Thema: Brute Force Password “Search Space” Calculator

[Micke]

... and how well hidden is YOUR needle?

If every possible password is tried, sooner or later yours will be found.
The question is: Will that be too soon . . . or enough later? 

Zum Test ---> https://www.grc.com/haystack.htm

Quelle: http://www.grc.com/default.htm

[ritschibie]

Finde ich recht interessant! Danke Micke 

[Jürgen]

Gute Passwort-Sicherheit hängt auch sehr von der Gegenstelle ab.
So gibt es vielerorts Schutzmechanismen, die eine gewisse Blockade nach einer bestimmten Anzahl von Fehlversuchen vorsehen. Dadurch wird Brute Force unmöglich, auch wenn die Passwörter recht kurz und simpel sind.

Ein Beispiel dafür ist die PIN der EC-Karten.
Nur vier Ziffern.
Aber wenn beim dritten Fehlversuch (am selben Tag) die Karte eingezogen wird, ist diese Art Angriff nicht praktikabel, denn selbst ohne eine vom Eigentümer veranlasste Sperre erlaubt die begrenzte Gültigkeitsdauer der Karte nicht, auch nur einen großen Teil der Nummern durchzuprobieren.
Soviel zu nackten Zahlen.
Aber es gibt tatsächlich diverse Randbedingungen, die den verwendeten Zahlenraum deutlich eingrenzen.
So wird kaum eine EC-Karte drei oder vier gleiche oder vier aufeinander folgende Ziffern haben, auch weil dann sofort mit Kundenprotest zu rechnen wäre.
0815 und 4711 wohl auch nicht.
Hinzu kommt, dass die Systembetreiber vor Jahren einmal sämtliche Karten und PINs getauscht haben, mit der zweifelhaften Begründung, die neuen PINs seien auf einen leicht erlernbaren Bewegungsablauf optimiert.
Ich denke eher, es ging seinerzeit um die angebliche Berechenbarkeit aus dem Magnetstreifen und eine darauf folgende Systemumstellung.
Aber stimmte die offizielle Erklärung doch,, wäre das eine starke Einschränkung des Schlüsselraums.
So bräuchte der intelligente Angreifer statt im Mittel 5000 Tagen vielleicht nur noch ein paar hundert...

Sollte nun doch noch irgendein Zusammenhang zwischen Karten- bzw. Kontonummer und der vergebenen PIN bestehen, z.B. um Offline-Prüfung zu erlauben, und könnte man diesen mindestens teilweise erkennen, wäre von Sicherheit gar nicht mehr zu reden.

Worauf will ich eigentlich hinaus?
Einige wichtige Passworte /-zahlen können wir uns gar nicht aussuchen.
Und gerade die sind oft erschreckend schwach.
Aber beim Bankkonto muss i.d.R. mit weit hartnäckigeren Angriffen gerechnet werden als bei einem beliebigen Freemail-Account.

Dabei fällt mir ein...
Was ist der schnellste Weg, die Stecknadel im Heuhaufen zu finden?
Murphys Gesetz.
An nichts böses denken, Schuhe aus, barfuß rein, Autsch in zwei Sekunden...