nicht angemeldet
Hi,
Du selber. Denn wenn Du in der Lage bist ein gutes Paßwort zu wählen kannst Du auch bestimmen ob das gelieferte Paßwort gut ist.
Nein. Es ist gradezu trivial schlechte Passwörter zu erzeugen die trotzdem jedem statistischen Test standhalten. Wenn man seine Passwörter zum Beispiel als SHA1 von 1, 2, 3, 4, usw. generiert kriegt man nahezu per definitionem gute statistische Eigenschaften. Dazu noch ein passendes Mapping um von Hexadezimalzahlen bzw. einem Bitstring in einen passwortüblichen Zeichenbereich zu kommen und voila. Wenn du dann noch ein festes Geheimnis mithashst
Dann ist das Paßwort schon wieder in Ordnung.
kann jemand der das Geheimnis nicht kennt noch nichtmal dahinter kommen dass du da was im Schilde führst, selbst wenn er sich alle ausgegebenen Passwörter sorgfältig ansieht.. Trotzdem sind diese Passwörter über alle Maßen schlecht da sie nur wenige Bit Zufall enthalten und kinderleicht zu erraten sind.
Ja, dieser Aspekt ist natürlich bekannt. Allerdings geht es hier nicht um's Erraten, da der Beschiss schon weit vorher anfängt. Zudem wurde an einer Stelle beschissen, die auch auf anderem Wege an die Daten käme. Es geht hier nicht um die Sicherhit des Paßwortes sondern um das Konzept allgemein und die grundsätzlichen Schwierigkeiten bei der Erstellung und Übertragung der Schlüssel bei symmetrischer Verschlüsselung.
Auch ist es hier egal, wer bescheißt, denn obiges Szenario gilt natürlich für beide Seiten. Da es meist der Anbieter ist, der im Zweifelsfall haftet gilt wieder, das es sicherer ist wenn der Anbieter das Paßwort zuteilt.
so short
Christoph Zurnieden