Information

Passwort

Passwort

Das Passwort (französisches Bewährungswort) ist ein geheimes Wort oder eine Reihe von Zeichen, mit denen Identität oder Autorität bestätigt werden sollen. Passwörter werden häufig verwendet, um Informationen vor unbefugtem Zugriff zu schützen. Die meisten Computersysteme verwenden eine Kombination aus Benutzername und Kennwort, um einen Benutzer zu authentifizieren.

Sicherheitstechnologien werden ständig verbessert, aber ein Aspekt, der eine zentrale Funktion spielt, bleibt unverändert - das Vorhandensein von Passwörtern. Jeder weiß seit langem, dass die Namen von Angehörigen, Tiernamen, Geburtsdatum usw. normalerweise als Passwörter verwendet werden.

Das Hauptproblem besteht darin, Benutzer dazu zu bringen, sichere Kennwörter zu erstellen. Es ist jedoch nicht ganz klar, wie dies erreicht werden soll. Selbst in der Liste völlig zufälliger Wörter, die sich ein gewöhnlicher Mensch einfallen lässt, gibt es ein bestimmtes Muster, dh diese Handlungen können vorhergesagt werden. Daher erfordert die Auswahl sicherer Kennwörter einen sorgfältigen Ansatz. Systemadministratoren sollten die Benutzer entsprechend schulen. Werfen wir einen Blick auf einige der wichtigsten Missverständnisse, die Menschen über Windows-Passwörter haben.

Bei Verwendung von NTLMv2 sind die Kennwort-Hashes ziemlich stark. Viele sind sich der Schwäche von LanManager (LM) -Passwort-Hashes bewusst, die insbesondere zur Popularität von L0phtcrack geführt hat. NTLM macht Kennwort-Hashes robuster, da es einen längeren Hash verwendet und zwischen Groß- und Kleinbuchstaben unterscheiden kann. NTLMv2 ist noch weiter fortgeschritten, es verwendet einen 128-Bit-Schlüssel und separate Schlüssel für Vertraulichkeit und Integrität. Für eine höhere Integrität wird der HMAC-MD5-Algorithmus verwendet. Windows 2000 sendet jedoch nach wie vor häufig LM- und NTLM-Hashes über das Netzwerk, und NTLMv2 ist weiterhin anfällig für Wiederholungsangriffe (während der Übertragung). Da in der Registrierung auch LM- und NTLM-Kennwort-Hashes gespeichert sind, bleibt die Sicherheitsanfälligkeit von Angriffen auf SAM bestehen. Wir müssen noch einige Zeit warten, bis wir die LanManager-Einschränkungen aufgehoben haben, aber jetzt sollten wir auf die Stärke der Passwort-Hashes hoffen.

Das beste Passwort ist Gfh% w3M @ x. Ein verbreiteter Mythos ist, dass das beste Passwort das ist, das von einem benutzerdefinierten Generator generiert wird. Dies ist jedoch nicht ganz richtig. Tatsache ist, dass solche Passwörter zwar sehr stark sein können, für Benutzer jedoch äußerst schwer zu merken sind, nur langsam eingegeben werden können und auch für spezielle Angriffe auf den Algorithmus zur Passwortgenerierung anfällig sind. Rissbeständige Passwörter sind einfach zu erstellen, aber dann tritt das Problem sofort mit ihrer Einprägsamkeit auf. Lassen Sie uns versuchen, ein paar einfache Tricks zu betrachten. Betrachten Sie beispielsweise das Passwort [email protected] Diese E-Mail ist vor Spam-Robotern geschützt. Um es in unserem Browser zu sehen, müssen Sie die Java-Skript-Unterstützung aktivieren. Dieses Passwort verwendet Groß- und Kleinbuchstaben, zwei Zahlen und zwei Zeichen. Die Länge eines solchen Passworts beträgt bis zu 16 Zeichen, aber es ist nicht schwer, sich daran zu erinnern. Und die Eingabe eines solchen Passworts ist ganz einfach. Sie können solche Wörter so auswählen, dass sich beim Tippen die Bewegungen der Finger der rechten und linken Hand abwechseln. Dies erhöht die Geschwindigkeit und verringert die Wahrscheinlichkeit, dass jemand das Passwort aufgrund von Beobachtungen der Fingerbewegungen ausspioniert. Es gibt sogar spezielle Listen englischer Wörter, die durch abwechselnde Tasten für die rechte und die linke Hand eingegeben werden. Daher ist die Verwendung von Strukturen, die leicht zu merken sind, die beste Technik, um komplexe Passwörter zu erstellen, die leicht zu merken sind. Bei der Verwendung solcher Strukturen können Satzzeichen einfach in das Kennwort eingegeben werden, beispielsweise in einer E-Mail-Adresse, wie im obigen Beispiel. Andere solche Strukturen können Telefonnummern, Adressen, Startdateien, URLs usw. sein. Sie sollten auf einige Elemente achten, die das Auswendiglernen erleichtern. Dies können Reime, Humor, Wiederholungen und Muster sowie unhöfliche und sogar obszöne Wörter sein. Infolgedessen wird in der Ausgabe ein Kennwort angezeigt, das nur schwer zu vergessen ist.

Die optimale Passwortlänge beträgt 14 Zeichen. LM unterteilt Passwort-Hashes in zwei siebenstellige Hashes. Tatsächlich macht dieser Ansatz Passwörter anfälliger, da ein Brute-Force-Angriff (oder Brute-Force-Angriff) gleichzeitig auf jede Hälfte des Passworts angewendet werden kann. Das 9-stellige Passwort wird ebenfalls in zwei Teile unterteilt - den 7-stelligen Hash und den zweistelligen. Es ist leicht zu erraten, dass das Knacken eines Hashs mit zwei Zeichen etwas Zeit in Anspruch nimmt, ein Hash mit sieben Zeichen jedoch mehr Zeit in Anspruch nimmt, aber es ist auch durch Stunden gekennzeichnet. Oft kann ein kurzes Stück das Brechen eines langen Stücks erheblich erleichtern. Aus diesem Grund empfehlen viele Fachleute, ein Passwort mit einer optimalen Länge von 7 oder 14 Zeichen zu haben, was bereits zwei 7-Zeichen-Hashes entspricht. NTLM verbessert dies, indem alle 14 Zeichen zum Speichern von Kennwort-Hashes verwendet werden. Dies erleichtert das Leben wirklich, außer dass das NT-Dialogfeld das Kennwort auf 14 Zeichen begrenzt, wodurch das System "andeutet", dass diese Länge des Kennworts für die Sicherheit optimal ist. In neueren Windows-Versionen sieht das anders aus. In Windows 2000 und XP können Kennwörter bereits bis zu 127 Zeichen lang sein. Es gibt keine Beschränkung mehr auf 14 Zeichen. Darüber hinaus wurde der folgende Umstand festgestellt: Wenn das Kennwort länger als 14 Zeichen ist, speichert Windows LanMan-Hashes nicht einmal korrekt. Eine bestimmte Konstante wird als LM-Hash gespeichert, was einem Nullkennwort entspricht. Da das Passwort natürlich nicht Null ist, ist es nicht möglich, diesen Hash zu knacken. In diesem Sinne wäre die Verwendung von Passwörtern mit einer Länge von 14 Zeichen oder mehr eine gute Lösung. Es ist jedoch unmöglich, dies mithilfe von Sicherheitsvorlagen oder Gruppenrichtlinien zu implementieren, da Sie mit niemandem die Mindestkennwortlänge auf 15 Zeichen festlegen können.

Ein gutes Passwort ist eine Kombination wie M1chael99. Für die Anforderungen an die Kennwortkomplexität von Windows 2000 ist eine solche Kombination angemessen, obwohl sie in der Tat überhaupt nicht schwierig ist. Heutzutage versuchen Programme zum Knacken von Passwörtern Millionen von Kombinationen pro Sekunde. Sie müssen den Buchstaben "i" nicht durch die Zahl "1" und zurück ersetzen oder am Ende eines Wortes ein paar Zahlen hinzufügen. Einige Programme überprüfen sogar solche Methoden, die von Benutzern verwendet werden, und erraten lange und scheinbar sichere Passwörter. Daher sollten Sie unberechenbarer sein. Anstatt "o" durch "0" zu ersetzen, können Sie versuchen, zwei Klammern "()" zu verwenden. Anstelle von "1" können Sie auch das Zeichen "l" verwenden. Vergessen Sie nicht, dass die Stabilität mit der Verlängerung des Passworts sicherlich zunimmt.

Früher oder später kann jedes Passwort geknackt werden. Zunächst sind die Methoden zu erwähnen, mit denen Sie das Kennwort genau ermitteln können, z. B. mithilfe eines Tastatursimulators oder mithilfe von Social Engineering. Wenn wir jedoch von ihnen abstrahieren, können wir mit Zuversicht sagen, dass es Möglichkeiten gibt, Passwörter zu erstellen, die nicht in angemessener Zeit geknackt werden können. Wenn das Kennwort lang ist, dauert das Knacken zunächst ziemlich viel Zeit oder Rechenressourcen, was der Verwendung eines nicht knackbaren Kennworts entspricht. Theoretisch kann jedes Passwort geknackt werden, aber dies kann in unserem Leben und nicht einmal in unseren Enkelkindern nicht passieren. Wenn das Passwort von einer Nichtregierungsbehörde mit der entsprechenden Rechenleistung ausgewählt wird, besteht praktisch keine Chance, das Passwort herauszufinden. Obwohl die Computertechnologie sprunghaft voranschreitet, könnte dieser Mythos eines Tages Wirklichkeit werden.

Passwörter müssen monatlich geändert werden. Dieser Rat funktioniert gut für einige Passwörter mit geringer Sicherheit, aber nicht für normale Benutzer. Schließlich zwingt eine solche Anforderung Benutzer dazu, bei jeder Änderung ziemlich vorhersehbare Kennwörter zu verwenden oder einige Methoden zu verwenden, die die Wirksamkeit der Sicherheit verringern. Und der Benutzer mag es nicht, alle 30 Tage ständig neue Passwörter zu finden und sich diese auch zu merken. Anstatt das Alter des Passworts zu begrenzen, ist es besser, sich darauf zu konzentrieren, robustere zu erstellen und die Benutzerkompetenz zu erhöhen. Für einen durchschnittlichen Benutzer reichen 3-4 Monate aus, um ein Passwort zu speichern. Ein solcher Schritt, der den Menschen mehr Zeit gibt, bietet die Möglichkeit, sie davon zu überzeugen, komplexere Passwörter zu verwenden.

Es ist strengstens verboten, Ihr Passwort irgendwo aufzuschreiben. Obwohl viele versuchen, diesen Rat zu befolgen, müssen Sie manchmal Ihre Passwörter noch aufschreiben. In diesem Fall fühlen sich Benutzer beim Erstellen eines komplexen Kennworts wohler, da sie sicher sind, dass sie es an einem sicheren Ort lesen können, auch wenn sie es vergessen. Es sollte auch darauf geachtet werden, wie Passwörter richtig notiert werden. Natürlich ist es dumm, das Passwort auf einen Aufkleber auf dem Monitor zu schreiben, aber ein Papier mit einem Passwort in einem Safe oder zumindest in einer verschlossenen Schublade aufzubewahren, kann eine ausreichende Maßnahme sein. Vernachlässigen Sie nicht die Sicherheit, wenn Sie Papier mit einem alten Passwort entsorgen. Viele Hacks sind genau deshalb aufgetreten, weil Hacker den Müll der Organisation sorgfältig nach aufgezeichneten alten Passwörtern durchsucht haben. Benutzer greifen häufig auf die Idee zurück, ihre Kennwörter in speziellen Software-Dienstprogrammen zu speichern. Diese Produkte können mehrere Kennwörter speichern, die durch ein Master-Master-Kennwort geschützt sind. Der Verlust ist jedoch mit der Tatsache behaftet, dass ein Angreifer gleichzeitig auf die gesamte Liste der Kennwörter zugreifen kann. Bevor Sie Benutzern erlauben, Kennwörter mit solchen Tools zu speichern, sollten Sie daher die folgenden Nuancen berücksichtigen. Erstens ist dies eine Softwaremethode, daher ist sie anfällig für Angriffe, und zweitens kann das Hauptkennwort selbst der einzige Grund für den Fehler aller Benutzerkennwörter auf einmal sein. Oft wird das Hauptkennwort auch ziemlich einfach gemacht. Es ist am besten, physische Sicherheit, Unternehmensrichtlinien und Technologie zu kombinieren. Manchmal müssen Passwörter nur dokumentiert werden. Es kommt vor, dass der Systemadministrator krank wird oder beendet wird. Oft ist dies jedoch die einzige Person, die Administratorkennwörter für den Zugriff kennt, auch für Server. Es ist oft sogar notwendig, das Aufschreiben von Passwörtern zu genehmigen. Natürlich sollte dieser Schritt äußerst nachdenklich sein und in extremen Fällen angewendet werden.

Das Passwort darf keine Leerzeichen enthalten. Trotz der Tatsache, dass dies bei Benutzern nicht sehr beliebt ist, erlauben Windows XP und Windows 2000 die Verwendung von Kennwörtern und Leerzeichen. Wenn es in Windows ein solches Zeichen gibt, kann es auch im Kennwort verwendet werden. Ein Leerzeichen ist daher ein durchaus akzeptables Zeichen für ein Passwort. Einige Anwendungen kürzen jedoch Leerzeichen. Daher ist es besser, kein Leerzeichen am Anfang und am Ende des Kennworts zu verwenden. Übrigens können Benutzer mithilfe von Leerzeichen komplexere Kennwörter erstellen. Da dieses Symbol zwischen Wörtern verwendet werden kann, können Sie Passwörter aus mehreren Wörtern damit erstellen. Mit dem Speicherplatz im Allgemeinen hat sich eine interessante Situation entwickelt, da er in Windows nicht in eine der Kategorien der Kennwortkomplexität fällt. Schließlich ist dies kein Buchstabe oder eine Zahl, und im Allgemeinen wird es nicht als Symbol betrachtet. Wenn also der Wunsch besteht, das Kennwort komplexer zu gestalten, ist der Platz nicht schlechter als jedes andere Zeichen. In den meisten Fällen verringert seine Verwendung die Komplexität des Kennworts nicht. Es ist jedoch nicht zu übersehen, dass ein wesentlicher Nachteil bei der Verwendung eines Leerzeichens auftritt. Beim Drücken erzeugt die Taste einen einzigartigen Klang, der kaum mit irgendetwas verwechselt werden kann. Daher wird die Verwendung eines Leerzeichens im Passwort durch einen eindeutigen Sound erzeugt. Daher können Sie im Allgemeinen Leerzeichen verwenden, missbrauchen Sie sie jedoch nicht.

Sie sollten die Bibliothek Passfilt.dll verwenden. Diese Bibliothek zwingt Benutzer, sichere Kennwörter zu erstellen. In Windows XP und 2000 geschieht dies über eine Systemrichtlinie, die die Komplexitätsanforderungen dafür definiert. Obwohl diese Richtlinie ziemlich gut ist, sind viele Benutzer verärgert, wenn sich herausstellt, dass ihre Passwörter nicht funktionieren, weil sie nicht komplex genug sind. Es kommt vor, dass selbst erfahrene Administratoren möglicherweise nicht sofort ein Kennwort eingeben können, bis die Schwierigkeitsanforderungen erfüllt sind. Es ist nicht überraschend, dass Benutzer diese Maßnahme nicht mögen. Es ist unwahrscheinlich, dass sie die Kennwortsicherheitsrichtlinie unterstützen. In einer solchen Situation besteht die beste Lösung darin, anstelle dieser Richtlinie lange Kennwörter zu benötigen. Wenn Sie einige Berechnungen durchführen, stellt sich heraus, dass ein 9-stelliges Passwort, bei dem die Buchstaben in Kleinbuchstaben geschrieben sind, ungefähr so ​​komplex ist wie ein 7-stelliges Passwort, bei dem sowohl Buchstaben als auch Zahlen verwendet werden. Der einzige Unterschied besteht darin, wie die Programme zum Knacken von Passwörtern mit den verschiedenen Teilmengen umgehen. Einige dieser Tools durchlaufen zunächst alle Buchstabenkombinationen in Kleinbuchstaben und beginnen erst dann, Optionen mithilfe von Zahlen und anderen Symbolen zu berücksichtigen. Sie können auch das Platform SDK-Beispiel verwenden und es so ändern, dass es bei der Auswahl eines Kennworts weniger wichtig ist. Ein wichtiger Schritt in diese Richtung wird darin bestehen, die Arbeit mit Benutzern zu organisieren, ihnen das Komplizieren von Passwörtern beizubringen und ihnen die erforderlichen Ideen zu liefern.

Verwenden Sie für das stabilste Kennwort ALT + 255. Um diesen Mythos zu entlarven, sollten Sie Zeichen mit einem großen ASCII-Code verwenden. Dies sollte das Kennwort komplizieren. Sie können natürlich nicht auf der Tastatur eingegeben werden. Wenn Sie jedoch ALT gedrückt halten und den Zeichencode auf der Tastatur eingeben, können Sie ihn eingeben. Manchmal kann diese Methode nützlich sein, aber wir werden uns sofort ihren Nachteilen zuwenden. Erstens kann das Halten der ALT-Taste und das anschließende Eingeben von Zahlen von anderen leicht bemerkt werden, und zweitens erfordert das Erstellen eines solchen Zeichens das gleichzeitige Drücken von fünf Tasten. Vielleicht lohnt es sich, das Passwort einfach um diese Anzahl von Zeichen zu verlängern, als jedes Mal mit einer komplizierten Kombination von im Wesentlichen einem Zeichen einzugeben. Ein Passwort mit 5 Zeichen, das mit großen ASCII-Codes eingegeben wird, erfordert also 25 Klicks. Die Gesamtzahl der Kombinationen für diese Länge beträgt offensichtlich 255 ^ 5, aber für ein 25-stelliges Passwort, das nur aus Kleinbuchstaben erstellt wird, beträgt die Anzahl der Kombinationen 26 ^ 25, was unvergleichlich größer ist. Es ist also besser, lange Passwörter zu verwenden. Es ist auch wichtig zu beachten, dass bei einigen tragbaren Computern auf Tastaturen nicht immer die Eingabe eines Codes über die Zehnertastatur möglich ist und nicht alle Befehlszeilendienstprogramme Kennwörter mit ASCII-Codes unterstützen. Sie können beispielsweise ALT + 0127 unter Windows verwenden, können es jedoch nicht über die Befehlszeile eingeben. Umgekehrt können Codes für einige Zeichen in die Befehlszeile eingegeben werden, sie können jedoch nicht in Windows-Dialogfeldern (ALT + 0009, ALT + 0010 usw.) verwendet werden. In seltenen Fällen können solche Meinungsverschiedenheiten recht unangenehm sein. Die Verwendung erweiterter Zeichencodes ist jedoch häufig nützlich und gerechtfertigt. Wenn Sie beispielsweise ein Dienstkonto oder ein lokales Administratorkonto verwenden, die nur selten verwendet werden, verdient die Verwendung erweiterter Zeichen die zusätzlichen Tastenanschläge. Dieser Ansatz kann eine ausreichende Garantie gegen Hacking sein, da nur wenige Passwort-Cracker für die Verarbeitung erweiterter Zeichen konfiguriert sind. In solchen Fällen sollten Sie sich nicht mit einem großen ASCII-Code zufrieden geben. Es stellt sich heraus, dass Sie tatsächlich den gesamten Unicode-Satz mit 65535 Zeichen verwenden können.Beachten Sie jedoch, dass ALT + 64113 immer noch nicht so stabil ist wie eine gleiche Anzahl von Tastenanschlägen mit regulären Zeichen. Lassen Sie uns abschließend auf die Verwendung von Leerzeichen mit dem Code ALT + 0160 achten. Dieses Zeichen wird als reguläres Leerzeichen angezeigt und kann jemanden täuschen, der versehentlich Ihr Passwort gesehen hat. Wenn Sie beispielsweise einen Tastaturprotokollierer verwenden, sieht ein nicht unterbrechendes Kennwort in der Protokolldatei wie ein normales Leerzeichen aus. Wenn der Cracker den gültigen ASCII-Code nicht überprüft und nichts über den nicht unterbrechenden Speicherplatz weiß, gibt das resultierende Kennwort nichts aus.

Schau das Video: Das Passwort (September 2020).