Abo
  1. Foren
  2. Kommentare
  3. Politik/Recht
  4. Alle Kommentare zum Artikel
  5. › Bestandsdatenauskunft: Gesetz…

Welche Passwörter?

Anzeige
  1. Thema

Neues Thema Ansicht wechseln


  1. Welche Passwörter?

    Autor: velo 27.11.12 - 15:23

    Ich kapier immer noch nicht, welche Passwörter? Mein Provider hat doch gar kein Passwort von mir, höchstens so ein hash key.

    Und was, wenn man seine Mails im Ausland hat? Und das kann dann jeder machen. So wird einfach jeder seine Mailbox bei einem Provider im Ausland anlegen.

    Ich find's schon unglaublich, wie die Privatsphäre verletzt wird.

  2. Re: Welche Passwörter?

    Autor: lisgoem8 27.11.12 - 15:46

    velo schrieb:
    --------------------------------------------------------------------------------
    > Ich kapier immer noch nicht, welche Passwörter? Mein Provider hat doch gar
    > kein Passwort von mir, höchstens so ein hash key.
    >
    > Und was, wenn man seine Mails im Ausland hat? Und das kann dann jeder
    > machen. So wird einfach jeder seine Mailbox bei einem Provider im Ausland
    > anlegen.
    >
    > Ich find's schon unglaublich, wie die Privatsphäre verletzt wird.


    sicher hat er das. ^^
    Es gibt sicher eine hash-Datenbank.

    Aber jeder Provider muss auf Nummer sicher gehen. Und ich wette es gibt eine Einwegdatenbank wo intern trotzdem Klartext-Passwörter abgelegt werden.

    Das Passwort ist beim Kunden ja oft für die Ewigkeit. Wenn da mal was mit einem MD5-Salt-Nachfolger-Aalgorithmus schief geht

  3. Re: Welche Passwörter?

    Autor: DooMMasteR 27.11.12 - 16:01

    Ich weiß, dass viele Anbieter definitiv NIRGENDWO Klartext von ihren Kundenpasswörtern speichern. Das Risiko ist VIEL zu groß.

    Außerdem nutzt heute quasi keiner mehr MD5+Salt sondenr SHA2(256)+Salt.

    Auch lassen sich Passwörter durch einfaches Rehashing auf neue Plattformen umbiegen, Clientseitig ist das kein Problem, im Worst-Case muss der Kunde sein Passwort ändern.

    Wer heute noch Kundenpasswörter ind Kartext speichert kann nicht anders als einfach dumm bezeichnet werden.
    Selbst wenn er es irgendwo, an einem vermeindlich sicheren Ort, tut.

  4. "Rehashing"?

    Autor: fratze123 27.11.12 - 16:08

    Was soll das sein?
    Ich glaube nicht, dass sowas geht. Es sei denn du kannst eine Quelle dazu liefern. Google spuckt nichts Sinnvolles aus.

  5. Re: Welche Passwörter?

    Autor: mawa 27.11.12 - 16:16

    Das kann man recht einfach testen und Du wirst erstaunt sein, wieviele Anbieter das Kennwort im Klartext vorliegen haben.

    Ich mache das häufig bei Großhändlern und Dienstleistern so, das ich nach ein paar Wochen dort anrufe und behaupte, ich hätte mein Passwort verlegt. Gefühle 25% der Anbieter kann mir das Passwort dann telefonisch mitteilen. Der Rest bietet nur ein Rücksetzten des Passwortes an. Diese Erfahrung habe ich jetzt über einen Zeitraum von ca. 10 Jahren gesammelt, ob sich in der Zeit bei den schwarzen Schafen etwas geändert hat, kann ich nicht sagen.

    Ergo, nutzt man für jeden Anbieter ein eigenes Kennwort und verwendet keine Kennwörter für mehrere Dienste.

    Die Vorlage zielt auch eher auf die PUK und ähnliche Kenndaten ab, um Smartcards und SIM-Karten wieder freizuschalten und die Funktion wieder verwenden zu können. Hierbei geht es bei der SIM wohl um das Freischalten des Telefonbuch- und SMS-Speicher. Der Sinn bei Smartcards mit PUK, sollte sich wohl jedem selber erschliessen. Deshalb Finger weg von solchen Karten die eine derartige Hintertür besitzen für die der Anbieter den Schlüssel in der Hand hat. Bei SIM leider nicht machbar.

    Als Anbieter muss man sich hat eine Verfahrensweise angewöhnen, die mich nicht in die Kenntniss von Passwörtern und PINs meiner Benutzer gelangen lässt. Denn was ich nicht habe, kann ich nicht rausgeben. Am besten werden auch alle Nutzerdaten mit einem nur dem Nutzer bekannten Schlüssel verschlüsselt, was aber technisch nicht immer machbar ist.

  6. Re: Welche Passwörter?

    Autor: cloudius 27.11.12 - 16:18

    Bei meinem Webhoster können im Kundenbereich *sämtliche* Passwörter im Klartext angezeigt werden. Ehrlich gesagt, ganz wohl ist mir dabei nicht :-S

    Edit: wurde übrigens laut Anbieter für die ganzen Reseller eingeführt, die so leichter Support leisten können. Naja...



    1 mal bearbeitet, zuletzt am 27.11.12 16:22 durch cloudius.

  7. Re: Welche Passwörter?

    Autor: blizzy 27.11.12 - 16:20

    > Außerdem nutzt heute quasi keiner mehr MD5+Salt sondenr SHA2(256)+Salt.

    Und was genau soll daran besser sein? Lies doch mal was zu bcrypt.

  8. Re: Welche Passwörter?

    Autor: Himmerlarschundzwirn 27.11.12 - 16:22

    Mal ganz simpel gesponnen: Selbst wenn dein Passwort jetzt noch nicht im Klartext vorliegt, wäre es doch für den Provider ganz simpel, das bei deiner nächsten Anmeldung einfach mitzuspeichern. Denn der Server MUSS es im Klartext entgegennehmen, sonst kann er den Hash nicht vergleichen.

    Vergleiche $Passwort mit $Hash

    Wenn richtig, speichere $User und $Passwort

    Fertig! ;-)

  9. Re: Welche Passwörter?

    Autor: slashwalker 27.11.12 - 16:37

    velo schrieb:
    --------------------------------------------------------------------------------
    > Ich kapier immer noch nicht, welche Passwörter? Mein Provider hat doch gar
    > kein Passwort von mir, höchstens so ein hash key.
    >
    > Und was, wenn man seine Mails im Ausland hat? Und das kann dann jeder
    > machen. So wird einfach jeder seine Mailbox bei einem Provider im Ausland
    > anlegen.
    >
    > Ich find's schon unglaublich, wie die Privatsphäre verletzt wird.


    Reicht wenn dein Anbieter auf Plesk <11 hostet. Da stehen dann in der DB psa alle Passwörter für E-Mail, FTP, SSH (falls vorhanden) und das Control Panel. Natürlich in Klartext. Erst seit Version 11 werden die gehashed.

  10. Re: Welche Passwörter?

    Autor: Raumzeitkrümmer 27.11.12 - 17:30

    Du sprichst allein vom Provider...

    Google, facebook, yahoo usw. sind keine Provider.
    Es gibt keine einheitliche Vorschrift, wie mit Passwörtern zu verfahren ist.

    Halten wir doch mal fest:
    Das Passwort wird gebraucht, damit kein User an eine fremde mail-Box kann. Wo steht geschrieben, dass e-mails beim e-mail Anbieter verschlüsselt sein müssen? Wenn die nicht verschlüsselt sind, wozu braucht der Anbieter dann ein Passwort? Er braucht gar keins.

    Im mail-Verkehr wird das Passwort abgefragt, um den Anmelder zu identifizieren. Es ist auch sinnvoll/ wünschenswert, wenn das Passwort bei der Übertragung verschlüsselt ist. Es gibt aber keinen zwingenden Grund, dass der Anbieter nur das verschlüsselte Passwort hat.

    Wie sollte das auch gehen? Wer hat den Schlüssel? Der Rechner? Was ist, wenn ich den Rechner wechsele, woher sollte der neue Rechner wissen, wie mein alter Rechner verschlüsselt hat? Wird der Schlüssel vom Anbieter jedes mal neu geschickt, dann übernimmt mein Rechner den Schlüssel, den aber auch der Anbieter hat, denn er hat ihn mir ja geschickt.

  11. Re: Welche Passwörter?

    Autor: velo 27.11.12 - 17:48

    Und nun zurück zum Antrag;

    Wie soll ein Provider dem nun nachkommen, wenn er die Passwörter bisher garnicht kennt? (Ausser er baut alles um).

  12. Re: Welche Passwörter?

    Autor: Raumzeitkrümmer 27.11.12 - 19:19

    Hat er sie schon gespeichert, oder hat er es nicht? Du gehst davon aus, dass alles absolut sicher ist. Ein schönes Gefühl, aber eben nur ein Bauchgefühl. Was hindert den Gesetzgeber denn, die Speicherung und schnelle Bereitstellung zu verlangen?

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Anzeige
Stellenmarkt
  1. LuK GmbH & Co. KG, Bühl
  2. Statistisches Bundesamt, Wiesbaden
  3. ORSAY GmbH, Willstätt, zwischen Freiburg / Karlsruhe
  4. Rentschler Biotechnologie GmbH, Laupheim

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Blu-ray-Angebote
  1. 29,99€ (Vorbesteller-Preisgarantie)
  2. (u. a. Hobbit Trilogie Blu-ray 43,89€ und Batman Dark Knight Trilogy Blu-ray 17,99€)
  3. Einzelne Folge für 2,99€ oder ganze Staffel für 19,99€ kaufen (Amazon Video)


Haben wir etwas übersehen?

E-Mail an news@golem.de


Inspiron 5675 im Test: Dells Ryzen-Gaming-PC reicht mindestens bis 2020
Inspiron 5675 im Test
Dells Ryzen-Gaming-PC reicht mindestens bis 2020
  1. Android 8.0 im Test Fertig oder nicht fertig, das ist hier die Frage
  2. Logitech Powerplay im Test Die niemals leere Funk-Maus
  3. Polar vs. Fitbit Duell der Schlafexperten

Energieversorgung: Windparks sind schlechter gesichert als E-Mail-Konten
Energieversorgung
Windparks sind schlechter gesichert als E-Mail-Konten
  1. Apache Struts Monate alte Sicherheitslücke führte zu Equifax-Hack
  2. Kreditrating Equifax' Krisenreaktion ist ein Desaster
  3. Best Buy US-Handelskette verbannt Kaspersky-Software aus Regalen

Anki Cozmo im Test: Katze gegen Roboter
Anki Cozmo im Test
Katze gegen Roboter
  1. Die Woche im Video Apple, Autos und ein grinsender Affe
  2. Anki Cozmo ausprobiert Niedlicher Programmieren lernen und spielen

  1. Liberty Global: Giga-Standard Docsis 3.1 kommt im ersten Quartal 2018
    Liberty Global
    Giga-Standard Docsis 3.1 kommt im ersten Quartal 2018

    Der Giga-Standard kommt in wenigen Monaten zum Endkunden. Die Unitymedia-Mutter Liberty Global ist zufrieden mit den Vorbereitungen für den Rollout in allen Landesmärkten. Deutschland könnte bei Docsis 3.1 der erste sein.

  2. Apache-Sicherheitslücke: Optionsbleed bereits 2014 entdeckt und übersehen
    Apache-Sicherheitslücke
    Optionsbleed bereits 2014 entdeckt und übersehen

    Der Optionsbleed-Bug im Apache-Webserver wurde 2014 bereits in einem wissenschaftlichen Paper beschrieben. Allerdings hatte offenbar niemand bemerkt, dass es sich um eine kritische Sicherheitslücke handelt, obwohl kurz zuvor der ähnliche Heartbleed-Bug entdeckt worden war.

  3. Tianhe-2A: Zweitschnellster Supercomputer wird doppelt so flott
    Tianhe-2A
    Zweitschnellster Supercomputer wird doppelt so flott

    Aus dem Tianhe-2 wird der Tianhe-2A: China hat seinen Supercomputer aufgerüstet und damit gleich zwei Systeme mit mindestens 100 Petaflops. Neu sind vor allem die selbst entwickelten Matrix2000-GPDSPs statt Intels Xeon-Phi-Beschleuniger.


  1. 18:10

  2. 17:45

  3. 17:17

  4. 16:47

  5. 16:32

  6. 16:22

  7. 16:16

  8. 14:28