Naja, es steht ja nicht dabei, dass Sonderzeichen nicht erlaubt sind oder?
Nein, aber dass Sonderzeichen enthalten sein müssen auch nicht, was andernfalls problematisch wäre¹;
¹ gemeinsamer Nenner und so;
Beiträge von mainziman
-
-
ich hab das hier gefunden, die Bezeichnung mit "Positive Lookahead" ist mir ehrlich gesagt neu, aber das ist einfach die UND-Verknüpfung
https://stackoverflow.com/questions/469913/regular-expressions-is-there-an-and-operator
diese Regex matcht übrigens NIE
^(?=.*[A-Z])(?=.*[a-z])(?=.*[0-9])[0-9]{8,}$
-
KB19 wie würde denn eine passende Regex ohne dem "Positive Lookahead" aussehen?
-
Wieso interpretiert jeder, dass wenn da steht
Info! Das Passwort muss mindestens 8 Zeichen lang sein und muss Groß- und Kleinbuchstaben sowie Zahlen enthalten.dass man da Sonderzeichen reinwürgt?
Virinum die Regex passt schon - [A-Za-z0-9]{8,} ist der wesentliche Teil - es sollen einfach nur Groß- und Kleinbuchstaben sowie Ziffern enthalten sein;
-
m_ueberall lieber nicht, des is ein Import aus den USA und da kannst mit unseren Schweinsnasen in der Wand brausen gehen
da hast des Model f. die EU verlinkt; Importgebühren inklusive
-
des selbe wie in lokalen LANs,
der Host der die bereits existierende im Netz verwenden will, bekommt keine IP-Verbindung ...
(und sollte eine Meldung von wegen doppelt verwendeter IP bringen)
-
bei mir sind jetzt im Dez. 3 Rechnungen angekommen
am 1. Dez., am 7. Dez. und am 13. Dez.
ich hatte früher per Paypal bezahlt, nachdem ich des aber gekickt¹ habe, mache ich das nun einfach mit SEPA-Überweisung²
wären diese, hätte ich per SEPA-Lastschrift bezahlt ebenso verteilt gewesen?
Moderatoren ich frag deshalb, weil bei der ersten Rechnung vom 1. Dez. waren zu einen vServer
3 Domains mitzusammengefaßt, wo von 2en das Rechenjahr im Nov. bereits begann und bei einer 3ten dieses erst nach dem Zahlungsziel;
bei der 2ten Rechnung vom 7. Dez. der Betrag f. ein Webhosting ein kleinerer war als der von der 3ten Domain und
bei der 3ten Rechnung vom 13. Dez. ein weiterer vServer
werden die Rechnungen getriggert mit dem Beginn vom Rechenjahr f. ein Webhosting od. eines vServers, oder wenn keine anstehen,
dann eben Rechnungen mit Domains alleine?
¹ die eingeführte Captcha-Orgie bei der Anmeldung war mir einfach zu nervig;
² die terminisier ich grundsätzlich mit dem 1ten Bankwerktag der nächsten od. übernächsten Woche
-
aRaphael damit kannst einen Server evtl. auch unbrauchbar machen;
diie Logs füllen den Speicher, und wenn da auch noch logwatch ins Spiel kommt und dem des groß is, füllt sich der Speicher gleich exponentiell;
und in einer Woche ist der Ofen aus; keine gute Idee
engine werden hier Loginversuche mit UserId+Passwort ebenfalls geloggt?
wenn ja gilt Absatz darüber;
-
kannst Du das etwas näher erläutern? Also hier bei netcup gibts ja keine "eingebaute Firewall"..
einfach die mit dem OS mitgelieferte Firewall; IPtables z.B.
und wenn man mehrere VPS/RS hat, auch verteilt bei verschiedenen Anbietern,
dann kann man sich einen "Jump Host" einrichten, auf den man direkt hinkommt, und zu den anderen nur über diesen "Jump Host"
(das ist aber nur notwendig, wenn die Notwendigkeit besteht von überall darauf zugreifen zu müssen)
-
Was sollte man machen (außer extremst sicheres Passwort)?
wenn die Notwendigkeit von überall darauf zugreifen zu müssen nicht besteht, man von den Systemen von wo aus man zugreift,
einfach auf der Firewall nur mit IPv6 erlauben und auch da nur f. in Frage kommende Prefixe;
da ich nur per IPv6-in-IP-Tuinnel zu IPv6 komme, habe ich auch nur diesen Prefix in der IPv6-Firewall erlaubt und als Backup
die Ranges meines ISPs in der IPv4-Firewall eingetragen;
den Port f. SSH auf irgendwas lustiges zu schieben ist nur ein Schuß ins eigene Knie;
weil man immer daran denken muss, dass da nix geht mit Port 22,
und die Bösen Jungs im Netz haben das schneller heraussen als einem lieb ist;
axstet um sich selbst auszusperren
-
Deutlich seltener wird es vorkommen, dass Angreifer Zugriff auf die Passwortmanager einzelner Nutzer erhalten (passiert aber trotzdem, siehe LastPass). In dem Fall wäre 2FA außerhalb des Passwortmanagers sicherer. Auf der anderen Seite gilt aber auch: wenn ein Dieb in ein biometrisch geschütztes Smartphone eindringen kann (keine geringe Hürde), dann ist auch der Zugriff auf die separate OTP Anwendung da.
Hier hast 2 Möglichkeiten eines Angriffs skizziert, die 3te aber wahrscheinlichere ist einfach die, dass sich jemand auf dem Phone was einfängt, davor schützen weder ein biometrischer Schutz noch sonst was; klar egal ob 2FA in eine eigene OTP-App ausgelagert ist od. nicht ist dabei dann auch unerheblich;
aber wenn der "Passwortsafe" - was auch immer das dann ist - wirklich mit dem 2FA-Device nichts zu tun hat, dann muss schon wirklich viel schief gehen ...
darum ist der Gedanke von aRaphael z.B. bei allen im Passwortsafe gesicherten Passworten eine geheime Zeichenfolge hinzuzufügen, fast schon ein Muss;
die Zeichenfolge kann überall die selbe sein und braucht auch nicht komplex sein, 4 Ziffern z.B. '4174' genügen hier vollkommen;
Warum?
ein Angriffsszenario wurde hier noch nicht erwähnt, wenn es gelingt die Passwortdatenbank zu entwenden; auch wenn es dann deutlich schwieriger ist diese auch zu öffnen, ist diese dann f. den "Finder" wertlos; weil die erwähnten 4 Ziffern kennt er nicht, noch weiß davon etwas;
hier etwas Mathematik
angenommen, bei den Passworten im Safe ist folgende Komplexität
- Großbuchstaben
- Kleinbuchstaben
- Ziffern
- ein paar Sonderzeichen, angenommen es sind 13 verschiedene;
dann gilt f. jedes Zeichen eines Passwortes 75 Möglichkeiten
hat man davon z.B. 16 Zeichen, dann sind das klarerweise 7516
wegen der Geschichte mit den 4 geheimen Zeichen aber 7520
rund 2125 Möglichkeiten könnt dann ein schwierriges Unterfangen werden, des zu knacken
was bei dem ganzen nicht zu unterschätzen ist, wenn jemand 'einfache' merkbare Passworte verwendet,
und so die Erfordernis eines Passwortsafes nicht hat, und nur um die SIcherheit zu erhöhen, 2FA mit einem OTP-Generator zum Einsatz kommt,
dabei z.B. "M1ChefausMadagaskar#007" plus 4 'geheime' Zeichen als Passwort verwendet;
wie würde man bei so jemanden es darauf anlegen das Passwort zu knacken?
es weiß ja niemand dass es Worte aus dem Lexikon sind ...
ergo es ist nicht weniger und nicht mehr sicher wie die Geschichte mit den kryptischen Passworten und der Notwendigkeit eines Passwort-Safes;
Falls hier jetzt der Einwand kommt, wenn der Passwort-Safe das Login samt Passwort ins Webformular sendet, kann das ein Keylogger doch nicht abfangen;
man muss dem einfach vertrauen, dass hier nichts in die Quere kommt;
für einen Keylogger braucht es keine Rechte und sämtliche Screen-Keyboards, sobald diese über den Tastaturbuffer des OS werken, sind ebenfalls Quark;
macht man aber selbst Copy&Paste aus dem Passwort-Safe heraus ist man auf einer sichereren Ebene;
wie gesagt: jede Form an Bequemlichkeit welche gewonnen wird, bedeutet automatisch eine Abnahme an Sicherheit;
-
aber eine App auf mein Handy zu haben, die das letzte mal 2016 geupadte würde mich schon stören (vor allem wenn es eine gute Open Source alternative gibt)
FreeOTP ist doch OpenSource
ist "Sicherheitslücken" jetzt der neue Angstmacher?
mich stört der Plunder, den man nicht wegbekommt viel mehr ...
Daher ist aegis die besser Wahl, Open Source, Verschlüsslung und IM/Ex-Port.
nicht wirklich; wie ich schon sagte, es ist Geschmacksache; mir gefällt der aegis einfach nicht;
Loxley schau Dir den FreeOTP+ mal an;
-
FreeOTP sollte man nicht verwende: https://play.google.com/store/apps/det…velopment.aegis
Ist da klar die besser Wahl
das ist eine Geschmacksfrage, mir gings nur darum das losgelöst von irgendwelchen Passwort-Managern/-Safes zu sehen;
-
Und besser als gar kein 2FA im Excel Dokument ist 2FA im Passwortmanager alle mal noch.
Nein und Ja
Nein, wenn der 2FA davon losgelöst ist, ist es das Optimum;
(genau so verwende ich 2FA, einfach nur die FreeOTP-App)
Ja, bevor man gar kein 2FA hat, aber fragwürdig ist es so allemal;
dies entspricht bei einer Wohnungstüre mit einem Zusatzschloß¹ der Variante,
dass der selbe Schlüssel nicht nur den Türzylinder sondern auch den Zylinder des Zusatzschlosses sperrt;
das Optimum ist hier, wenn jeder der beiden Zylinder seinen eigenen Schlüssel hat;
(das Feature bzw. den Sicherheitsgewinn, welches so ein Zusatzschloss aus der Sicht von innen hat, bleibt hier unbewertet)
¹ hier ein Bild von so einer Tür mit Zusatzschloß
-
Diese XLSX Lösung unterstützt keine integrierte 2FA
stimmt, und glztg. stellt es den Sinn von 2FA in Frage, wenn das der Passwort-Manager/-Safe mitintegriert hat;
Ausnahme: man Verwendet f. ein Login auf einem PC/Desktop od. Tablet einen Passwort-Manager/-Safe,
welcher ausschließlich z.B. auf einem Phone läuft und von dort 2FA gesteuert wird;
-
OK. Dann könnte man ja an die in Bitwarden gespeicherten Passwörter immer noch einen kurzen String anhängen, den man nirgendwo aufschreibt.
nur so setzt man derartiges überhaupt ein;
-
Das Rausschießen ist bei einem eigenen Mailserver auch nicht das Problem, sondern oft das Ankommen.
das waren damals noch Zeiten, wenn man da ein SPAM-Mail bekam, man einfach den Rechner mit einem Unix gestaret hat,
per Skript x Mails zum Absender losjagte, und dann war wieder Ruh f. eine Weile;
und dann nochmal wieder ins Windows startete wie wenn nichts gewesen wär;
heute geht sowas gar nicht mehr, weil Port 25 ausgehend bei den meisten ISPs gesperrt ist, von daher kam auch die Port 587-Geschichte;
Wenn du aus nostalgischen Gründen nochmal in diese Welt eintauchen willst, lade ich dich zu mir in die Arbeit ein
da genügt mein Bürokollega der immer noch mit einem Babyphone herumläuft und sich wundert, dass kein WhatsApp funktioniert;
-
Ich verwende und empfehle einen dedizierten Passwortmanager,
genau das meinte ich mit
die guten Passwörter sind so gut, dass sie bei der NSA sicher verwahrt sind
von daher hat das schon was, wie es Bud handhabt; ich mach es ähnlich mit dem Unterschied, dass ich keine Passwörter im Browser gespeichert habe,
weil ich eher auf der Seite der schlechten Passwörter bin, die merkt man sich, und wenn nicht, hat man ein Backup und 2FA hier das Mittel der Wahl ist;
wenn doch notwendig sind die bei mir einem OpenText-File mit etwaigen Zusatzinfos gespeichert;
welchen ich als Passwortgeschützten PDF über meine eigene Nextcloud-Instanz am Phone habe;
aRaphael hats ja gezeigt wie der Wahn ausufern kann
aber wenn es um Passwörter geht, welche f. Systeme, bei denen nach dem 3ten/4ten Versuch ohnehin Schluß ist,
macht eine höhere Komplexität genau 0 Sinn - im Gegenteil, je wahrscheinlicher man es sich nicht merken kann, umso schlechter;
od. hat sich schonmal jemand die Gedanken gemacht, dass die Wahrscheinlichkeit, dass der Nachbar/die Nachbarin den selben
PIN bei der Bankkarte hat, gar nicht mal so niedrig ist ...
-
als die Welt noch ein wenig 'analoger' war galt: die guten Passwörter findet man unter der Tischmatte und die schlechten kennt ohnehin jeder;
mittlerweile gilt: die guten Passwörter sind so gut, dass sie bei der NSA sicher verwahrt sind,
und die schlechten sind auf irgendwelchen Spickzetteln notiert;
-
hat wer eine Ahnung, was das mit rotem Pfeil markierte Symbol mir sagen soll?
(Android 13)
Problem gelöst, einfach mal Daten und Cache von der Google Play App entfernt
und neu gestartet;
