"Stark" hatte immer die Absicht, "nicht erraten" zu bedeuten. Länge und Komplexität tragen dazu bei, dass ein Passwort "nicht erraten" wird, aber ein langes, komplexes, aber häufig verwendetes Passwort ist genauso schwach wie Pa$$w0rd .

Wenn a Das Passwort befindet sich in der HIBP-Liste. Angreifer wissen dann, dass das Passwort mit höherer Wahrscheinlichkeit von Personen ausgewählt wird und daher möglicherweise erneut verwendet wird. Diese Listen werden also zuerst getroffen.

Wenn Ihr Passwort in der Liste enthalten ist, ist es "erraten".

Wenn Ihr Passwort nicht in der Liste enthalten ist, dann von Bei einem Wörterbuch-Angriffsansatz ist er weniger erraten und nicht das, was andere gewählt haben, und er ist implizit (so viel das wert ist) "weniger erraten". Viele andere Faktoren können Ihr Passwort natürlich "erratener" machen, auch wenn es nicht in der HIBP-Liste enthalten ist.

Wie immer ist ein zufällig generiertes Passwort das "unschätzbarste" und eine maximale Länge und zufällig generiertes Passwort ist extrem schwer zu erzwingen. Und wenn Sie es zufällig generieren, warum dann nicht die maximale Länge wählen?

Um diese Frage richtig zu beantworten, müssen Sie wie der Hacker denken, der Ihr Passwort ausarbeiten möchte.

Um jedoch nicht direkt in eine mathematische Denkweise eintauchen zu müssen, sollten wir zunächst an einen Konkurrenten in der Lego Movie-Spielshow "Wo sind meine Hosen?" denken.

Wenn der Konkurrent seine Kleidung finden möchte, geht er natürlich zuerst in seine Garderobe. Wenn sich das nicht als fruchtbar erweist, überprüfen sie möglicherweise ihre Schubladen, gefolgt vom Stuhl in der Ecke des Raums, gefolgt vom Wäschekorb und vielleicht dem Hundekorb, wenn der Hund von der Art ist, die ungezogene Hosen stiehlt. Das wird alles passieren, bevor sie anfangen, in den Kühlschrank zu schauen.

Was hier vor sich geht, ist natürlich, dass der Konkurrent zuerst an den wahrscheinlichsten Stellen sucht. Sie hätten systematisch jeden Quadratfuß des Hauses in einem Raster durcharbeiten können. In diesem Fall müssten sie durchschnittlich die Hälfte des Hauses überprüfen. Auf der anderen Seite haben sie mit dieser Strategie gute Chancen, sie auf Anhieb zu erreichen, und würden sicherlich nicht erwarten, die Hälfte des Hauses abzudecken.

Ein Hacker möchte im Idealfall dasselbe tun. Angenommen, sie wissen, dass das Passwort, nach dem sie suchen, 8 Kleinbuchstaben lang ist. Sie könnten versuchen, sie einzeln durchzuarbeiten, aber es gibt 208.827.064.576 mögliche Optionen, sodass eine völlig zufällige Vermutung eine Wahrscheinlichkeit von 1 zu 208 Milliarden hat, richtig zu sein. Andererseits ist bekannt, dass "Passwort" das häufigste Passwort ist. (außer wenn es verboten ist) Wenn man sich die Daten von haveibeenpwned ansieht, ist die Wahrscheinlichkeit, dass die richtige Antwort "Passwort" lautet, ungefähr 1 zu 151. Nicht 151 Milliarden, nur 151. Das ist also mehr als eine Milliarde Mal wahrscheinlicher als eine zufällige Vermutung und sie wären dumm, nicht damit anzufangen. (Und da Sie möchten, dass Ihr Passwort nicht gefunden wird, möchten Sie natürlich vermeiden, auszuwählen, womit sie beginnen würden.)

Nun stellt sich die Frage, ob dies über "Passwort" hinaus verallgemeinert wird. Lohnt es sich, eine Liste mit durchgesickerten Passwörtern durchzuarbeiten? Beachten Sie für einige Informationen dieses Zitat aus der Originalversion.

Ich ging zur Anti-Public-Liste über, die 562.077.488 Zeilen mit 457.962.538 eindeutigen E-Mail-Adressen enthielt. Dies gab mir weitere 96.684.629 eindeutige Passwörter, die noch nicht in den Exploit.in-Daten enthalten waren. Wenn man es anders betrachtet, wurden 83% der Passwörter in diesem Satz bereits zuvor gesehen.

Was uns sagt, ist, dass ein zufällig ausgewähltes Passwort grob gesagt ein besseres als hat 80% Chance, in der Liste zu erscheinen. Die Liste enthält einige hundert Millionen Einträge, verglichen mit einigen hundert Milliarden Optionen für zufällige 8-Buchstaben-Passwörter. Grob gesagt hätte unser Hacker, der 8-Buchstaben-Passwörter versucht, eine Chance von 0,1% ohne die Liste, wenn er eine Chance von 80% mit der Liste bekommen könnte. Offensichtlich würden sie es benutzen wollen. Und wieder könnten Sie es genauso gut vermeiden. Immerhin haben Sie immer noch Hunderte von Milliarden von Optionen zur Auswahl, und Sie können Tausende von Milliarden erhalten, indem Sie nur neun Buchstaben lesen!

Das ist die Rechtfertigung für die Überprüfung der Liste.

Jetzt ist Ihre erste Sorge, dass "es immer sehr einfach sein wird, Passwörter zu knacken, die nicht auf der Liste stehen." Das könnte stimmen. Zum Beispiel ist "kvym" nicht auf der Liste. Es sind nur 4 Buchstaben. Es gibt nur eine halbe Million Passwörter, die aus 4 Kleinbuchstaben oder weniger bestehen. Wenn also Leute wahrscheinlich kurze Passwörter bevorzugen, würde ein Hacker sie in einem Bruchteil der Zeit durchgehen, die erforderlich wäre, um die Lecksliste fertigzustellen. Es ist wahrscheinlich, dass sie beide versuchen würden.

Die Antwort darauf liegt auf der Hand. Verwenden Sie beide Regeln. Verwenden Sie kein Passwort, das bei einem Verstoß aufgetreten ist, und verwenden Sie kein Passwort, das sehr kurz ist. Wenn Sie ein zufälliges Passwort von erheblicher Länge haben, haben Sie mehr als genug Optionen, die ein Hacker nicht finden kann.

Dies ist definitiv einer Ihrer Validierungsschritte, auf den Sie sich jedoch nicht vollständig verlassen können.

Angesichts der Tatsache, dass die meisten Benutzer Kennwörter wiederverwenden und Kennwörter mit einer relativ kleinen Wortbasis erstellen, handelt es sich um einen Wörterbuchangriff ist ein besonders effektives Mittel zum Erraten von Passwörtern. Da HIBP regelmäßig aktualisiert wird, werden viele Passwörter häufig verwendet und somit wahrscheinlich Kandidaten, die ein Wörterbuch-Angreifer versuchen würde. Daher ist es ein guter Ausgangspunkt, um dies zu überprüfen. Nur weil Ihr Passwort nicht in der Liste enthalten ist, bedeutet dies nicht, dass Ihr Passwort nicht leicht erraten werden kann. Es ist nur so, dass bekannte Passwörter ganz oben auf der Liste der Passwörter stehen, die zusammen mit aus dem Internet gewonnenem Text, Kombinationen von Wörtern mit Ziffern / Symbolen, Transpositionen usw. ausprobiert werden sollen. Je mehr Passwortlecks auftreten, desto nützlicher werden HIBP und andere solche Tools. und Hacker-Listen mit Passwörtern, um zu versuchen, auch für sie effektiver zu werden.

Ich war ziemlich überrascht zu sehen, dass einige Passwörter, von denen ich weiß, dass sie leicht zu erraten sind und definitiv auf mehreren Websites verwendet werden, nicht auf dem HIBP Liste, so kann ich dafür bürgen, dass es nicht die Determinante der Passwortstärke ist (genau wie das Beispiel in der Frage). Wenn ich mir jedoch ein meiner Meinung nach sicheres Passwort ausgedacht habe und es auf der Liste steht, würde ich es definitiv nicht verwenden.

Andere gehen darauf ein, warum es eine gute Idee ist. Ich werde eine andere Richtung einschlagen.

Unter Compliance-Gesichtspunkten erfordern die relevanten NIST-Standards, NIST-Sonderpublikation 800-63, Richtlinien zur digitalen Identität dies ausdrücklich, wenn Benutzer ihre Kennwörter festlegen wird mit einer Liste zuvor kompromittierter Passwörter verglichen. Der relevante Abschnitt ist SP 800-63B, Authentifizierung und Lebenszyklusverwaltung, Abschnitt 5.1.1.2, in dem

angegeben ist. Bei der Verarbeitung von Anforderungen zum Einrichten und Ändern gespeicherter Geheimnisse MÜSSEN Verifizierer Vergleichen Sie die potenziellen Geheimnisse mit einer Liste, die Werte enthält, von denen bekannt ist, dass sie häufig verwendet, erwartet oder gefährdet werden. Beispielsweise kann die Liste Folgendes enthalten, ist jedoch nicht darauf beschränkt:

• Kennwörter, die aus früheren Verstoßkorpussen stammen.
• Wörterbuchwörter.
• Repetitive oder fortlaufende Zeichen (z. B. 'aaaaaa', '1234abcd').
• Kontextspezifische Wörter wie der Name des Dienstes, der Benutzername und Ableitungen davon.

Wenn das ausgewählte Geheimnis in der Liste gefunden wird, MUSS der CSP oder der Prüfer dem Abonnenten mitteilen, dass er ein anderes Geheimnis auswählen muss, MUSS den Grund für die Ablehnung angeben und der Abonnent muss einen anderen Wert auswählen.

Per Definition sind alle über die Pwned Passwords-API gefundenen Werte "bekanntermaßen [...] gefährdet".

Wenn sich Ihr Unternehmen um die Einhaltung sorgen muss, beachten Sie dies Die beiden Hauptstandards für Passwörter sind nicht kompatibel. Der PCI-DSS (Payment Card Industry Digital Security Standard) besagt, dass Passwörter alle 30 Tage geändert werden müssen, eine Kombination aus Groß-, Klein-, Zahlen und Symbolen usw. sein müssen, während der NIST-Standard dies nicht vorschreibt basierend auf Datumsangaben willkürlich ablaufen und keine komplexen Regeln für die zulässige Zeichenklasse enthalten, sondern flexibel genug sein, damit Benutzer eine beliebige Kombination von Zeichenklassen verwenden können.

Es liegt natürlich an Ihrer Organisation, zu bestimmen, welche Standards eingehalten werden sollen.

Wenn Sie für eine Agentur des US-Handelsministeriums entwickeln, müssen Sie die NIST-Standards genau befolgen. Es ist das Gesetz. (Wenden Sie sich bei allen rechtlichen Fragen an die Rechtsabteilung Ihrer Organisation und vertrauen Sie mir nicht blind.)

Wenn Sie an einem System arbeiten, das Zahlungsinformationen verarbeitet, sollten Sie unbedingt folgen das PCI-DSS. Wenn Sie nur einen Webshop haben und einen Zahlungsprozessor eines Drittanbieters verwenden, gilt dies nicht für Sie. Es hat nicht das Gewicht des Gesetzes, aber Sie sollten sich bei Ihren Anwälten erkundigen, da Sie bei Nichtbeachtung des PCI-DSS möglicherweise als fahrlässig eingestuft werden, wenn etwas schief geht.

Wenn keines davon zutrifft, dann Für mich sind die NIST-Standards am sinnvollsten. Besprechen Sie sich gründlich mit Ihrem Sicherheitsteam, recherchieren Sie und finden Sie heraus, was für Sie am sinnvollsten ist.

Als Beispiel dafür, was für Sie in meiner Organisation am sinnvollsten ist, tun wir dies Passwörter mit weniger als 10 Treffern in der Pwned Passwords-API nicht ablehnen. Es wird weiterhin eine Warnmeldung angezeigt, die den Benutzer darüber informiert, dass das Kennwort trotz eines Verstoßes weiterhin akzeptiert wurde. Und dass sie in Betracht ziehen sollten, auf die Verwendung eines Passwort-Managers umzusteigen, um wirklich zufällige Passwörter zu generieren. Ich habe das Glück, in einer Organisation zu sein, in der wir mit den Benutzern sprechen und ehrliche Diskussionen über die Passwortverwaltung führen können. Andere müssen ihre Ansätze anpassen, um den Anforderungen ihrer Organisation gerecht zu werden.

Lassen Sie uns rechnen:

Nehmen wir an, jeder Mensch auf der Erde hat bisher ~ 1000 Passwörter verwendet. Das sind ungefähr 10 Billionen Passwörter, was ~ 2 ^{43 sup> ist, wenn ich mich nicht irre. Die zufällige Auswahl von beliebigen vorhandenen Kennwörtern ist daher ungefähr so ​​gut wie ein wirklich zufälliges Kennwort mit 8-9 Zeichen, bei dem zwischen Groß- und Kleinschreibung unterschieden wird. Nicht sehr gut. Siehe diese Antwort.}

Das bedeutet im Grunde, dass man theoretisch nicht nur ein Passwort nicht wiederverwenden sollte, man sollte auch kein Passwort wiederverwenden, das von irgendjemandem jemals verwendet wurde. Passwörter, die zuvor verwendet wurden, sind im Grunde genommen ein großer Wörterbuchangriff, der darauf wartet, ausgeführt zu werden.

Ich muss zugeben, dass ich ein bisschen verloren bin in dem, was stark heutzutage bedeutet. Ich denke gerne, dass stark ein komplexes und langes Passwort bedeutet. Aber das ist kein gutes Passwort, da es möglicherweise immer noch leicht zu erraten ist.

Wie Sie bereits bemerken: "Ein Hacker würde mit dieser Liste beginnen, wenn er brutal forciert". Wenn Ihr Passwort in dieser Liste vorkommt, wird Ihr Passwort schnell erraten und dies bedeutet, dass es kein gutes Passwort ist.

Auf der Website finden Sie eine Erklärung, wenn Sie eine Zeichenfolge eingeben, die nicht in der Liste enthalten ist:

Dieses Passwort wurde in keinem der Pwned-Passwörter gefunden, die in Have I Been Pwned geladen wurden. Das bedeutet nicht unbedingt, dass es sich um ein gutes Passwort handelt, sondern nur, dass es auf dieser Site nicht indiziert ist.

Mithilfe der HIBP-Liste können Sie überprüfen, wie einfach Ihr Passwort erraten wird, aber es ist kein Hinweis auf seine Stärke. Sie müssen hierfür einen Kennwortstärkeprüfer verwenden, der die durchgesickerten Kennwortlisten häufig nicht überprüft. Die HIBP-Passwortliste und ein Passwortstärketester ergänzen sich.

Sobald das Passwort an eine Website zur zufälligen Passwortprüfung gesendet wurde, ist es nicht mehr sicher . Die Verwendung solcher Websites ist definitiv keine gute Idee mit Passwörtern, die Sie verwenden (werden).

Nichts hindert diese Website daran, das von Ihnen getestete Passwort direkt in die Wortliste aufzunehmen und dann an Hacker zu verkaufen .

Nochmals: Die Verwendung solcher Websites mit echten Passwörtern ist meiner Meinung nach eine sehr schlechte Idee .

Es gibt viele gute Antworten auf dieser Seite, aber ich sehe niemanden, der das Konzept des Füllens von Anmeldeinformationen in Betracht zieht.

Es hängt von der Tatsache ab, dass viele Benutzer die haben Gleicher Benutzername (E-Mail-Adresse, wirklich) und Passwort auf mehreren Websites. Sie können also eine Liste mit Benutzernamen / Passwörtern abrufen (ähnlich wie bei HIBP) und einfach alle Paare in der Liste gegen die Website abfeuern, in die Sie einbrechen möchten.

Stellen Sie sicher, dass keines von beiden vorhanden ist Ihre Benutzer haben Passwörter in einer der HIBP bekannten Listen. Sie blockieren diesen Angriff sehr effektiv.

Aber das Gegenteil ist, was mich betrifft - es wird immer sehr einfach sein, Passwörter zu knacken, die nicht auf der Liste stehen. "longishpassword" hatte zu diesem Zeitpunkt noch kein Konto mit diesem Passwort, das von einem Leck betroffen war. Dies bedeutet jedoch nicht, dass dieses Passwort sicher wäre, wenn ein Leck von Hashes auftreten würde. Es wäre sehr leicht zu brechen.

Sie haben zu 100% Recht, dass die Abwesenheit in der Pwned Passwords-Datenbank von HIBP nicht garantiert, dass ein Passwort sicher ist. Ich denke jedoch, Sie unterschätzen den enormen Wert der Überprüfung von Passwörtern anhand der HIBP-Datenbank. Der Punkt ist, dass der Fall, über den Sie sich Sorgen machen - ein schwaches Passwort, das nicht in der HIBP-Datenbank enthalten ist - erheblich seltener ist als schwache Passwörter, die in der Liste enthalten sind.

Troy Hunt (der Schöpfer von HIBP) schreibt ausführlich über seine Projekte, und sein Blogeintrag von 2018 "86% der Passwörter sind schrecklich (und andere Statistiken)" gibt meiner Meinung nach ein äußerst aufschlussreiches Beispiel (der Kürze halber bearbeitet):

Aber ich habe mich immer gefragt - wie viel Prozent der Passwörter würden [Pwned Passwords] tatsächlich blockieren? Ich meine, wenn Sie 1 Million Menschen in Ihrem System hatten, verwendet ein Viertel von ihnen zuvor verletzte Passwörter? Eine Hälfte? Mehr? Was ich brauchte, um diese Theorie zu testen, war eine Datenverletzung, die Klartext-Passwörter enthielt, ein beträchtliches Volumen davon hatte und eines sein musste, das ich vorher nicht gesehen hatte und das nicht Teil der Quellen war, die ich zum Erstellen des Pwned verwendete Die Liste der Passwörter stand an erster Stelle.

Und dann kam CashCrate [ein großer Verstoß und ein Leck].

Von diesen 6,8 Millionen Datensätzen waren 2.232.284 der Passwörter im Klartext. Auf die große Frage, die zuvor gestellt wurde, wie viele davon waren bereits in Pwned Passwords enthalten? Oder mit anderen Worten, wie viele CashCrate-Abonnenten verwendeten schreckliche Passwörter, von denen bereits bekannt ist, dass sie verletzt wurden?

Insgesamt waren 1.910.144 Passwörter von 2.232.284 bereits im Satz Pwned Passwords enthalten. Mit anderen Worten, 86% der Abonnenten verwendeten Passwörter, die bereits bei anderen Datenschutzverletzungen durchgesickert waren und Angreifern im Klartext zur Verfügung standen.

Sie haben also Recht, wenn Sie glauben, dass Pwned Passwords löst nicht das ganze Problem, das Volumen der niedrig hängenden Früchte, die es anspricht, ist enorm. Kombinieren Sie es mit einem wissenschaftlich fundierten Passwort-Stärke-Checker wie zxcvbn und Sie beißen einen weiteren großen Teil ab:

  Passwort: longishpasswordguesses_log10: 8.09552score: 3/4 Funktionslaufzeit (ms ): 2 Ratet mal: 100 / Stunde: Jahrhunderte (gedrosselter Online-Angriff) 10 / Sekunde: 5 Monate (gedrosselter Online-Angriff) 10k / Sekunde: 3 Stunden (Offline-Angriff, langsamer Hash, viele Kerne) 10B / Sekunde: weniger als eine Sekunde (Offline-Angriff, schneller Hash, viele Kerne)  

Und nachdem Sie die tief liegenden Früchte abgeschlagen haben, haben Sie wahrscheinlich schnell sinkende Renditen erzielt.

Ich würde argumentieren, dass es nicht unbedingt nützlich ist, Milliarden von möglicherweise sicheren Passwörtern, die auf dieser Liste stehen, aus früheren Verstößen auszuschließen, da es im Kontext Ihrer Umgebung möglicherweise sehr schwierig ist, eines auszuwählen, wenn Milliarden bereits besonders ausgeschlossen sind wenn sich die Leute aus dem einen oder anderen Grund daran erinnern müssen (kann zum Beispiel den Passwort-Manager nicht verwenden).

Ich denke, dies sollte auch in den Kontext gestellt werden, ob Sie auch MFA einsetzen. In diesem Fall erhalten Sie das Wissen, dass das Passwort Sie bisher nur erreicht. Brute-Force-Angriffe können auch wirksam bekämpft werden, indem Kontosperrungsregeln für falsche Kennworteingaben angewendet werden.