Server 2008: Kennwortproblem

[chessboi]

YAL schrieb:  Vereinfachen solche vermeintlichen Hilfen bei der Passwortsicherheit nicht BruteForce Attacken?

Passwortrichtlinien sind dazu da, dass User Passwörter wählen, welche sicher, sprich nicht einfach mit BruteForce zu knacken sind. Dieselben Passwörter lassen sich aber schwerer merken, womit sie bei dem typischen DAU auf einem Post-IT unter der Tastatur oder am Bildschirm landen. Womit der Sicherheitseffekt von Passwortrichtlinien in Frage gestellt ist.

[YAL]

Eigentlich war das anders gemeint.
Denn wenn man weiß, dass das PW z.B. Zahlen, Sonderzeichen, Groß- und Kleinbuchstaben beinhalten muss, kann man Passwörter, die diese Kriterien nicht erfüllen überspringen -> Bruteforce ist schneller.
Oder ist da ein Denkfehler?

[dancle]

YAL schrieb:  Eigentlich war das anders gemeint.
Denn wenn man weiß, dass das PW z.B. Zahlen, Sonderzeichen, Groß- und Kleinbuchstaben beinhalten muss, kann man Passwörter, die diese Kriterien nicht erfüllen überspringen -> Bruteforce ist schneller.
Oder ist da ein Denkfehler?

naja, aber woher willst du denn genau wissen, welche firma jetzt die richtlinien aktiviert hat, welche besondere richtlinien hat oder welche sie komplett deaktiviert hat. das weiß man ja zu 99,9999% nicht vorher. und je mehr zeichen ein kennwort hat, umso länger dauert nunmal bruteforce.

[gandro]

Selbst wenn die Richtlinien aktiviert sind... was soll das vereinfachen?

Die Passwörter, die diese Richtlinien nicht erfüllen, sind via Brute-Force am einfachsten zu generieren (drum sind sie ja verboten), der Vorteil beim Auslassen schwacher Passwörter ist also minimal.

Zudem: Es müssen nur drei der fünf Kriterien erfüllt sein. Du kannst also im Grunde keines der Kriterien auslassen, weil du ja nicht weisst, welche drei jetzt zum Einsatz gekommen sind und welche nicht (z.B. ein Passwort mit 5 Zeichen, dafür aber mit Zahlen, Sonderzeichen und Gross- und Kleinschreibung).

[Dirk]

ich glaube die summe der möglichen passwörter mit erweiterten zeichen ist sogar abzüglich der reinen simpelmöglichkeiten größer als, es die summe der simpelmöglichkeiten wäre.

vor allem wird bruteforce wahrscheinlich langsamer werden, da wörterbuchattacken wegfallen.

[YAL]

Dann war meine Theorie wohl doch falsch