Passwortsicherheit

M. Reinhardt / B. Brandel

Wenn Sie die Netzdienste des Universitätsrechenzentrums benutzen wollen, so müssen Sie sich zunächst beim Einloggen durch Eingabe Ihres Usernamens und Ihres Passwortes authentifizieren. Das hat folgenden Grund:

Alle Workstations, welche an das lokale Netz (LAN) angeschlossen sind, können auch über das weltweite Internet erreicht werden. Deshalb kann jede Person mit einem Zugang zum Internet, ob in Eichstätt, Ingolstadt oder auf den Bahamas, auf Ihre Mail oder Ihren Account zugreifen, wenn sie Ihr Passwort kennt. Ihr Passwort ist somit der einzige Schutz vor einer unrechtmäßigen Verwendung Ihres Accounts!

Als Benutzer haben Sie die "Benutzungsrichtlinien für Informationsverarbeitungssysteme der Kath. Universität Eichstätt" schriftlich anerkannt. Das bedeutet konkret:

• Sie haben sich insbesondere dazu verpflichtet, Kennung und Passwort grundsätzlich nicht weiterzugeben, naheliegende, leicht zu entschlüsselnde Passwörter zu meiden, die Passwörter öfter zu ändern und das Logout nicht zu vergessen.

• Sie tragen die volle Verantwortung für alle Aktionen, die unter Ihrer Benutzerkennung vorgenommen werden, und zwar auch dann, wenn diese Aktionen durch Dritte vorgenommen werden, denen Sie absichtlich oder zumindest fahrlässig den Zugang ermöglicht haben!

Leider gibt es mittlerweile Programme, welche nichts anderes tun, als Passwörter systematisch, z.B. mit Hilfe von Wortlisten, zu erraten. Da Computer immer schneller werden, wachsen auch die Fähigkeiten dieser Programme, in möglichst kurzer Zeit eine große Menge von Passwörtern zu ermitteln. Somit sollten Sie sich unbedingt genauer mit dem Thema Passwortsicherheit beschäftigen (siehe auch "Benutzerkennungen, Passwörter und die Sicherheit von DV-Systemen", INKUERZE 2/94) und Ihr Passwort entsprechend gut auswählen.

Dazu müssen Sie wissen, wie unter NovellNetware und Unix Passwörter aufgebaut sind:

Passwörter unter NovellNetware und Unix bestehen aus einer mindestens 6 Symbole umfassenden Zeichenkette, welche sich aus Buchstaben, Ziffern sowie Sonderzeichen zusammensetzen kann. Bei Unix ist die Passwortlänge zudem auf max. 8 Zeichen beschränkt. Zwischen Klein- und Großbuchstaben wird zwar bei Unix, aber NICHT bei NovellNetware unterschieden!

Was ist nun also ein schlechtes Passwort?

• Die drei schlechtestmöglichen Passwörter sind Ihre eigene Kennung, Ihr Vor- und Ihr Nachname!

• Außerdem sollten Sie nicht als Passwort verwenden:
  • die Namen Ihrer Partner, Freunde, Kinder, Haustiere.
  • Ihr Autonummernschild, Ihr Geburtsdatum, ja generell einfach alles, was mit Ihnen in irgendeine Verbindung gebracht werden kann.
  • Wörter, welche man in einem Buch (egal in welcher Sprache!) finden kann, denn, bedenken Sie: ein Passwortknacker könnte genau dieses Buch als Probierwörterliste verwenden.

• Nehmen Sie die Anfangsbuchstaben eines Satzes, wie zum Beispiel: "Eichstätt hat eine wunderschön angelegte Altstadt". Dies wird zu Eh1waA.
• Ebenfalls empfehlenswert sind absichtlich falsch geschriebene Wörter wie z.B. Ortokrafi.
• Unter Unix (NICHT unter NovellNetware!) vergrößern Mischungen aus Groß- und Kleinbuchstaben innerhalb des Passworts dessen Schutz.

• Da das vom Rechenzentrum für Sie voreingestellte Anfangspasswort auf Dauer nicht gerade sicher ist, werden Sie unter NovellNetware bei Ihrem ersten Login dazu aufgefordert, Ihr Passwort zu ändern. SIE SOLLTEN DIES NICHT NUR, NEIN, SIE MüSSEN DIES TUN, da Ihr Zugang sonst aus Sicherheitsgründen automatisch auf unbestimmte Zeit gesperrt wird. Selbiges geschieht, wenn Sie späteren Aufforderungen zur Passwortänderung (etwa alle sechs Monate) nicht nachkommen. Sie ersparen sich und den Administratoren viel Zeit und Ärger, wenn Sie dies beachten.
• Wenn Sie Ihr Passwort dreimal hintereinander falsch eingegeben haben, wird Ihr Zugang für 30 Minuten gesperrt. Danach können Sie es wieder probieren.
• ändern Sie Ihr Passwort regelmäßig! Dies ist ganz einfach zu erreichen. Geben Sie unter NovellNetware, z.B. direkt nach dem Einloggen an Ihrer Workstation, das Kommando "setpass" ein, welches Ihr altes Passwort zur Kontrolle abfragt und dann zweimal Ihr neues verlangt (um so ein mögliches Vertippen auszuschließen). Unter Unix verwenden Sie bitte im Netz analog den Befehl "yppasswd" bzw. für lokale Passwörter den Befehl "passwd".
• Um im Ernstfall den Schaden zu begrenzen, verwenden Sie unbedingt unterschiedliche Passwörter auf unterschiedlichen Systemen!

Übrigens, eine routinemäßige, zu Ihrer Sicherheit ausgeführte Überprüfung der Benutzer-Passwörter unter NovellNetware führte zu dem folgenden Ergebnis:

Anzahl der Benutzer mit unzureichendem Passwort: 618

Anzahl der Benutzer insgesamt: 4228

Unter Unix waren 30 von 223 Passwörtern unsicher!

Dem ist nur hinzuzufügen:

Wann machen Sie Ihr Passwort sicherer?

Ansprechpartner im URZ:	Zimmer:	Telefon:	PMail:
Bernhard Brandel	IN: AS-201	-1888	bernhard.brandel
Michael Reinhardt	EI: eO-004	-1585	michael.reinhardt