force-Methode: Vollständig (Brute Force), in Worten, per Maske. Die Erledigung dieser Aufgabe kann je nach Komplexität und Kenntnis des Passworts einige Sekunden bis hin zu mehreren Tagen, Monaten und sogar Jahren dauern.
Unter Verwendung eines Standard-PCs (CPU: 3 GHz) und der Software (PasswordPro) beschloss das Haus der Sowjets, eine Reihe von Passwörtern unterschiedlicher Länge und Zusammensetzung auf ihre Stärke zu testen.
Passwörter, die aus Zahlen bestehen, werden also als erstes aufgegeben.
Passwort: „1234“; Suchzeit< 1 c.
Passwort: „1234894“; Suchzeit< 1 c.
Buchstabenpasswörter halten etwas länger.
Passwort: „adfp“; Suchzeit = 2 s.
Passwort: „adrpsdq“; Suchzeit = 22 Min. 1 S.
Eine Kombination aus Klein- und Großbuchstaben erhöht zwar die Zeit erheblich, bleibt aber immer noch unzureichend, wenn man bedenkt, dass mehrere PCs gleichzeitig an der Entschlüsselung arbeiten können.
Passwort: „aBst“; Suchzeit = 5 s.
Passwort: „fdQnnHF“; Suchzeit = 1 Tag, 22 Stunden 13 Minuten.
Und die idealste Option wäre eine Kombination aus Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen (normalerweise „-“ und „_“) und mit einer Länge von mindestens 6 Zeichen.
Passwort: „As_3“; Suchzeit = 7 s.
Passwort: „fN4u-3k“; Suchzeit = 11 Tage, 13 Stunden 27 Minuten.
Passwort: „fN4u-3kS8“; Suchzeit > 1 Jahr.
Brute Force kann nicht nur durch regelmäßige Kombination gedruckter Zeichen ausgeübt werden, sondern auch durch die Verwendung einer bestimmten Liste von Wörtern, einer Passwortdatenbank, die beispielsweise ein Wörterbuch wie Dahl oder von anderen Websites gestohlene Benutzerpasswörter sowie Ihre persönlichen Passwörter enthalten kann sorgfältig im Internet gefundene Daten. Daher ist es wichtig, dass das Passwort klar ist und keine so offensichtlichen Daten wie Tag, Monat, Jahr Ihrer Geburt, die Namen von Ihnen und Ihren Lieben usw. enthält.
Ist es sicher, ein Passwort auf einem Computer zu speichern?
Nein. Es gibt eine Vielzahl von Programmen (Trojaner, Keylogger), die nach wertvollen Dateien auf Ihrer Festplatte oder einer angeschlossenen Flash-Karte suchen oder Notizen zu den von Ihnen gedrückten Tasten machen und die extrahierten Informationen an ihren Besitzer senden können.
Passwort hacken. Es ist möglich, aber jetzt ist es schwierig.
Auch wenn Sie durch eine Firewall und ein Antivirenprogramm mit dem neuesten Update geschützt sind, ist es besser, auf Nummer sicher zu gehen und wirklich wichtige Informationen in einem Notizblock auf Papier zu speichern.
Und es gibt auch den Buchstaben e!
Welches Passwort soll gewählt werden?
Nachdem ich viel einschlägige Literatur gelesen und mir eine Menge Habratopien angesehen hatte (Links zu interessanten Themen finden Sie am Ende des Artikels), beschloss ich, die Informationen über die wichtigsten Methoden zur Generierung eines sicheren und einprägsamen Passworts zusammenzufassen.
Lassen Sie mich zunächst sagen, dass ich selbst das wunderbare Programm KeePass verwende, um meine Passwörter zu generieren und zu speichern. Die Funktionalität reicht für alle meine bescheidenen Webmaster-Bedürfnisse vollkommen aus. Der größte Nachteil besteht darin, dass Sie sich auch ein Master-Passwort merken müssen. Daher beschäftigt mich und alle glücklichen Besitzer des KeePass-Programms oder seiner Analoga die ganze Aufregung um die Passwortfindung auch, denn Sie müssen sich noch ein Passwort ausdenken.
Lassen Sie uns über Hacking-Methoden sprechen
Um die ganze Tiefe des Problems zu verstehen, werde ich ein paar Zeilen der Hacking-Technik widmen. Wie kann ein Angreifer also Ihr Passwort herausfinden/erraten/erraten?- Methode des logischen Erratens. Funktioniert auf Systemen mit einer großen Anzahl von Benutzern. Der Angreifer versucht, Ihre Logik beim Erstellen eines Passworts zu verstehen (Login + 2 Zeichen, Login in umgekehrter Reihenfolge, die gängigsten Passwörter usw.) und wendet diese Logik auf alle Benutzer an. Bei vielen Benutzern kommt es sehr bald zu einer Kollision und das Passwort wird erraten;
- Wörterbuchsuche. Diese Art von Angriff wird verwendet, wenn die Datenbank mit gehashten Passwörtern vom Server durchgesickert ist. Es kann mit dem Ersetzen von Buchstaben (Tippfehlern) oder mit dem Ersetzen von Zahlen/Wörtern am Anfang oder Ende eines Wortes als Präfix oder Suffix kombiniert werden. Es werden auch Wörterbücher verwendet, die im falschen Tastaturlayout eingegeben wurden (russische Wörter im englischen Layout);
- Durchsuchen einer Tabelle mit gehashten Passwörtern. Eine fortgeschrittene Methode zum Knacken von Passwörtern, bei der die Hashes bereits generiert wurden und nur noch eine Übereinstimmung in der Datenbank für den Hash und das Passwort gefunden werden muss. Es funktioniert auch auf schwachen Rechnern sehr schnell und lässt Besitzern kurzer Passwörter keine Chance.
- Andere Methoden: Soziotechnik und Social Engineering, Einsatz von Keyloggern, Sniffer, Trojanern usw.
Passwortstärke
Indem ich die aus verschiedenen zuverlässigen Quellen erhaltenen Informationen zusammenfasse, werde ich die Hauptmerkmale eines Passworts hervorheben, das gegen Hacking resistent ist (mit Hacking meine ich das Durchsuchen von Hash-Datenbanken, wenn der Hashing-Algorithmus im Voraus bekannt ist):- Passwortlänge (je länger, desto besser), für fortgeschrittene Fälle wird empfohlen, ein 15-stelliges Passwort zu verwenden;
- Fehlen von Wörterbuchwörtern und Teilen gängiger Passwörter im Passwort;
- Fehlende Vorlagen beim Erstellen eines Passworts (mit Vorlage meine ich einen logischen Algorithmus zum Generieren eines Passworts, zum Beispiel: „Med777vedev“, „12@ytsu@21“ oder sogar „q1w2e3r4t5“);
- Stochastische Zeichenfolgen aus verschiedenen Gruppen (Kleinbuchstaben, Großbuchstaben, Zahlen, Satzzeichen und Sonderzeichen);
Wie merken sich Menschen ihre Passwörter?
Nachdem ich die Methoden zum Generieren von Passwörtern für Habrapeople analysiert hatte, kam ich zu dem Schluss, dass die Hauptmethode zum Merken eines Passworts auf der Erstellung einer logischen oder assoziativen Reihe basiert. Es werden auch alle Arten von Wortverzerrungen verwendet. Es kann sein:- Domänennamen mit Login („gooUSERglcom“, „UmailruSer“);
- Eine bestimmte Standardphrase, die an die Domain angehängt ist („passgoogleru“, „passhabrahabrru“);
- Gemeinsames Wort durchsetzt mit bedeutende Zahlen und andere Zeichen („321DR67ag0On“, wobei 32167 ein Cheat ist, der in Heroes of Might & Magic 5 schwarze Drachen beschworen hat);
- Russische Wörter im englischen Layout („k.lj“)
