Anmeldepasswort beim Mac - wie komplex?

[Madcat]

M@dca7?

Vielleicht, vielleicht auch nicht

Bisschen komplexer ist es schon

 

[A3000T]

Bin da auch relativ entspannt. Passwort für den Mac ist lang genug, um mir eine gewisse Komplexität vorzugaukeln, aber auch nicht so lang, dass es bei der Eingabe nervig wird. Der Rest liegt in einer Keepass Datenbank. MFA und Passkeys werden natürlich genutzt.

 

[michhi]

………
Das ist die größte Sicherheitslücke, die man sich einbauen kann: Der Irrglaube, dass der Einbrecher nur durch die Tür/das Fenster kommt.

Da muss ich jetzt mal als Dummi nachfragen.

Wie bekommt jemand Zugriff auf meinen Rechner wenn sich dieser ausgeschaltet in meiner Wohnung befindet?

Gruß
michhi

 

[jk350]

Du kannst ein 100 Stelliges Passwort haben wenn es geklaut wird macht es kein Unterschied zu einem 5 Stelligen.

 

[stpf]

Grundsätzlich finde ich es gut für verschiedene Dienste und Rechner andere Passwörter zu verwenden. Nur sich die alle zu merken, ist heute teils echt nicht so einfach.
Einige benutzen einen PW Manager, ich halte diese für recht unsicher, wenn ich nur ein Master PW brauche um an die restlichen Daten zu gelangen, kann ich auch gleich überall das selbe PW verwenden.
Meist versuche ich ein PW aus 4 bis 12 Zeichen (Buchstaben, Zahlen und Sonderzeichen) zu verwenden, klappt meist recht gut.

Ich denke mir, wenn ein Profie bzw. jemand mit den richtigen Tools es auf dich abgesehen hat, schützen auch 20 stellige PW nicht wirklich, dürften auch nur Sekunden sein bis es geknackt ist.

 

[mh2019]

Sehe das Risiko auch verhältnismäßig gering. Brute-Force Attacken werden nach meinem Verständnis mit dem Verzögerung von bis zu 8h gut gesichert

Ja. Zusätzlich ist die eingebaute SSD mit dem Passwort und einem Hardwareschlüssel verschlüsselt, der im Secure Enclave Prozessor steckt. Brute-Force ginge also nur auf dem Gerät, auch auslöten der SSD hilft nicht.

 

[jk350]

Das ist auch erst Interessant bei einer gewissen Menge an Bitcoins.

 

[A3000T]

Einige benutzen einen PW Manager, ich halte diese für recht unsicher, wenn ich nur ein Master PW brauche um an die restlichen Daten zu gelangen, kann ich auch gleich überall das selbe PW verwenden.

Bei Keepass brauche ich zusätzlich noch eine Schlüsseldatei.

Ich denke mir, wenn ein Profie bzw. jemand mit den richtigen Tools es auf dich abgesehen hat, schützen auch 20 stellige PW nicht wirklich, dürften auch nur Sekunden sein bis es geknackt ist.

Mit dem richtigen Werkzeug könnte ich auf den Konjunktiv verzichten. Dürfte auch nur Sekunden dauern.

 

[mh2019]

Das ist auch erst Interessant bei einer gewissen Menge an Bitcoins.

Ja, sich zu überlegen, wogegen man sich schützen will, statt paranoid zu sein, vereinfacht das Leben ungemein

Einige benutzen einen PW Manager, ich halte diese für recht unsicher, wenn ich nur ein Master PW brauche um an die restlichen Daten zu gelangen, kann ich auch gleich überall das selbe PW verwenden.

Tut mir leid, wenn ich da deutlich werde, aber das ist Unfug. Überall dasselbe Passwort zu verwenden, bedeutet: Es reicht, das es bei einem Dienst wegkommt und der Dieb hat Zugriff auf deine Accounts bei allen Diensten.

Ein Passwortmanager macht es Dir leicht, für jeden Dienst ein anderes komplexes Passwort zu verwenden. Wird es bei einem Dienst geklaut, sind keine anderen Accounts betroffen.

Und ist dein Passwortmanager lokal auf deinem Rechner, müsste ein Angreifer deinen Rechner kompromittieren und dein komplexes Passwortmanager-Passwort rausbekommen, was nirgendwo gespeichert ist. Das ist sehr unwahrscheinlich.

Jeder Passwortmanager ist besser als gar keiner.

 

[netzGnom]

Überall dasselbe Passwort zu verwenden, bedeutet: Es reicht, das es bei einem Dienst wegkommt und der Dieb hat Zugriff auf deine Accounts bei allen Diensten.

Es geht um die Passwörter für die Geräte im eigenen Haushalt.

 

[mh2019]

Es geht um die Passwörter für die Geräte im eigenen Haushalt.

Ok, da mag das Risiko gering sein.

 

[Madcat]

Wie bekommt jemand Zugriff auf meinen Rechner wenn sich dieser ausgeschaltet in meiner Wohnung befindet?

Fehler Nummer zwei: Du glaubst der "Einbrecher" kommt nur wenn der Rechner aus ist.

Ich zitiere mal aus "Verlockende Falle":

"Der beste Clou ist der, bei dem das Opfer nicht weis, dass du da warst."

Einige benutzen einen PW Manager, ich halte diese für recht unsicher, wenn ich nur ein Master PW brauche um an die restlichen Daten zu gelangen, kann ich auch gleich überall das selbe PW verwenden.

Das PW zum Entschlüsseln des PW-Managers musst du ja idR in deinen Rechner eingeben. Ein Angreifer müsste also durch die Firewall meines Routers kommen, durch die Firewall meines Rechners, müsste an mein Account-Passwort kommen und dann das Passwort meines PW-Managers knacken. Das ist schon einiges an Aufwand, der nötig ist und keine Sorge, so leicht wie das gern in Film und Fernsehen dargestellt wird, ist es bei weitem nicht wenn man sich an ein paar Grundregeln der Passwortvergabe hält.

 

[michhi]

Fehler Nummer zwei: Du glaubst der "Einbrecher" kommt nur wenn der Rechner aus ist.
………….

Wenn mein Rechner nicht aus ist, sitze ich davor.
Ergo, sollte sich in der Regel auch kein Einbrecher bei mir Zuhause befinden.
Ansonsten ist mein Rechner immer runtergefahren und damit auch mit keinem Netzwerk verbunden (eine Lan- Kabel Verbindung besteht nicht). Und irgendwelche Remote Software habe ich nicht installiert.

Gruß
michhi

 

[lulesi]

Hallo, ich bin bereits vor langer Zeit dazu übergegangen, für all meine Benutzeraccounts bei den zahlreichen Foren, Onlineshops, Banken, Social Media Diensten ect. kryptische Passwörter zu hinterlegen (für jeden Dienst ein anderes). Wo möglich nutze ich zusätzlich die 2-Phasen Authentifizierung oder Passkey.

Das mache ich genauso.
Ich nutze falss immer möglich Passkeys, walls das nicht möglich ist 2FA und ansonsten automatisch generierte komplexe Passworte

Einzig das Passwort meines Mac-Benutzeraccounts (Mac mini) ist nicht ganz so komplex und lang gewählt, was auch damit zu tun hat, da ich nach einem Neustart bei der Benutzeranmeldung noch keinen Zugriff auf Bitwarden, Apple Passwort oder Touch-ID habe.

Das sehe ich ähnlich. Das Gerät ist zusätzlich über Woist geschützt und kann darüber aus der Ferne gelöscht werden.

Mein Windows Notebook hat ein 13 stelliges Passwort mit Gross/Kleinschreibung, Ziffern und Sonderzeichen, allerdings
musste ich es nur einmal eingeben, da nach dem Booten die Anmeldung über Windows Hello erfolgt.

 

[stpf]

Ja, sich zu überlegen, wogegen man sich schützen will, statt paranoid zu sein, vereinfacht das Leben ungemein


Tut mir leid, wenn ich da deutlich werde, aber das ist Unfug. Überall dasselbe Passwort zu verwenden, bedeutet: Es reicht, das es bei einem Dienst wegkommt und der Dieb hat Zugriff auf deine Accounts bei allen Diensten.

Ein Passwortmanager macht es Dir leicht, für jeden Dienst ein anderes komplexes Passwort zu verwenden. Wird es bei einem Dienst geklaut, sind keine anderen Accounts betroffen.

Und ist dein Passwortmanager lokal auf deinem Rechner, müsste ein Angreifer deinen Rechner kompromittieren und dein komplexes Passwortmanager-Passwort rausbekommen, was nirgendwo gespeichert ist. Das ist sehr unwahrscheinlich.

Jeder Passwortmanager ist besser als gar keiner.

Hm, danke für die Erklärung, hab mich nicht intensiv mit PW Manager beschäftigt.
Ich verwende auch nicht das selbe PW für jeden Dienst. Gerade weil es recht unsicher ist.
Bin teils altmodisch verwende Papier und Bleistift

 

[mh2019]

Bin teils altmodisch verwende Papier und Bleistift

Papier und Bleistift halte ich nicht immer für schlecht. Kommt drauf an, wo man das aufbewahrt und wer prinzipiell Zugang hat. Im Büro fast immer schlecht. Zu Hause meist besser, als überall dasselbe Passwort zu nutzen.

 

[apfelcash]

Nachdem ich mich heute etwas näher mit dem von @lisanet erwähnten YubiKey 5C NFC Stick beschäftigt habe, bestellte ich den Stick vorhin. Diese Art einer 2FA gefällt mir sehr gut.

 

[tocotronaut]

Wie bekommt jemand Zugriff auf meinen Rechner wenn sich dieser ausgeschaltet in meiner Wohnung befindet?

indem er ihn einschaltet...

genau darum geht es hier... Zugriff auf den Rechner ist vorhanden.


Mein Passwort für den Rechner und auch im Heimnetz ist relativ einfach.
Online ist das anders. aber zuhause lasse ich es darauf ankommen.

Meine rechner sind noch so alt und im haus verteilt, die will eh niemand.

 

[Madcat]

Wenn mein Rechner nicht aus ist, sitze ich davor.

Fehler #3: Du glaubst er Einbrecher kommt nicht wenn du vor dem Rechner sitzt.

Ergo, sollte sich in der Regel auch kein Einbrecher bei mir Zuhause befinden.

Fehler #4: Du glaubst der Einbrecher muss physisch vor dir stehen.

Der gute Einbrecher kommt heute nicht mehr durchs Fenster oder die Tür, der kommt durch die Datenleitung. Und wenn er richtig gut ist merkst du das nicht mal, dann ist das einzige, dass dich noch schützen kann, ein nicht allzuleichtes Passwort. Und keine Sorge, die Einbrecher "raten" auch keine Passwörter wie es immer noch gern in Film&Fernsehen gezeigt wird, die haben ihre Programme dafür die in Sekundenbruchteilen Passwörter "raten". Unter anderem deshalb hat AVM in ihren Routern die Funktionalität drin, dass bei einer Falscheingabe man eine gewisse Zeit warten muss bis man es wieder probieren kann und diese Zeit, die man warten muss erhöht sich mit jeder weiteren Falscheingabe des Passwortes.

 

[lulesi]

Der gute Einbrecher kommt heute nicht mehr durchs Fenster oder die Tür, der kommt durch die Datenleitung. Und wenn er richtig gut ist merkst du das nicht mal, dann ist das einzige, dass dich noch schützen kann, ein nicht allzuleichtes Passwort. Und keine Sorge, die Einbrecher "raten" auch keine Passwörter wie es immer noch gern in Film&Fernsehen gezeigt wird, die haben ihre Programme dafür die in Sekundenbruchteilen Passwörter "raten". Unter anderem deshalb hat AVM in ihren Routern die Funktionalität drin, dass bei einer Falscheingabe man eine gewisse Zeit warten muss bis man es wieder probieren kann und diese Zeit, die man warten muss erhöht sich mit jeder weiteren Falscheingabe des Passwortes.

Erkläre mir diesen Angriffsvektor doch bitte einmal in Detail an einem Macbook mit M Prozessor.

Wie kann ein hypothetischer Verbrecher über das Internet mein Macbook Passwort von z.B. "Mad 287" knacken
und was kann er dann damit anrichten?
Das alles vor dem Hintergrund dass ich selbst vor dem Macbook nur 3 Versuche habe, bevor eine sich verlängernde
Zeitsperre aktivier bzw. es komplett gesperrt wird.

Wie gesagt, ich rede über ein Anmeldepasswort des Macbooks, nicht über ein Routerpasswort.