ich_iel
ich_iel
31 comments
-
-
Ist die Empfehlung, regelmäßig Passwörter zu ändern, nicht eh veraltet?
-
Ich hab da ein Familienmitglied, das mir erst kürzlich erzählt hat, wie es sich neue Passwörter ausdenkt: "Ich hab da so ne Liste mit Passwörtern von anderen Sachen, die gehe ich einfach durch". Tja, als Informatiker macht mich das nicht gerade glücklich
-
Nein, sie ist falsch. Sie ist nicht nur veraltet sondern sogar schadhaft, da sie gutes Verhalten bestraft.
-
Ein glück gibt es hier auf ich_iel keinerlei IT menschen. :)
-
Kein Risiko, kein Fiesiko!
-
-
"Ja, aber sag uns das nicht."
-
10 Stück....
-
-
Und nach 90 Tagen ist das Passwort auf einmal unsicher oder wie? Versteh den Gedankengang nicht.
Edit: nicht gegen OP gerichtet. Falls das so angekommen sein sollte, sorry. Es geht um das seltsame 90-tägige Passwort-Ritual. :)
-
Der Gedanke war mal, dass man es nicht mitbekommt wenn das Passwort entwendet wurde. Also soll es regelmäßig gewechselt werden, zum einen um etwaige Schäden einzudämmen, zum anderen um bisherige Versuche das PW zu erraten nutzlos zu machen.
In der Realität sieht es aber anders aus, wie Unmutlaut hier in den Kommentaren bereits erwähnte.
-
Second-Factor regelt
-
In diesem Falle hat ein Angreifer im Durchschnitt nur 45 Tage Zeit, das Passwort zu nutzen. Ich bin sicher, 45 Tage sind viel zu wenig für einen Angreifer um eine wirkungsvolle Backdoor zu installieren.
Come on. Das Ganze ist nur Sicherheitstheater weil es nix kostet. Wenn ein Passwort vor Diebstahl geschützt werden soll, dann braucht es sowieso One Time Paaswords, da hilft auch der Schmarrn mit den 90 Tagen gar nix.
Es ist ja auch nicht so, dass es keine Lösungen für solche Probleme gäbe, wie div. 2FA Software oder Hardware Devices, 4 Augen Login usw.
Aber die 90 Tage Regelung - da kann man dem Management sagen "Jaja, wir haben was getan", ohne dass das Management Budget dafür raus rücken muss.
Es ist einfach Security Theater.
-
-
Kommt drauf an, wenn man erhöhte rechte hat und sich regelmäßig mit Menschen die ein Interesse an dem PW haben einlogt, könnte es unsicher sein. Beispiel IT beauftragter an Schule/Uni. Ansonsten ist das eine dumme Regel wie die meisten bisher bemerkt haben. Selbst in dem speziellen Kontext würde ich da keine regelmäßigen Änderungen erzwingen
-
90 Tage dann muss PW geändert werden.
-
Na dann nehm ich jetzt hunter3.
-
-
-
Passwort.1
Passwort.2
Passwort.3
Passwort.4
Passwort.5
Passwort.6
31 comments
Wissen wahrscheinlich die meisten hier, aber Passwörter zu wechseln ist gar nicht so eine gute Idee, wie man meint:
https://www.ftc.gov/policy/advocacy-research/tech-at-ftc/2016/03/time-rethink-mandatory-password-changes
zl;ng: Regelmäßig gewechselte Passwörter sind in der Regel schwach und folgen einer vorhersehbaren Transformation. Besser ist es, das Passwort nur zu wechseln, wenn man glaubt, dass es kompromittiert ist und auf jeden Fall einen zweiten Faktor zu verwenden.
Besser ist es, einen PW Verwalter zu benutzen.
Ist das sowas wie die Liste unter der Schreibtischunterlage?
Noch besser ist es, beides zu tun, also zufällig generiertes Passwort im Verwalter mit zweitem Faktor
ist das nicht mega dumm? wenn das Passwort dafür komprimiert ist, sind alle komprimiert. am schlausten ist es sich ganz klein alle Passwörter zu tattoowieren, wo es keiner sieht. %
Wobei hier wahrscheinlich auch die Frage ist, was man als Threatmodel annimmt.
Die meisten Angriffe passieren ja eher ungezielt, es setzt sich also niemand hin und überlegt, welcher Teil des PW geändert worden sein könnte. Selbst wenn, verzehnfacht das mal eben die Länge der normalen Passwort-Listen. Von daher ist es wahrscheinlich schon nicht komplett abstrus.