@Micha0815:
Kennwörter sind immer so eine Sache ... für echte Logins (wo man das also eingeben muß) ist Deine Methode ja geeignet. Für solche Sachen wie einen PSK (gilt selbst für WLANs, wenn man definitiv vorher schon weiß, daß man das entweder per C&P übertragen oder per QR-Code setzen kann) ist halt ein zufälliges Kennwort wesentlich stärker.
Bei meiner Methode ergeben sich für jedes verwendete Zeichen 63 denkbare Möglichkeiten (26 in A-Z, 26 in a-z, 10 in 0-9 und der Unterstrich), das macht dann bei 32 Zeichen
Code:
63 hoch 32 = 3,7922554357346399397004274365604e+57
- das ist eine Zahl mit 57 Stellen - denkbare Kombinationen für ein Kennwort. Da bei echtem Zufall auch alle Zeichen mit derselben Häufigkeit auftreten können, muß man also im schlechtesten Fall diese Anzahl von Kombinationen austesten.
Bei Deiner Methode ergibt sich jetzt (ich rechne mal mit 10 verschiedenen Sonderzeichen + dt. Umlauten inkl. ß, die Du verwenden würdest, was bei Kennwörtern aber schon mal zu Problemen führen kann, deshalb lasse ich die für gewöhnlich aus) für jedes Zeichen eines aus 26 Großbuchstaben, 26 Kleinbuchstaben, 7 Umlauten, 10 Ziffer und 10 Sonderzeichen (als Hausnummer) = 79 mögliche Zeichen im Vorrat. Nehme ich jetzt die von Dir o.a. 22 Zeichen als Länge, bringt das
Code:
79 hoch 22 = 5,5949474058748087917216280838536e+41
verschiedene Kombinationen. Immer noch reichlich ... und auch sicher, aber eben "unsicherer" als die andere Variante (und zwar um 16 Zehnerpotenzen).
Das ist aber auch eine Milchmädchenrechnung, weil eben mit statistischen Methoden das ganze noch weiter zu reduzieren ist. Wenn ich weiß, daß Du solche Sätze verwendest, darf ich mit einiger Wahrscheinlichkeit davon ausgehen, daß Du am Beginn einen großen Buchstaben stehen hast, weil eben Sätze im Deutschen mit einem großen Buchstaben beginnen. Das reduziert (so wenig das auf den ersten Blick auch ausmachen mag) die möglichen Kombinationen schon auf
Code:
(79 hoch 21) * 29 = 2,0538414527894867716446482839463e+41
, was weit weniger als 50% des ersten Wertes sind - damit ist der Aufwand für das "Knacken" durch bloßes Probieren (brute force) schon um mehr als die Hälfte reduziert. Aber es ist immer noch eine große Zahl.
Meine Chancen bei so einem Brute-Force-Angriff kann ich aber noch weiter verbessern, wenn ich berücksichtige, daß es nun mal auch im Deutschen eine
Häufigkeitsverteilung von verwendeten Buchstaben gibt und die Kombinationen mit den häufigeren Buchstaben zuerst probiere. Es gibt eben nur sehr wenige Worte, die mit einem "x" beginnen und auch viele weitere Buchstaben tauchen einfach am Beginn eines Wortes wesentlich seltener auf als andere (q, z, c).
Dummerweise helfen manche "password policies" teilweise sogar bei solchen Reduktionen ... wenn ich zum Beispiel weiß, daß ein Kennwort drei Stellen hat (nur als Hausnummer, damit es übersichtlich bleibt), aber einen Großbuchstaben, einen Kleinbuchstaben und eine Ziffer enthalten
muß, fallen automatisch jede Menge Kombinationen weg ("Ab1" wäre möglich, "AB1" schon nicht mehr) - gleiches gilt für andere (unsinnige) Festlegungen (keine zwei identischen Zeichen nacheinander, keine Zahlenfolgen (1234), usw.).
Also ... so eine Satzbildung ist sicherlich nicht schlecht (und für zu merkende Kennwörter sicherlich ideal, wenn man diese denn auch mal wechselt, was m.E. nach die wenigsten machen, wenn sie sich so einen Satz erst einmal eingeprägt haben) - gegenüber einem wirklich zufälligen Kennwort ist sie jedoch um Größenordnungen schlechter. Ob und welche Auswirkungen das hat, steht auf einem anderen Blatt ... aber ein Kennwort aus fünf Großbuchstaben bietet eben nur 26 ** 5 = 11881376 verschiedene Kombinationen, die sind mit einem automatisierten Verfahren ruckzuck durchgerechnet.
Daher empfehle ich immer die Verwendung eines Kennwort-Safes, der dann mit einem solchen Satz, wie Du ihn beschrieben hast, gesichert wird und dann aber wirklich zufällige Werte da verwendet, wo man diese nicht von Hand eingeben muß. Erstens verringert das die Wahrscheinlichkeit, daß man eben doch dasselbe Kennwort an mehreren Stellen verwendet und zweitens macht es das periodische Wechseln von Kennwörtern einfacher, weil man sich nur einen neuen Hauptschlüssel merken muß und nicht jedes einzelne Kennwort bzw. den Satz zu seiner Ableitung.
