Komplizierte Password-Regeln

Komplizierte Password-Regeln

Impressum | Werbung

Geizhals » Forum » Security & Viren »

Komplizierte Password-Regeln (51 Beiträge, 2104 Mal gelesen)

Top-100 | Fresh-100

Du bist nicht angemeldet. [ Login/Registrieren ]

Nachdem mich eines meiner Bankkonten wieder einmal ermahnt hat, eine neue PIN zu definieren, bin ich jetzt irgendwie an einem Punkt angelangt, wo ich keine Lust mehr habe bzw. ehrlich gesagt die Regeln auch gar nicht mehr eindeutig verstehe. Kann mir bitte jemand helfen ein neues Password zu finden? Ich vergebe auch ein grünes Stricherl dafür, wenn ich bloß nicht mehr darüber nachdenken muss.

-------------
Folgende Kritierien muss Ihre neue PIN erfüllen:
  Die ersten 6 Stellen bestehen aus Ziffern (notwendig für Ihren Telefon Login)
  Davon nicht 4 Ziffern auf- oder absteigend
  Davon nicht 4 gleiche Ziffern insgesamt
  Nach den ersten 6 Ziffern zumindest 4 Stellen mit mindestens einem nicht numerischen Zeichen
  Bestätigung der PIN muss mit erster Eingabe übereinstimmen

Bitte achten Sie auch auf folgende Sicherheitskriterien:
  Verwenden Sie nicht zuvor verwendete PINs oder Teile davon
  Verwenden Sie keine persönlichen Daten wie z.B. Name oder Geburtsdatum in Ihrer PIN

12.08.2018, 23:52 Uhr - Editiert von Thing, alte Version: hier

12.08.2018, 23:59 Uhr - Editiert von Paulas_Papa, alte Version: hier

Den 4er hatte ich schon in meiner alten PIN. Bekommst aber trotzdem einen grünen für den guten Willen.

Eine einzelne Ziffer darfst du ruhig nochmal benutzen. Es gibt halt leider nur 10 Ziffern.

Vermutlich hast du eh Recht. Ich versteh bloss nicht, warum die Leute immer alles so kompliziert machen müssen und dann auch nicht in der Lage sind, die Regeln wirklich eindeutig zu beschreiben. Ich bin mir z.B. bei den 4 auf- oder absteigenden Ziffern auch nicht so sicher (1357, 1259 usw.).

Fehlt nur noch die Regel, dass kein Teil der PIN eine Primzahl darstellen darf und auch nicht in den Nachkommastellen von Pi vorkommen darf.

Naja- sie wollen es den pösen Buben halt schwer machen- und nachdem die beliebtesten Passwörter 1234 oder "Passwort" sind. Ich würde als Bank halt 10 Passwörter vorschlagen und zusätzlich eine Eigenkreation ermöglichen.

sie wollen es den pösen Buben halt schwer machen

Durch diese Regeln schränken sie aber die Anzahl der möglichen Passwörter stark ein, was es leichter macht, es zu erraten.

Ein historisches Beispiel: Das 3. Reich verwendete zur Verschlüsselung der Nachrichten die Enigma. Diese transformierte nie ein Zeichen in sich selber. Auf dem ersten Blick scheint es nur eine minimale Einschränkung zu sein, schliesslich blieben noch 25 Buchstaben über. Aber die Anzahl der potentiellen verschlüsselten Alphabete reduzierte sich dadurch um einen Faktor von ca. 5e13, also ca. 50 Billionen! Zusammen mit anderen Fehlern führte dies dazu, dass die Briten den Code innerhalb von ein paar Stunden knacken konnten. Ohne die Einschränkung bezügl. Alphabet wären es statt 1h über 5 Mrd. Jahre gewesen...

Aber ohne diese Regeln würden diverse, noch einfachere PW gebraucht werden? Da geht es nicht um Verschlüsselung sondern ums Ausnutzen der Möglichkeiten.

Eine Regel, dass man eine Mischung aus Zahlen, Klein/Grosbuchstuben und Sonderzeichen verwenden muss bringt imho mehr und ist leichter verständlich.
Alle Trivilialwörter können sie ohnehin nicht ausschliessen. Das Beispiel von Maximus ist doch in Wahrheit auch trivial und leicht zu knacken (meine Begeisterung war da ein bisschen ironisch gemeint).

Es gibt bei IngDiba übrigens ohnehin schon bisher 3 Codes (Verfügernummer, PIN und Kennwort), die man einmal erraten müsste um nur den Kontostand anzusehen. Überweisungen (mTans usw.) sind dann wieder eine andere Geschichte und selbst wenn man das überwindet könnte man bei mir nur Geld auf mein Referenzkonto schippern. Wobei das Geld erschwerenderweise derzeit gebunden ist. Und dann gibt es auch noch Mechanismen, die bei zu vielen Fehlversuchen den Zugang sperren.

Offenbar sind wir bei einer anderen Ing-Diba....Tans kenn ich gar nicht mehr, das funkt mit immer gleichem Code + Gerätebindung. Find ich einfacher, sicherer und daher besser als diese Tan Geschichte.

Pin habe ich auch noch, braucht man aber nur sehr, sehr selten (etwa wenn man das gebundene Gerät wechseln will).

Verfügernummer brauch man nicht - da reicht Benutzername bzw. Mailadresse.

Einloggen geht per Fingerabdruck.

Kontostand sieht man gänzlich ohne Sicherheit noch vor dem Einloggen in der App (kann man deaktivieren - ich finds aber extrem praktisch)

_{Der Autor übernimmt keinerlei Gewähr für die Aktualität, Korrektheit, Vollständigkeit oder Qualität dieses Postings}

Ich verwende das mobile Banking bei IngDiba nicht am Smartphone sondern am PC.

Da hab ich bei IngDiba eine 11stellige Verfügernummer (von IndgDiba vorgegeben), eine frei wählbare PIN und dann noch eine 8 stellige Zahl von der ich beim Login jewils zufällig nach 2 Ziffern an bestimmten Positionen gefragt werde. Das brauch ich einmal, damit ich drin bin (Kontostand kontrollieren usw.). Zum Durchführen von Transaktionen muss ich diese (wie bei allen andern Banken die ich habe auch) mitteles eien mTAN legitinoeren.

Wie das auf der App genau aussieht, weiss ich nicht. Ich hab auf der IngDiba eigentlich nur ein paar Festgelder herumliegen und daher auch nur selten Bedarf überhaupt reinzusehen. Daher auch kein richtiger Bedarf für die App und Kontostand gänzlich ohne Sicherheit wär jetzt eigentlich auch nicht so mein Ding, aber jeder wie er mag.

ist das wirklich noch immer so? Ich hatte das auch, wurde aber vor einiger Zeit durch ein anderes Login ersetzt
Gruß,Maky

Bisher war es so, sie haben es aber vor einiger Zeit durch ein anderes Login ersetzt, stimmt. Ich habe es nur etwas später bemerkt, da ich dort nur selten reinschaue.

Genau dieses neue Login war aber der Anlass meines Threads.

Aber ohne diese Regeln würden diverse, noch einfachere PW gebraucht werden? Da
geht es nicht um Verschlüsselung sondern ums Ausnutzen der Möglichkeiten.

Wenn du so viele Einschränkungen formulierst und (wie es häufig der Fall ist) zusätzlich vorschreibst, dass die User die Passwörter regelmäßig ändern: Was glaubst du wird passieren?

Alle User werden die simpelsten Passwörter verwenden, die gerade noch die Regeln erfüllen.

Zusätzlich hat ein Angreifer, der die Regeln kennt, eine umfangreiche Liste mit Passwörtern, die er gar nicht erst probieren muss.

Es gilt immer noch: https://xkcd.com/936/

19.08.2018, 11:07 Uhr - Editiert von kaufinator1, alte Version: hier

Ja, den Konnex zu Alan Turings Kodeknackerei finde ich durchaus angebracht.

Also, so ganz korrekt ist das mit der Entschlüsselung des Enigma-Codes nun auch nicht. Denn es lag nicht nur an dieser einen Regel, sondern noch an vielen anderen Details wie z.B. der Tatsache, dass die U-Boote den Text einmal verschlüsselt und dann auch im Klartext gesendet haben. Und die ersten, die den Enigma-Code geknackt haben, waren die Polen - und auch die bracuhten da sehr lange für.

Richtig, deshalb schrieb ich "Zusammen mit anderen Fehlern". Und das Knacken des täglich wechselnden Codes erfolgte mittels Brute Force. Dank der von mir genannten Beschränkung war es innerhalb von ein paar Stunden möglich.

Welche Bank ist das denn?

Sofern es sich hier nicht ohnehin um einen Scherz handelt, würde ich umgehend das Konto schließen.

Das sollte gehen:
879956-Thing

13.08.2018, 01:40 Uhr - Editiert von sh4dow, alte Version: hier

Nein, ist kein Scherz. Ist die IngDiba.

Bezüglich des Vorschlags: Meinen Namen darf ich darin leider nicht verwenden.

Ich bin Jahrelanger Ing Diba Kunde und wurde dazu noch nie aufgefordert....seltsam...

_{Der Autor übernimmt keinerlei Gewähr für die Aktualität, Korrektheit, Vollständigkeit oder Qualität dieses Postings}

Vielleicht machen sie es schubweise. Bin auch jahrelanger Kunde und bekomme derzeit beim Einlogen einen Schirm "Umstellung des Loginverfahrens" und eben die Regeln die ich oben schon beschrieben habe.

Ich kann später hier auch einmal einen Snapshop reinstellen. Derzeit kann ich bei GH scheinbar nichts uploaden, bekomme immer wieder "Bad Gateway".

Edit: Hier ist es auch beschrieben. Okay, wenn es unterm Strich nicht schlimmer wird, dann ist eh okay. Warum du es nicht bekommst, ist aber trotzdem merkwürdig.
https://www.ing-diba.at/umstellung-ihrer-online-banking-pin

18.08.2018, 11:45 Uhr - Editiert von Thing, alte Version: hier

Genaundieses System Scheine ich eh schon zu haben...

_{Der Autor übernimmt keinerlei Gewähr für die Aktualität, Korrektheit, Vollständigkeit oder Qualität dieses Postings}

Bei mir war diese Umstellung auch vor ca. 2 Monaten

z.B. 201808Bank

lg
Maximus

My name is Maximus Decimus Meridius, Commander of the Armies of the North,
General of the Felix Legions, loyal servant to the true emperor, Marcus Aurelius.

Absolut genial. Die ästhetische Schlichtheit dieser Lösung überzeugt mich völlig. Wenn ich eine zweites grünes vergeben könnte, dann würde ich es tun.
Ich glaub, das wird mein neues Standard-Password für meine Banken-Apps. Und ich kann es auch noch monatlich einfach ändern.

Ich hoffe nur, dass ich die Ziffern verwenden darf. Den 1er und den 8er hab ich derzeit auch schon in Betrieb und wenn ich mich recht erinnere, dann hab ich den 0er in der Vergangenheit auch schon einmal geused.

13.08.2018, 19:40 Uhr - Editiert von Thing, alte Version: hier

Danke, seit geraumer Zeit verwende ich ähnlich aufgebaute und für mich einfach zu merkende Passwörter, und komme damit ohne eine Passwortliste aus.

lg
Maximus

My name is Maximus Decimus Meridius, Commander of the Armies of the North,
General of the Felix Legions, loyal servant to the true emperor, Marcus Aurelius.

Telefonnummer ohne Vorwahl ggf. mit 0 auffüllen @ dein Name

oder

112461@ichliebepong

pong
Satire erfordert Intelligenz beim Empfänger.

18.08.2018, 10:47 Uhr - Editiert von pong, alte Version: hier

Ich darf meinen Namen nicht verwenden und meine Telefonnummer wäre auch ein persönliches Datum.

18.08.2018, 11:20 Uhr - Editiert von Thing, alte Version: hier

bezüglich der persönlichen Daten glaube ich ist es eher ein Hinweis, dass du nicht sollst, nicht dass du nicht darfst

nimm halt den Hundenamen/Spitznamen /Schimpfwort/Lieblingsessen/Song (ist auch persönlich, aber kann kein Probl darstellen)

--- wenn nicht anders angegeben, handelt es sich um Wien ---

http://www.facebook.com/maximiliandesigns

111222XXXX

Gibt‘s wenigstens eine Überprüfung direkt bei der Eingabe?

Ja, Überprüfung wird gemacht. Wenn ich meine alte 6stellige numerische PIN hinten mit Buchstaben auffülle, dann bekomme ich eine klare Meldung, dass 6 Buchstaben meiner alten PIN in der neuen enthalten sind. Wie weit das mit der Drohung "keine Teile davon" tatsächlich realisiert ist, hab ich nicht ausprobiert. Auf Ziffernebene wird es wohl nicht sein, ansonsten könnte man ja bald gar nichts mehr ändern. Ziffernpaare oder längere Substrings vielleicht?

Was das ganze mit der kommunizierten "erhöhten Sicherheit" zu tun hat ist mir nicht ganz klar. Vorher war es leicht umständlich, aber aus meiner Sicht einigermassen und ausreichend sicher (siehe https://forum.geizhals.at/t895786,7922079.html#7922079 ). Nun habe ich wie bisher meine 11-stellige Verfügernummer (die auch meiner Kontonummer entspricht und auf jedem Konzoauszug im Klartext angedruckt ist) und zusätzlich die PIN, die zwar bescheuert definiert ist, aber immer noch tonnenweise Trivialpasswörter zulässt.

Wenn ich dort mein Girokonto hätte, würde ich es wegen Sicherheitsbedenken wahrscheinlich auflösen. Nachdem ich derzeit aber nur ein paar Einmalerläge herumliegen habe, lass ich es vorerst einmal und betrachte das ganze als gesteigerte Bequemlichkeit.

Bevor ich hier viel erkläre:

Nimm Scheibenwischer, füge noch ein 4 Zahlen irgendwo hinzu, fertig.

https://www.google.com/search?q=scheibenwischer+finnisch&gws_rd=ssl
----------------------------------------------------------------------------------
Wenn ich a Apple brauch, geh i in Garten.

Es haben zwar schon ein paar andere Kollegen bei ihren Vorschlägen leicht gepatzt, du schießt hier aber irgendwie den Vogel ab, indem du offenbar nicht einmal die erste Regel verstanden hast.

Der ganze Thread bestärkt mich in der Ansicht, dass solche Regelorgien unsinnig sind bzw. von Ottonormalverbraucher gar nicht geistig erfasst werden.

Btw: Ich hab eigentlich kein "Problem" mehr, da ich das Password schon korrekt geändert habe. Interessant finde ich die Vorschläge aber immer noch.

http://www.lastpass.com

Konto erstellen und alles durchlesen, kostet einmal zwei bis drei Stunden Zeit die man innerhalb weniger Monate zurück gewonnen hat.

Inwiefern hilft mir diese Anwendung für die im EP genannte Fragestellung?

Du scheinst nur die Überschrift gelesen zu haben.

Mann muss sich keine PW's mehr ausdenken, das Ding generiert komplexe PW's und merken muss man sich diese auch nicht mehr, danke verschlüsselten Online-Tresor. OK, ein Masterpasswort muss man sich merken und gut hüten.

https://forum.geizhals.at/t895786,7926201.html#7926201

schau dir einfach lastpass und andere pw-manager an.
da sind pw-generatoren dabei und du kannst die komplexitätseinstellungen selbst vornehmen. ich verwendete früher beruflich im it-umfeld nur passwörter, die auf deutscher und engslicher tastatur gleich positioniert sind (zB !,.$). das konnten die pw-manager hervorragend generieren.

https://www.heise.de/suche/?q=lastpass&search_submit.x=0&search_submit.y=0&rm=search&sort_by=date&channel=security

vor allem lässig wenn ein Paßwortmanager Sicherheitslücken aufweist denn dann weiß ein Angreifen tollerweise gleich ALLE meine Accountdaten….wunderbar

yup, ist recht praktisch.

Drum verwend ich nur Passwortmanager die rein lokal speichern.

https://www.youtube.com/watch?v=RLXeyTwA87k

Hier ist ein gutes Passwort.

Dieses Forum ist eine frei zugängliche Diskussionsplattform.
Der Betreiber übernimmt keine Verantwortung für den Inhalt der Beiträge und behält sich das Recht vor, Beiträge mit rechtswidrigem oder anstößigem Inhalt zu löschen.
Datenschutzerklärung