Warum Website-Passwortbeschränkungen Sie nicht sicher halten

Wenn Sie in den letzten Jahren ein oder zwei Konten erstellt haben, ist Ihnen wahrscheinlich aufgefallen, dass viele dieser Seiten Sie dafür rügen, ein “unsicheres” Passwort unter bestimmten Bedingungen zu verwenden. Manchmal müssen Sie nicht einmal die Schaltfläche “Registrieren” drücken, bevor Sie neben dem Passwortfeld eine kleine Nachricht sehen, die besagt, dass Sie ein schwaches Passwort verwenden.

Obwohl einige Seiten Sie möglicherweise daran hindern, sich mit einem Passwort zu registrieren, das sie als schwach erachten, warnen andere Sie nur und lassen Sie trotzdem nach eigenem Ermessen handeln. Unabhängig davon haben diese Seiten (meistens) eines gemeinsam: Ihre Kriterien für “sichere Passwörter” werden Sie nicht sicher halten.

Schlechte Gewohnheiten entwickeln

Eines der ersten Dinge, die Ihnen auf den meisten Websites auffallen werden, ist, dass sie alle ähnliche Kriterien dafür haben, was als “stark”es Passwort angesehen wird. Auf den meisten Seiten sind die Kriterien wie folgt:

• Mindestens 6 oder 8 Zeichen
• Mindestens eine Zahl und einen Buchstaben
• Manchmal mindestens einen Großbuchstaben.

In diesem Fall ist ein Passwort wie “Ironclad1” einfach perfekt und erfüllt die Anforderungen dieser bestimmten Website. Da die meisten Seiten nur diese Anforderungen haben, gewöhnen sich die Leute daran, dass “Ironclad1”, “Sallyepstein4”, “Michael1985” usw. gute Passwörter sind. Jeder, der jemals die ersten drei Seiten eines Buches über Cybersicherheit gelesen hat, weiß, dass dies unglaublich unsicher ist, dennoch wird es von Millionen von Seiten im Internet, wo Sicherheit eine nachträgliche Überlegung ist, die fünf Zeilen Code wert ist, stillschweigend als Norm etabliert.

Ein Hacker könnte einfach einen Wörterbuchangriff verwenden, um Ihr Passwort zu knacken, und das wäre das Ende.

Einige Webdienste (wie Google) verlangen auch, dass ein Symbol (wie “!” oder “$”) verwendet wird, um ein Passwort zu erstellen. Dies macht Dinge wie “Sallyepstein4” zu gültigen Passwörtern, und Wörterbuchangriffe sind im Laufe der Jahre raffinierter geworden.

Was ist eine gute Passwortgewohnheit?

Es gibt eine Menge Debatten darüber, was ein gutes Passwort ausmacht, aber anstatt ins Detail zu gehen und alle Nuancen zu erklären, schauen wir uns einfach einige Dinge an, über die sich alle im Allgemeinen einig sind. Ein gutes Passwort

• Beinhaltet eine breite Palette von alphanumerischen Variationen wie Großbuchstaben, Zahlen und Kleinbuchstaben
• Hat Symbole an unvorhersehbaren Stellen (“@shley” ist weniger sicher als “@$_hley”, weil es einen Unterstrich in der Mitte des Wortes gibt, wo ein Wörterbuchangriff normalerweise nach “@” sucht, das “a” ersetzt, und “$”, das “s” ersetzt)
• Enthält Leerzeichen (wie “I @te a S4nDw1ch”)
• Erreicht die obere Grenze der angemessenen Zeichengrenzen (“ I l0v3 LuC#Y “ ist weniger sicher als “ Th1S p4ssword sH_oulD b3 h@rd to cr@ck “)
• Enthält eine unkonventionelle Falschschreibung von Wörtern (z.B. “schuld” statt “should”, “beffe” statt “beef”, “inszteda” statt “instead”, “mektekezier” statt “maketecheasier”, usw.)

Natürlich ist eines der besten Passwörter, die Sie haben könnten, nicht sehr leicht zu merken (zum Beispiel: “ ifjecBucE083$&&8c ociefjC#&$6c iof0e0($# “). Beachten Sie, dass das angegebene Beispiel einfach völliger Unsinn ist und alle oben genannten Regeln befolgt, einschließlich der Einführung von Leerzeichen. Dies ist für selbst die raffiniertesten Wörterbuchangriffe äußerst unkonventionell. Vorausgesetzt, dass die Datenbank, die den Hash für Ihr Passwort speichert, sicher ist und die Verschlüsselungsschlüssel korrekt verwaltet werden, würde es Ihr Konto für einen Hacker weniger lohnenswert machen, es zu knacken.

Natürlich sind nicht alle Server sicher, und ein Dienst, den Sie nutzen, könnte einen Verstoß erleiden, der Ihr Passwort offenbart. Deshalb ist es wichtig, für jeden Dienst ein anderes Passwort zu haben.

Aber Sie können sich nicht wirklich 15 Passwörter merken, geschweige denn das, das ich als Beispiel für “eines der besten Passwörter, die Sie haben könnten” angegeben habe. Um dem entgegenzuwirken, könnten Sie einen hochsicheren Single Sign-On-Dienst (auch bekannt als “Identitätsmanagement”) verwenden, der Ihre Passwörter für Sie im Auge behält, sodass Sie sie nicht auswendig lernen müssen. Obwohl sie seit einigen Jahren existieren, ist das Konzept immer noch ein unerschlossenes Gebiet (zumindest in meiner professionellen Meinung), also seien Sie vorsichtig. Machen Sie Ihre eigenen Recherchen und googeln Sie den Namen eines Dienstes, gefolgt von dem Wort “Verstoß”, um herauszufinden, ob er jemals gehackt wurde.

Wie das Problem gelöst werden kann

Das Problem, das wir hier zu lösen versuchen, besteht darin, die riesige Anzahl von Menschen, die im Internet Konten erstellen, dazu zu bringen, zu verstehen, was die besten Praktiken für die Passworterstellung sind. Das klingt nach einer monumentalen Aufgabe, oder?

Tatsächlich ist es so einfach, die Informationen irgendwo bereitzustellen. Google macht dies mit seinen Richtlinien gut, aber es geht nicht ganz weit genug.

Trotz der Anerkennung denke ich, dass es am besten wäre, einen Link zu diesen Richtlinien neben dem Passwortfeld einzufügen, um dem Benutzer während der Kontoerstellungsphase einen einfachen Zugang zu ermöglichen. Wenn jemand dies ignoriert, ist es sein eigenes Ermessen, aber niemand könnte zu diesem Zeitpunkt sagen, dass er nie die Chance hatte, einige Bildungsinhalte zu diesem Thema zu lesen.

Der einzige schwierige Teil dabei ist, die Millionen von Websites, die Kontendatenbanken halten, davon zu überzeugen, diese Praxis anzuwenden. Da die meisten dieser Websites jedoch große Software (wie WordPress oder Drupal) verwenden, wäre es wahrscheinlich besser, sich an die Entwickler dieser Software zu wenden, um diese Art von Dingen in ihren zukünftigen Updates bereitzustellen. Sobald Websites ihre Software aktualisieren, erhalten sie automatisch diese Richtlinien auf ihren Registrierungsseiten!

Was denken Sie, was wir sonst noch tun können, um das Bewusstsein für gute Passwörter zu verbreiten? Lassen Sie uns darüber in den Kommentaren diskutieren!