Passwörter via WWW setzen

Ein Passwort stellt Ihren individuellen Zugangsschlüssel zu einem Computersystem dar. Niemand anderes als Sie selbst dürfen Ihren Benutzer-Account bei der Universität benutzen!
Ein Hacker kann nicht nur die Daten eines bestimmten Benutzers zerstören oder anderweitig verwenden, vielmehr werden gehackte Accounts meist benutzt, um von dort ausgehend weiteren Schaden anzurichten -- der dann auf den Eigentümer des Accounts und die Universität im allgemeinen zurückfällt.

Wie ändere ich mein Passwort?

Das Passwort können Sie im IDM Self Service ändern.

Bei der Änderung wird überprüft, ob Ihr Passwort gut genug ist, das heißt den unten angegebenen Mindestanforderungen genügen. Wird Ihr neues Passwort zurückgewiesen, müssen Sie sich ein besseres auswählen.

Mindestanforderungen an Passwörter

Allgemeine Regeln

• Verwenden Sie in Ihrem Passwort keine Umlaute, keine Leerzeichen oder die Sonderzeichen " # & ~ : @ |. Diese bereiten vor allem Unixsystemen u.U. Probleme.

• Verwenden Sie zur Eingabe des Passwortes nicht die numerische Tastatur (rechts aussen) - je nach Betriebsart werden damit nämlich auch ganz andere Zeichen generiert, die Sie später nicht wiederholen können!

Auf jeden Fall vermeiden sollte man die folgenden simplen Regeln, ganz einfach weil sie fast jeder benutzt und deshalb von jedem Crack-Programm probiert werden! Es dauert z.B. nur Stunden, alle 14 Millionen Eintraege des CRACK-Wörterbuchs gegen ein verschlüsseltes Passwort zu testen. Es existieren für diesen Zweck sogar optimierte Wörterbücher, die den Aufwand drastisch reduzieren.

• Schlecht sind Wörter oder einfache Abkürzungen aus einem Wörterbuch. Dies schließt Personen-, Produkt- und Ländernamen und Fremdsprachen (sogar chinesisch oder hebräisch) ein.

• Schlecht ist alles, was aus dem eigenen Namen, dem der Freundin, der Benutzerkennung oder sonstwelchen persönlichen Daten abgeleitet ist. Manche Crack-Programme durchsuchen systematisch Dateien im Benutzerhome nach solchen Daten!

• Schlecht ist, ein Wort zu nehmen und ein Sonderzeichen hintenanzuhängen oder vorrauszustellen. Mindestens 5% aller Benutzer kommen auf die Idee, etwas wie Martin! zu nehmen.

• Schlecht ist wenn ein Großbuchstabe nur am Anfang steht.

• Schlecht sind offensichtliche Ersetzungen wie o durch , i durch 1, e durch 3, s durch $ usw.

• Schlecht sind die üblichen amerikanischen Abkürzungen, wie in Bar-B-Q für Barbequeue, n1 für none, fr8 für freight usw.

• Schlecht sind Zeichenfolgen, die auf der Tastatur nebeneinanderliegen, also z.B. qwerty oder nm,./

Es soll nicht heißen, dass man keine der obigen Regeln verwenden dürfte, jedoch sollte man sich nicht nur auf derartig simple Modifikationen verlassen. Es sollen hier keine festen Regeln gegeben werden, wie man gute Passwörter macht, weil solche Regeln dann ja wieder verwendet werden könnten, um die Passwörter zu knacken.

Grundregeln

• Nur die ersten 8 Zeichen des Passworts sind relevant!
  (eigentlich nur bei Unix, aber deshalb wird am RRZE grundsätzlich eine Passwort-Länge von 8 vorgeschrieben)

• Am besten sollten zwei Wörter enthalten sein, oder noch besser nur Teile (z.B. Silben) dieser Wörter.

• Inmitten des Wortes Sonderzeichen ("!$%^*()[]..."), aber nicht am Anfang oder Ende des Passworts. Noch besser ist es, ein oder mehrere Zeichen des Worts durch Sonderzeichen und Großbuchstaben oder Ziffern zu ersetzen. Dabei die simplen Ersetzungen des vorigen Abschnitts ("o" durch "0" (null), "acht" durch "8" usw.) vermeiden.

• Verschiedene Typen von Unregelmäßigkeiten, d.h. nicht dreimal "!" einsetzen, sondern möglichst 3 Typen der Mengen: {Kleinbuchstaben, Großbuchstaben, Sonderzeichen, Ziffern}.

• Wenn man Shift benutzt (Großbuchstaben), sollte das nicht unbedingt das erste Zeichen sein.

• Manche Leute raten dazu, die Anfangsbuchstaben eines Sprichwortes o.ä. zu benutzen (z.B. 1-2-3- Ich koch mir Brei --> 123-ikmB). Diese sind zwar nicht schlecht, meist ist man dann aber zu langsam beim Eintippen oder spricht den Spruch dabei gar laut vor sich her.

Unsere neuen Programme (bei Unix) zwingen zur Einhaltung der wichtigsten dieser Regeln. Das heißt aber nicht, dass alles was akzeptiert ist gut sein muss, oder alles was abgelehnt wird, schlecht ist. Werden 2 oder mehr der obigen Regeln beachtet, ist das Passwort fast unmöglich zu erraten und man kann es sich noch einigermaßen leicht merken (Sicherheit erfordert immer mehr Aufwand !).

Es ist für die Sicherheit des Systems entscheidend, dass ALLE Passwörter gut sind. Ist es einem Hacker gelungen, in einen Universiätsaccount einzubrechen, kann er dies als neue Startplattform nutzen. Deshalb startet das RRZE selbst alle paar Wochen ein Programm, das versucht die Passwörter unserer logins zu knacken.

Noch einige Beispiele (jeweils ohne die Anführungszeichen), auch auf die Gefahr hin, dass genau diese beim nächsten Crack-Lauf gefunden werden:

• Gute Passwörter:
  gUD;pAw2 (aus Gutes Passwort), p8Ssw;t, pAsw.3d, paStw,rD.

• Schlechte Passwörter:
  paswort, Paswort, Paswor1!, qwer1234, 1Passwo2

Weitere Hinweise und Bemerkungen

Unterschiedliche Passwörter am RRZE

Wenn Sie als Benutzer des RRZE sowohl auf Novell- als auch auf UNIX-Systemen arbeiten, haben Sie Zugang zu zwei unterschiedlichen Rechnerwelten. Sie haben zwar in beiden Welten die gleiche Benutzerkennung (Login), die Passwörter werden aber in jeder Welt für sich verwaltet. Dies bedeutet, wenn Sie Ihr Passwort auf einem Rechner unter UNIX ändern, so wird diese Änderung nicht in der Novellwelt nachgezogen, und Sie haben nun zwei Passwörter, ein neues für UNIX und ein altes für Novell. Analoges gilt für den umgekehrten Fall.

Das Samba-Passwort dient für den Zugriff von Windows-PCs auf Unix-Fileserver. (UNIX-Homes, Software-Verteilung, WWW-Seiten)

Das E-Mail-Passwort braucht man, wenn man von außerhalb der FAU (z.B., wenn man T-Online als Netz-Provider hat) mit seinem E-Mail-Programm eine E-Mail versenden will, und dabei als SMTP-Server das zentrale E-Mail-Relay des RRZE verwenden will. (Siehe dazu: E-Mails versenden).

Zum Zugriff auf Datenbanken entweder direkt von Clienten oder aus CGI- oder PHP-Skripten auf dem WWW-Server wird zur Benutzerkennung in der Datenbank wiederum ein eigenes Passwort hinterlegt.

Missbrauchsmöglichkeiten (keinesfalls vollständig)

• Schaden fuer Ihr Ansehen und das der Universität

  Mit Ihrem Absender wird elektronische Post (Email) verschickt, u.U. mit rassistischem oder beleidigendem Inhalt.
  Auch an Sie gerichtete Mail ist nicht mehr vertraulich.
  Von Ihrem Rechner aus können Sie Netzdienste (Telnet, ftp) in der ganzen Welt aufrufen. Ein Hacker wird von Ihrem Zugang aus immer versuchen, auf anderen Computersystem einzubrechen. Er verwischt somit seine Spur mit Ihrem Benutzerzugang.

• Wirtschaftlicher Schaden

  Jeder kostenpflichtige Dienst (z.B. Farbdrucker) kann in Ihrem Namen und zu Ihren Kosten missbraucht werden.

Verhaltensregeln

• Legen Sie Ihr Passwort nie schriftlich nieder (außer in einem Safe)!
• Geben Sie Ihr Passwort nie weiter!
• Wechseln Sie Ihr Passwort regelmäßig!
• Wählen Sie ein gutes Passwort!

Letzte Änderung: 13. Maerz 2012, Historie