Variante a wäre also nur besser, wenn die maximale Länge beschränkt ist.
Nein, man sollte keine kleinen Äpfel mit ein bißchen größeren Äpfeln vergleichen.
Von der Passwortlänge hat NC3707 nichts geschrieben und ich selbst empfinde es die Verwendbarkeit von Sonderzeichen auch als sicherer.
Deiner Argumentation könnte man ganz einfach so polemisieren, dass man sagt:
"Der Entfall von Groß-/Kleinschreibung ist nervschonender und genauso sicher, wenn man noch weitere 3 Zeichen zusätzlich nimmt. Die Variante a oder b wäre also nur besser, wenn die maximale Länge beschränkt ist."
Ein Bild sagt mehr als tausend Worte:
Passwortlänge.png
Verallgemeinerungen sind nicht zielführend. Bei einem gegebenen Beispiel wird es immer einen Schneidepunkt geben, ab dem die Stärke und Schwäche offensichtlich wird.
Viel wichtiger ist aus meiner Sicht die Erkenntnis, dass ein Brute-Force-Angriff auf einen abgesicherten Online-Dienst reine Theorie ist.
Das Passwort "netcupforumpasswort" hat mit seinen 19 Zeichen eine geringere Resistenz gegen einen Wörterbuchangriff als "N€tcup#f0rum?!" mit nur 14 Zeichen.
Da Bruteforcing und Wörterbuchangriffe aber heutzutage beide nicht durchführbar sind (fail2ban als Beispiel für eine Gegenmaßnahme) ist das alles nur Theorie und im gegebenen Beispiel des netcup-Forenlogins nicht praktisch ausnutzbar.
Anders würde es natürlich bei verschlüsselten Dateien aussehen, die ein Angreifer offline angreifen kann. Hier geht es um die Passwortlänge und dann vor allem um den Verschlüsselungsalgorithmus
Fakt ist und bleibt:
- 20 Zeichen Passwortlänge mit 72 verwendbaren Zeichen sind sicherer als nur 20 Zeichen Passwortänge mit 62 verwendbaren Zeichen.
- 21 Zeichen Passwortlänge sind sicherer als 20 Zeichen Passwortlänge (bei gleichem verwendbaren Zeichenvorrat)
- Die Verwendung von Ziffern und Sonderzeichen erschwert Wörterbuchangriffe erheblich
.
Bleibt das Fazit:
Netcup verarbeitet Passworte unsauber
=> Jawohl => Fehlerbehandlung fehlt => um welches Zeichen ging es denn bei Dir?
(es gibt aber Webseiten, die lassen die Eingabe gar nicht erst zu - das ist akzeptabel bzw. die weit bessere Lösung).
=> so gehört sich das auch => Themenfeld Sanitization & Escaping & Encoding für Kundenzufriedenheit und Vermeidung von Supportfällen
(womit ich hiermit meinen längsten Satz der Woche formuliert hab')
