Wie ein System prüft, wer Sie sind
Authentifizierung prüft, ob jemand wirklich die Person ist, die sie zu sein behauptet. Sie ist die erste Tür eines Systems: Ohne sie nützt keine Rechteregel etwas.
Eine Studentin nutzt das Passwort Sommer2024 für ihr Hochschulkonto, für den Onlineshop und für das Spielekonto. Wird einer der drei Dienste gehackt, probiert jemand das Passwort bei allen anderen.
Am Ende dieser Lektion
Notiz
Ich kann Verfahren zum Nachweis der eigenen Identität vergleichen.
Schlüsselwörter
| Begriff | Was er bedeutet |
|---|---|
| Authentifizierung | der Nachweis, wer jemand ist |
| Faktor | eine Art von Beweis für die Identität |
| Zwei-Faktor-Anmeldung | Anmeldung mit zwei verschiedenen Faktoren |
| Hashwert | ein fester Fingerabdruck eines Textes |
| Salz | ein Zufallstext, der vor dem Hashen zum Passwort kommt |
| Passwortrichtlinie | die Regeln, die ein Passwort erfüllen muss |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Drei Arten von Beweis heißen Faktoren
Ein System kann drei Dinge prüfen. Etwas, das Sie wissen, etwa ein Passwort. Etwas, das Sie besitzen, etwa ein Handy oder einen Schlüssel. Etwas, das Sie sind, etwa einen Fingerabdruck.
Jeder Faktor hat eine Schwäche. Wissen lässt sich erraten, Besitz stehlen, ein Merkmal nicht ändern.
Ein Beispiel: Faktoren im Vergleich
| Faktor | Beispiel | Schwäche |
|---|---|---|
| Wissen | Passwort, PIN | Kann erraten oder verraten werden |
| Besitz | Handy-App, Sicherheitsschlüssel | Kann verloren gehen oder gestohlen werden |
| Merkmal | Fingerabdruck, Gesicht | Lässt sich nach einem Diebstahl nicht ändern |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Bei einem Passwort zählt die Länge
Ein langes Passwort ist schwerer zu erraten als ein kurzes mit Sonderzeichen. Am besten sind vier zufällige Wörter. Ein Passwort darf nicht auf Listen häufiger Passwörter stehen und nicht an mehreren Stellen gelten.
Eine Passwortrichtlinie prüft das beim Anlegen: eine Mindestlänge, keine häufigen Passwörter, nicht der eigene Name.
Ein Beispiel: Passwörter bewertet
| Passwort | Länge | Urteil |
|---|---|---|
| 123456 | 6 | Zu kurz und auf jeder Liste |
| Sommer2024 | 10 | Vorhersagbar und kurz |
| P@ssw0rd! | 9 | Bekannter Trick, steht auf Listen |
| kaffee-lampe-fluss-brot | 23 | Lang und zufällig, gut |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Ein häufiger Fehler
Warnung
Viele glauben, Sonderzeichen machten ein Passwort stark. Doch P@ssw0rd! bilden alle so, deshalb steht es auf den Listen. Länge und Zufall zählen mehr als Tricks. Vier zufällige Wörter schlagen ein kurzes Wirrwarr.
Ein System speichert nur den Hashwert
Ein gutes System speichert Ihr Passwort nie im Klartext. Es speichert einen Hashwert, einen festen Fingerabdruck. Aus dem Fingerabdruck lässt sich das Passwort nicht zurückrechnen.
Bei der Anmeldung bildet das System den Hashwert Ihrer Eingabe und vergleicht. Ein Salz macht den Wert für jedes Konto anders. Echte Systeme nutzen dafür langsame Verfahren, nicht sha256sum.
Ein Hashwert hat immer dieselbe Form
Im Lab sehen Sie das mit sha256sum. Es bildet den Hashwert eines Textes. Der Text abc ergibt immer denselben Wert, dessen erste sechzehn Zeichen ba7816bf8f01cfea sind.
Zum Vergleich zählt wc -c die Zeichen von Sommer2024. Es sind zehn.
Die ersten 16 Zeichen eines Hashwerts
printf 'abc' | sha256sum | cut -c1-16Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Wie lang ist Sommer2024?
printf 'Sommer2024' | wc -cHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Im Lab steht kein Passwort in der Kontenliste
Die Liste /etc/passwd nennt die Konten. Im zweiten Feld steht nur ein x. Es heißt: Der Hashwert liegt in einer anderen, geschützten Datei.
Das Konto nobody ist ein Dienstkonto. Seine Shell ist /usr/sbin/nologin, deshalb kann sich niemand damit anmelden.
Das zweite Feld des Kontos root
getent passwd root | cut -d: -f1,2Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Ein Konto, mit dem niemand sich anmeldet
getent passwd nobody | cut -d: -f1,3,7Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.