nicht angemeldet
Hallo,
Ich hasse es. Ich will mein Passwort selbst festlegen.
Dass du etwas willst, ist erst einmal kein Argument hinsichtlich der Sicherheit eines Passworts und der allgemeinen Sicherheit einer Webanwendung. Wie wäre es mit sachlichen Argumenten?
Und wenn ich entscheide, dass abcde reicht - dann reicht es.
Nein. Es gibt objektive Kriterien, was die Sicherheit von Passwörtern angeht.
Die Passwortstärke ist aber nicht das einzige Sicherheitskriterium. Sonst passiert es z.B., dass der User es sich aufschreibt und auf die Tastatur klebt...
Das einzige Problem ist, wenn tatsächlich jemand Zugriff auf die Passwort Hashes kriegt, kann her abcde mit brute force relativ schnell knacken. Dann bin ich aber selbst schuld und fertig.
Einfache Passwörter lassen sich knacken, ohne dass die Hashes aus der Datenbank nötig sind
– einfach durch Anmeldeversuche.
Das ist ja nun kein Problem. Gibt ja nicht seit gestern captchas (ja, die haben ihre Nachteile) und begrenzte Anmeldeversuche. Machen auch genug große Unternehmen so. Bruteforce scheidet somit aus, wenn man den Hash nicht hat.
Vorschläge kann man ja machen "Warnung, das Passwort ist sehr unsicher! (...)", aber keine Akzeptanzkriterien bitte.
Das ist eine Implementierungsfrage. Es gibt gute Bibliotheken, die die Sicherheit von Passwörtern messen und entsprechende Hinweise geben. Die arbeiten nicht notwendig mit stumpfen Kriterien wie »mindestens eine Ziffer, mindestens ein Buchstabe« usw., sondern berechnen die allgemeine Entropie und können bspw. eine Blacklist mit einbeziehen. Solche Mechanismen sind bei allen großen Sites im Einsatz.
Nicht wirklich.
Gunnar Bittersmann
Matthias Apsel