Sep 14, 2015 at 07:29:22 (UTC)

1607

Britischer Geheimdienst empfiehlt vereinfachte Passwort-Regeln

Ein Schelm, wer Böses dabei denkt

http://www.heise.de/newsticker/meldung/Britischer-Geheimdienst-empfiehl ...

Please also mark the comments that contributed to the solution of the article

Content-Key: 282810

Url: https://administrator.de/contentid/282810

Printed on: May 10, 2024 at 06:05 o'clock

11 Comments

Latest comment

Hallo,

rein inhaltlich ist der Ratgeber ja vollkommen korrekt.

Jedes Sicherheitskonzept das den User in seiner Arbeit behindert, führt dazu das er veruschen wird das irgendwie zu umgehen oder sich zu erleichtern.

Aber, du hast Recht....

Ein Schelm, wer Böses dabei denkt

brammer

Moin.

Ein Schelm, wer Böses dabei denkt

Ich finde die Inhalte schlüssig und die Tipps gut und vor allem die Darstellung übersichtlich. Würde mir nichts Böses dabei denken (dabei bin ich doch ein Schelm?).

Der britische Nachrichten- und Sicherheitsdienst GCHQ hat in einer Informationsbroschüre Tipps für Systembetreiber vor allem im Umgang mit Passwörtern gegeben, darunter die Empfehlungen, auf zu strenge Regeln mit soundsovielen Sonderzeichen, Ziffern und Großbuchstaben zu verzichten

Wenn diese Regeln bekannt werden, ist das durchaus ein Sicherheitsrisko. Denn wenn man schon weiß, dass ein Passwort 13 Zeichen haben muss und die eine Hälfte aus Zahlen und die andere aus Sonderzeichen bestehen muss (und z.B. Buchstaben keine Rolle spielen), fallen schonmal einige theoretisch mögliche (aber trotzdem sichere) Passwörter weg ^_^

Moin @diokon

Wenn diese Regeln bekannt werden

...das kommt schon mal vor

wenn man schon weiß, dass ein Passwort 13 Zeichen haben muss und die eine Hälfte aus Zahlen und die andere aus Sonderzeichen bestehen muss

Das kann man in z.B. Windows nicht einmal einstellen. Und wenn man es mittels Tools einstellt, dann wird da in der Regel kein Volldepp hinterstehen, der anstelle von "13 oder mehr Zeichen" "genau 13 Zeichen" verlangt. Aber Du hast schon nicht ganz unrecht, ich hab dazu letztens schon was verlinkt, und zwar Effect of password policies on keyspace reduction

Zitat von @brammer:

Hallo,

rein inhaltlich ist der Ratgeber ja vollkommen korrekt.

Jedes Sicherheitskonzept das den User in seiner Arbeit behindert, führt dazu das er veruschen wird das irgendwie zu umgehen oder sich zu erleichtern.

Wie meinst du das?

Hallo,

@AnkhMorpork

Nicht so wie du es gelesen hast

die Arbeit erleichtern.... nicht sich erleichtern... zumindest nicht deswegen...

brammer

Ey @brammer,

nichts für ungut, aber ich lag fast auf dem Boden, als ich es gelesen habe. Schmutzige Phantasie halt ... es passt wie Faust auf Auge zum Thema.

Gruß

Ankh

Hallo,

kein Problem....

ich habe auch Lachen müssen....

brammer

Zitat von @DerWoWusste:

Das kann man in z.B. Windows nicht einmal einstellen. Und wenn man es mittels Tools einstellt,

Was für Tools gäbe es denn da, die sich auf einem Windows-Server so einhängen, dass sie den Prozess der Passwortänderung eines Benutzers in einer Domäne überwachen könnten? Und kann man mittels dieser Tools auch die GCHQ-Empfehlung "Gegen allzu schwache Passwörter empfiehlt der GCHQ die Implementierung von Blacklists, also das Verbieten typischer leicht zu erratender Passwörter" umsetzen? Das kann Windows ja auch nicht per default.

Moin SarekHL.

Wir nutzen dazu den Password Policy Enforcer von Anixis, der kann sehr viel, Blacklists, Tastaturmuster verbieten, usw.

Grundsätzlich sind die Gendanken ja nicht falsch. Typisches Beispiel sind doch Richtlinien die besagen das der User alle 30 Tage sein PW ändern muss. Weil ihm nach dem dritten nichts mehr einfällt nimmt er irgendwas einfaches und hängt eine fortlaufende Nummer dran die er jedes Mal ändert.
Da bin ich doch eher für einen gewissen Schritt in Richtung Usability...
Wie so oft trifft es sich in der Mitte würde ich meinen!

German General Security Basics Security