Allgemeine Frage zu Passwort-Managern

Richter, Otto schrieb:
> am PWM vorbei auf das Konto gehen.

Geht. Nachteil ist nur, dass Dein PWM dann noch das ALTE hat. Wenn Du 
dann wieder das falsche aus dem PWM verwendest kommt irgendwann der 
Fehler...

Richter, Otto schrieb:
> Wo ist mein Denkfehler?

Du glaubst, dass der Passwortmanager fuer hoehere Sicherheit erfunden 
wurde.
Das stimmt aber nicht, der wurde fuer hoehere Bequemlichkeit erfunden, 
das ist genau das Gegenteil.

wendelsberg

Doch, die Sicherheit, sich mit kryptischen Passworten auszusperren, wenn 
er nicht funktioniert, ist ausgezeichnet.

Könnt Ihr einen guten Passwortmanager empfehlen?

Geht rein nur um die Bequemlichkeit

Ich nutze diesen hier:

https://www.safe-in-cloud.com/en/

Die Software speichert die Daten lokal in einer 256 bit AES 
verschlüsselten Datenbank/Datei die dann in einem beliebigen 
Cloudspeicher liegen kann und gemeinsam mit allen Geräten genutzt wird.

Das ganze betreibe ich für mich auf einem von mir administrierten 
Owncloud server. Das ist zwar nicht sicherer als die Datenbank in einer 
Dropbox zu lagern, macht aber ein nerdiges Gefühl. :) (Und die Owncloud 
war eh da...)

Die Apps und Desktopanwendungen funktionieren einfach.

Nachtrag:

Als Nachteil mag man sehen, dass es kein Webinterface gibt, über das man 
an seine Passwörter herankommt... Ich sehe das eher als Vorteil.

Robert schrieb:
> Könnt Ihr einen guten Passwortmanager empfehlen?

Stift und Papier.


> Geht rein nur um die Bequemlichkeit

Okay, in dem Fall ein Passwortmanager.
Sind halt zwei Fragen, gut oder bequem.

Den nutze ich seit Jahren. Vorteile aus meiner Sicht:

"Sichere" weil lange, kryptische Passworte
Unterschiedliche Passworte
Erinnerung regelmäßig das PW zu ändern
Autostart der Applikation und automatisches Ausfüllen

Mike B. schrieb:
> Also von meinem Verständnis aus würde ich keiner einzigen derartigen
> Software vertrauen, die ich nicht selbst geschrieben hab.
>
> Wer sagt mir, dass da nicht Hintertüren für den Programmierer eingebaut
> sind?
> Der sammelt frech und frei hunderte Passwörter und verkauft sie.
> Und wer kennt schon die Programmierer und ihre Arbeitgeber genau?

Hast du schon deinen Browser selber geschrieben?

Jemand schrieb:
> Mike B. schrieb
> Hast du schon deinen Browser selber geschrieben?

Sollte nicht JEDE Software, die auf dem PC läuft in der Lage sein 
Passworteingaben zu sammeln!?

Also ist eher die Frage ob man alles was auf der HDD ist selbst 
geschrieben hat.

Wobei, was ist mit der Hardware? ;-)


BTW: Zwei-Faktor-Authentifizierung ist nicht kompliziert.
Und es wäre schön wenn es sich endlich durchsetzen würde wenn man bei 
Accounts zwecks Passwort Recovery eine sepperate E-Mail Adresse 
festlegen könnte.

Gerhard Z. schrieb:
> Außerdem gibt es ein Bug-Bounty-Programm der EU, das im Januar für 14
> Software-Projekte startet (inkl. KeePass). Darin hat die EU insgesamt
> 850.000 Euro als Belohnung zur Auffindung von Sicherheitslücken
> ausgeschrieben:
> 
https://www.heise.de/newsticker/meldung/EU-Projekt-zahlt-fuer-entdeckte-Sicherheitsluecken-in-Open-Source-Software-4260264.html

Danke für die Info, wusste ich noch nicht.

> Aber nichts spricht dagegen,
> dass du deinen Zettel mit 100 Passwörtern immer mit dir im Portmonai
> dabei hast. Ist sicher ganz sicher ;-)

Zwei Zettel auf einem die PW, auf dem anderen die URLs und das ganze 
nicht im Portemonnaie, sondern getrennt aufbewahren.
Die paar PW die man mobil braucht, schreibt man in die Liste und merkt 
man sich zusätzlich im Kopf, dann hat man sie immer dabei.
Das geht auch mit kryptischen PW.

Um das also nochmal zu verdeutlichen, die Listen lässt man 
logischerweise Zuhause.

Wer will, der kann sie natürlich auch verschlüsselt auf Papier speichern 
und sie bei Bedarf auf dem Computer mit einem selbst geschriebenen 
Programm entschlüsseln, wenn man das PW braucht.
Möglichkeiten die Sicherheit zu erhöhen gibt es viele.

Mike B. schrieb:
> Es geht nicht um browser sondern um den Schlüssel zum einem Safe voller
> Schlüssel.

Stimmt schon, dass ein Passwortsafe ein lohnenedes Angriffsziel ist weil 
die Beute ein ganzer Bund an Schlüsseln sein kann.

Daher ist es ja auch sinnvoll dabei wählerisch zu sein und ein gut 
unterstütztes Open Source Programm zu wählen - bei dem kann man sich 
doch recht sicher sein, dass es da keine Hintertür rein schafft. Wenn 
dann noch eine unabhängige code revision und/oder Bug Bountys existieren 
ist man doch schon sehr sicher.

Trotzdem wird ein Browser öfter angegriffen - was man schon an den 
Summen der Bug Bountys sehen kann - die sind dort deutlich umfangreicher 
als bei Passwortsafes. Die Nutzeranzahl ist halt viel höher, und damit 
sind es die niedriger hängenden Früchte für den Passwortdieb. Bei einem 
gezielten Angriff auf eine Person ist natürlich der Passwortsafe das 
wertvollere Ziel, aber wenn es nur darum geht möglichst viel Beute zu 
machen ist der Browser die sichere Wahl. Schrot-Prinzip eben...

Bastler schrieb:
> und ein gut
> unterstütztes Open Source Programm zu wählen - bei dem kann man sich
> doch recht sicher sein, dass es da keine Hintertür rein schafft.

Nein, kann man nicht.
Der Heartbleed Bug von OpenSSL wurde über Jahre nicht gefunden und 
Millionen Server haben OpenSSL verwendet, darunter waren sogar viele 
finanzkräftige Unternehmen die die Sicherheit ihrer Server dieser 
Software vertrauten aber keinen Cent dafür ausgaben, dass da mal einer 
einen Code Audit macht.

https://de.wikipedia.org/wiki/Heartbleed


Sicherheit erhält man nicht dadurch, dass das viele benutzen, sondern 
Sicherheit erhält man nur dann, wenn tatsächlich auch jemand nachschaut.

Zitronen F. schrieb:
> Das absolut schlechteste sind Passwormanager auf dem Smartphone.

Nicht verallgemeinern, es gibt auch seriöse.

Z.B. Keepass2Android, dort macht sich der Autor sogar die Mühe eine 
parallele Version zu pflegen die minimale Berechtigungen benötigt (es 
fehlen dann natürlich einige Komfortfunktionen die nur möglich sind wenn 
die APP mehr Berechtigungen hat).

Zitronen F. schrieb:
> einen Android passwort Manager

Nach verlorenen Handys wird die Wiederbeschaffung der PWs interessant. 
Die Erfahrung zeigte, daß maschinell gemerkte PWs schneller vergessen 
werden als ständig eingetippte.

oszi40 schrieb:
> Die Erfahrung zeigte, daß maschinell gemerkte PWs schneller vergessen
> werden als ständig eingetippte.

Tja, blöderweise zeigt die Erfahrung auch, dass gemerkte Passwörter 
entweder wiederverwendet werden, oder unsicher sind. Oder beides.

900ss D. schrieb:
> Bei Heise war vor Jahren mal eine Methode beschrieben, mit der man sich
> selber Passwörter "generieren" kann. Finde den Artikel nicht wieder.
> Ich merke mir nur diese Regel und kann mir für jeden Account das
> Passwort aus dem Kopf wieder herstellen.

https://www.xkcd.com/936/

900ss D. schrieb:
> Bei Heise war vor Jahren mal eine Methode beschrieben, mit der man sich
> selber Passwörter "generieren" kann. Finde den Artikel nicht wieder.
> Ich merke mir nur diese Regel und kann mir für jeden Account das
> Passwort aus dem Kopf wieder herstellen.
>
> Das PW setzt sich aus 2 Teilen zusammen, einen allgemeinen (1) und einen
> Account spezifischen (2).
> 1) DimsP_  (aus dem Satz: "Dies ist mein super Passwort")
> 2) mr.n#15 (aus microcontroller.net: davon den ersten und den letzten
>    Buchstaben von 'microcontroller' dann den '.' und den ersten
> Buchstaben
>    der domain-Endung, hier 'n'. Danach das '#' und Anzahl der Buchstaben
>    wieder von 'microcontroller'.
>
> Die beiden zusammengesetzt ergibt 'DimsP_mr.n#15'
> Oder für g00gle.de dann: 'DimsP_ge.d#6'
>
> Mit der Regel kann man sich für jeden Account ein Passwort generieren
> und merkt sich nur die Regel und natürlich den Satz zum generieren des
> allgemeinen Teils.

Wenn das bei Heise so öffentlich gezeigt wurde, dann gibt es dafür 
sicherlich schon Hashtabellen für jeweils den Teil als Salt, der aus den 
Domains bekannter viel genutzter Seiten konstruiert wird.
Damit reduziert sich die Sicherheit deines PW auf die 5 Zeichen deines 
super Passworts.

900ss D. schrieb:
> Nano schrieb:
>> Damit reduziert sich die Sicherheit deines PW auf die 5 Zeichen deines
>> super Passworts
>
> Ah, ein super Schlauer. Hashtabellen für einen frei definierbaren
> String?
> Ich glaub du hast es einfach nicht kapiert.

Du hast nicht kapiert was ich geschrieben habe.
Du hast bspw. eine Domain, nehmen wir mal google.de.
Dann ist _ge.d#6 für diese Domain immer gleich.
Das ist dein Salt, damit generierst du nun alle möglichen Hashs die sich 
aus diesem Salt und 5 davor gehängten Zeichen bilden.
Und schon reduziert sich deine Anzahl an Hashs auf n^5, wobei n dein 
Zeichenvorrat ist.
Nehmen wir für n alle 26 Buchstaben, 10 Ziffern und sagen wir mal noch 
10 Sonderzeichen, dann sind das nur 46^5 Kombinationen.
Also nur 205962976 Hashs.
Für die Generierung dieser Hash wird man nicht lange brauchen und da 
google.de eine Häufig genutzte Domain ist lohnt sich der Aufwand auch.

Selbstverständlich musst du für eine andere Domain das gleiche noch 
einmal machen, aber das konntest du ja meiner Antwort entnehmen bzw. 
hast den Punkt wahrscheinlich nicht verstanden.


> Aus dem Domainteil kannst du doch auch machen was du möchtest.

Die Regeln für den Domainteil sind ja vorgegeben.
Den ersten und letzten Buchstaben des Domainnamens, dann ein Punkt 
gefolgt von einem # und der Anzahl der Buchstaben des Domainnamens.

Klar, du kannst dir natürlich auch ganz andere Regeln ausdenken, z.b. 
nur der zweite Buchstabe und als Zahl die Anzahl der Zeichen im Namen 
multipliziert mit 42, aber das sind dann eben ganz andere Regeln und 
nicht die, die heise vorgeschlagen hat.


> Aus mikrocontroller.net kannst du auch rm.n-15 machen oder 15mr oder....

Klar, aber das ist eben nicht DER heise Algorithmus.

900ss D. schrieb:
> ...

Ach noch ein Tipp.
Ändere mal dein PW hier auf mikrocontroller.net.
Du hast schließlich jedem verraten wie du deine Passwörter hier 
generierst und n^5 ist eben kein großer Aufwand.

Im übrigen hat das ganze noch einen weiteren Nachteil.
Manchmal werden auch ohne verschulden des Nutzers die Server gehackt und 
in Folge die Passwörter resettet.
Dann musst du dir für die betroffene Seite eine neue Regel ausdenken.

Nano schrieb:
> Selbstverständlich musst du für eine andere Domain das gleiche noch
> einmal machen, aber das konntest du ja meiner Antwort entnehmen bzw.
> hast den Punkt wahrscheinlich nicht verstanden.

Ach und damit das nicht falsch verstanden wird.
Natürlich macht man das nur für eine Handvoll bekannter und viel 
genutzter Domains.

Und somit ganz sicher nicht für den Login des Ortsverreins 
"Hintertupfing Fahrradclub".

900ss D. schrieb:
> Nano schrieb:
>> Die Regeln für den Domainteil sind ja vorgegeben.
>
> Nein, eben nicht. Du darfst dir eine eigene aussuchen.

Das hast du oben nicht geschrieben da steht ganz klar:
"
> Bei Heise war vor Jahren mal eine Methode beschrieben, mit der man sich
> selber Passwörter "generieren" kann. Finde den Artikel nicht wieder.
> Ich merke mir nur diese Regel
"

Man achte auf die beiden Wörter "diese Regel". Also nicht viele 
verschiedenen Regeln, sondern nur eine und darunter wird diese "EINE" 
Regel dann erklärt.
Von den Wörtern "aussuchen", "bspw.", "ungefähr könnte das so aussehen" 
usw. steht da nichts.


> 900ss D. schrieb:
> Und nichts anderes sagte ich auch.

Doch, es ist eine Regel, es ist diese Regel.

Es ist ja schön, dass du das jetzt hinterher erweiterst, aber ich lag da 
schon richtig mit meinem Einwand, da du das zu dem Zeitpunkt ja nirgends 
klar gestellt hast.
Es ist nicht einmal nachprüfbar, ob das mit dem Erweitern erst jetzt 
kommt, nach dem mein Posting dich über den Fehler aufgeklärt hat.


> Weshalb
> möchtest du das nicht kapieren?

Jetzt wirst du ungerechtfertigt frech, dabei ist es allein dein Fehler, 
wenn du dich nicht richtig ausdrücken kannst.



> Nano schrieb:
>> Dann musst du dir für die betroffene Seite eine neue Regel ausdenken.
>
> In dem Fall ja.

Ja und damit musst du dir mindestens eine Liste führen, bei welchen 
Accounts du inzwischen bei Level 2 bist.

900ss D. schrieb:
> 900ss D. schrieb:
>> Man kann die Regel ja auch beliebig nach eigenen Bedüfnissen anpssen.
>
> Du hast nur nicht alles gelesen oder bist nicht in der Lage, Texte
> sinnerfassend zu lesen.

Können ist kein muss, sondern optional.
Und so liest sich das auch, es gibt diese eine Regel und sie abzuändern, 
das ist optional, da es ein Kann ist und kein muss.

Wäre es anders, dann hättest du bspw. geschrieben:

"Die obige Regel ist nur ein Beispiel wie so eine Regel aussehen kann 
und sollte dringend angepasst werden. "

So etwas steht in deinem Posting nirgends.

Nano schrieb:
>> Nano schrieb:
>>> Dann musst du dir für die betroffene Seite eine neue Regel ausdenken.
>>
>> In dem Fall ja.
>
> Ja und damit musst du dir mindestens eine Liste führen, bei welchen
> Accounts du inzwischen bei Level 2 bist.

Das "Level-up" betrifft jede Seite, denn das Abhandenkommen eines 
Passworts kompromittiert die Sicherheit aller anderen erheblich.

Jemand schrieb:
> Nano schrieb:
>>> Nano schrieb:
>>>> Dann musst du dir für die betroffene Seite eine neue Regel ausdenken.
>>>
>>> In dem Fall ja.
>>
>> Ja und damit musst du dir mindestens eine Liste führen, bei welchen
>> Accounts du inzwischen bei Level 2 bist.
>
> Das "Level-up" betrifft jede Seite, denn das Abhandenkommen eines
> Passworts kompromittiert die Sicherheit aller anderen erheblich.

Nein, bei einer einfachen Liste oder Passwortmanager wird das alte PW 
einfach durch ein neues ersetzt.
Er dagegen muss sich einen neuen Algorithmus ausdenken und noch merken, 
welcher Algorithmus zu welchem Login gehört.
Der Aufwand steigt.