Wie schützt man ein Konto richtig?
Ein Konto schützt man mit einem langen Passwort und einem zweiten Faktor, zum Beispiel einem Code auf dem Handy. Das hält die meisten Angriffe auf, die jeden Tag auf Netflix, Spiele und Schulkonten laufen.
Du lernst, warum Länge zählt und wie ein Dienst Passwörter ablegt. Du übst nur an deiner eigenen Lab-Maschine.
Am Ende dieser Lektion
Notiz
Ich kann Regeln für ein sicheres Konto aufstellen und ein Passwort dagegen prüfen.
Schlüsselwörter
| Begriff | Was er bedeutet | Beispiel |
|---|---|---|
| Brute Force | alle Möglichkeiten der Reihe nach ausprobieren | |
| Hash-Wert | ein Fingerabdruck eines Textes, der sich nicht zurückrechnen lässt | d3751d33… |
| Salz | ein Zufallstext, der vor dem Hashen zum Passwort kommt | |
| Passwortmanager | ein Programm, das viele lange Passwörter für dich merkt | |
| Zwei-Faktor-Anmeldung | zwei verschiedene Beweise, dass du es bist |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Wie rät ein Angreifer ein Passwort?
Ein Angreifer sitzt nicht da und tippt. Ein Programm probiert Millionen Passwörter pro Sekunde aus. Das nennt man Brute Force.
Zuerst kommen die häufigsten Passwörter, wie 123456 oder passwort. Danach kommen alle Wörter eines Wörterbuchs, dann alle Zeichenfolgen der Reihe nach.
Wie lange dauert das Raten bei kleinen Buchstaben?
| Länge | Mögliche Passwörter | Zeit bei einer Milliarde Versuche pro Sekunde |
|---|---|---|
| 8 Buchstaben | etwa 209 Milliarden | etwa 3,5 Minuten |
| 12 Buchstaben | etwa 95 Billiarden | etwa 3 Jahre |
| 16 Buchstaben | etwa 43 Trilliarden | etwa 1,4 Millionen Jahre |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Ein häufiger Fehler
Warnung
Viele denken, „P@ssw0rt!“ sei stark, weil es Sonderzeichen und Ziffern hat. Das Passwort steht aber in jeder Liste häufiger Wörter, mit den bekannten Tauschregeln. Eine Folge aus vier zufälligen Wörtern ist länger und schwerer zu raten.
Wie legt ein Dienst Passwörter ab?
Ein guter Dienst speichert dein Passwort gar nicht. Er speichert nur einen Hash-Wert: einen Fingerabdruck des Passworts, aus dem man es nicht zurückrechnen kann.
Beim Anmelden hasht der Dienst deine Eingabe und vergleicht die Fingerabdrücke. Damit zwei gleiche Passwörter nicht gleich aussehen, kommt ein Salz davor. Jedes Konto hat sein eigenes.
Ein Hash-Wert in Python
import hashlib
# Ein kleiner Text ergibt immer denselben Fingerabdruck.
passwort = "hallo"
print(hashlib.sha256(passwort.encode()).hexdigest()[:16])
# Mit Salz davor ist der Fingerabdruck ein ganz anderer.
mit_salz = "Salz7" + passwort
print(hashlib.sha256(mit_salz.encode()).hexdigest()[:16])
Die eine Regel für dieses Lab
Warnung
Übe nur an deiner eigenen Kopie des Labs und nie an einem fremden Konto ohne Erlaubnis. Das wäre strafbar. Du lernst hier, wie Konten angegriffen werden, damit du sie schützen kannst. Das Lab sieht sich nur an, wie Linux Konten ablegt.
Bevor du anfängst
Notiz
Drück oben in der Leiste auf Lab starten und warte, bis die Maschine läuft. Die Befehle tippst du nicht selbst. Du drückst auf Ausführen, und sie erscheinen im Terminal.
Mit welchem Konto arbeitest du?
id -unHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Wer darf die Kontenliste lesen?
stat -c '%A %U %G' /etc/passwdHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Wer darf die Hash-Werte lesen?
stat -c '%A %U %G' /etc/shadowHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Beispiel: die Ausgabe lesen
| Datei | Rechte | Was das heißt |
|---|---|---|
| /etc/passwd | -rw-r--r-- | Alle dürfen lesen. Nur root darf schreiben |
| /etc/shadow | -rw-r----- | Nur root und die Gruppe shadow dürfen lesen, sonst niemand |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Welche Regeln machen ein Konto sicher?
Gute Regeln sind kurz und wirken wirklich: mindestens 12 Zeichen, nie dasselbe Passwort für zwei Konten und ein Passwortmanager, der alle merkt.
Dazu kommt eine Sperre nach vielen Fehlversuchen. Ein Passwort ändert man nur, wenn es bekannt geworden sein könnte, nicht alle paar Wochen.
Den Hash-Wert von hallo berechnen
echo -n 'hallo' | sha256sumHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Einen Buchstaben ändern, alles ändert sich
echo -n 'Hallo' | sha256sumHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Was ist Zwei-Faktor-Anmeldung?
Ein Faktor ist ein Beweis. Es gibt drei Arten. Etwas, das du weißt, ist ein Passwort. Etwas, das du hast, ist dein Handy. Etwas, das du bist, ist dein Fingerabdruck.
Bei der Zwei-Faktor-Anmeldung brauchst du zwei verschiedene Arten. Wer dein Passwort kennt, kommt trotzdem nicht herein.
Weiterführend: Vier Wörter als Passwort
Denk dir eine Folge aus vier Wörtern aus, die zusammen keinen Sinn ergeben. Setz sie in die Aufgabe ein und lass sie prüfen. Sie erfüllt fast alle Regeln, ist aber leicht zu merken.
Welche Regel verletzt sie noch, wenn sie nur aus kleinen Buchstaben besteht?