Gerade hatte ich eine Unterhaltung über die Sicherheit von Passwörtern. Gerade im Umfeld von Online-Spielen ist das Thema ja allgegenwärtig. Dabei hatten wir leicht unterschiedliche Auffassungen über ein sicheres Passwort, weswegen ich hier eine kleine Beispielrechnung aufführen wollte.
Mein Vorschlag war, dass Passwort so lang wie möglich zu machen und einen kleinen Satz oder leicht zu merkende Worte zu verwenden. Also sowas wie
"HundKatzeMausSchweinKuh"
Dieses Passwort ist 31 Zeichen lang und leicht zu merken.
MeinDiskussionspartner warb für ein deutlich kürzeres Passwort (ich wähle hier 10 Zeichen), dass dafür alle möglichen Sonderzeichen enthielt. Zum Beispiel:
~F@Ä]g;²7+
Welches der Passworte ist nun sicherer?
Mein Passwort würde also geknackt werden, wenn nur Groß- und Kleinbuchstaben als Ausgangsbasis (also 48 Zeichen) genommen werden, und für das andere muss man alle darstellbaren ASCII-Zeichen verwenden, also 95. Um die Rechnung zu vereinfachen, nehme ich hier sogar 96 Zeichen an.
Für das zweite Passwort gibt es also
96*96*96*96*96*96*96*96*96*96 = 96^10
mögliche Kombinationen. Eine Zahl, die schon verdammt groß ist.
Nun zu meinem Passwort. Hier haben wir nur 48 Zeichen, dafür 23 Kombinationen.
48^23
Beide Zahlen kann ich mit meinem Taschenrechner nicht mehr ausrechnen, aber um zu verdeutlichen, wieviel größer die zweite Zahl ist, zerlege ich die erste:
96^10 = (2*48)^10 = 2^10*48^10
48^23 kann ich wie folgt umformen:
48^23 = 48^10*48^13
Da 2^10 deutlich kleiner als 48^13 ist, ist nun wirklich offensichtlich.
Nun will ich noch ausrechnen, wieviele Zeichen mehr man braucht, um mit einfacheren Worten auf die gleiche Sicherheit zu kommen. Ich bleibe bei der Ausgangsbasis von 10 Zeichen.
2^10 = 1024. Ergo muss 48^n > 1024 sein, damit ein n Zeichen längeres Passwort sicherer ist. 48^1 = 48, ein Zeichen reicht also nicht. Aber schon 48^2 = 2304, also ist schon ein 12-stelligen Passwort sicherer.
Wenn ihr also auf Nummer sicher bei euren Passwörtern gehen wollt, wählt sie so lang wie möglich. Wenn ihr ein besseres Gefühlt habt, könnt ihr auch ein paar Zahlen oder Sonderzeichen einfügen, vor allem, wenn gar nicht so viele Zeichen möglich sind. Ansonsten wählt möglichst lang und trotzdem gut zu merken, ohne den Namen des Benutzers zu dem Passwort zu verwenden.
Dazu passend hab ich auch einen
xkcd. :-)
-------
tl;dr -------
Ein Passwort sollte besser lang und leicht zu merken als kurz und schwer zu merken sein.