Ein menschlicher Benutzer dürfte kaum in der Lage sein, mehrere Passwörter pro Sekunde einzugeben. Warum muß eigentlich ein EDV-System dies defaultmäßig zulassen?
Ich habe jetzt folgende Idee: man müßte für die Benutzeridentifizierung einen speziellen Chipsatz entwickeln, der so aufgebaut ist, dass rein softwaremäßig nicht mehr als zwei Login-Versuche pro Sekunde möglich sind. Sollte doch einmal eine Brute-Force-Attacke nötig sein, so muss stets am Gerät ein entsprechender Schalter umgelegt werden, damit viele Login-Versuche pro Sekunde möglich sind. Was spricht gegen diese Idee?
Wie sicher wäre dieses vorgehen?
Forumsregeln
Bitte keine anklickbaren Direktverlinkungen zu potentieller Malware oder allg. verdächtigen Websites posten!
Bitte keine anklickbaren Direktverlinkungen zu potentieller Malware oder allg. verdächtigen Websites posten!
Re: Wie sicher wäre dieses vorgehen?
Wo soll denn dieser 'Chipsatz' eingebaut sein? Ich verstehe noch nicht, was der Sinn und Zweck sein soll.
-
- Chipsocampa
- Beiträge: 100
- Registriert: Mo 17. Jan 2022, 12:19
- Wohnort: Kottmar
- Mein technisches Equipment: Ryzen 7 | X470-Pro | RX 6600 XT | 32 GB RAM | M.2 NVMe + SSD
- Betriebssysteme & Version: Windows 11 | Android 13
Re: Wie sicher wäre dieses vorgehen?
Wie soll es sonst aussehen? Wenn sich jemand bei der Passworteingabe vertippt - erstmal ne Stunde warten?
Dort wo auf die Sicherheit ankommt, gibt außerdem entspr. Schutzmaßnahmen (Bankkarte, Handy-SIM, etc.)
Gruß
MK1989
-
- Chipsocampa
- Beiträge: 101
- Registriert: Di 18. Jan 2022, 10:48
Re: Wie sicher wäre dieses vorgehen?
Ähm, ich werde jetzt ein wenig unsicher, doch so spontan dachte ich, dass viele Systeme als Voreinstellung eine "lockout duration" nach falscher Passworteingabe besitzen ?
Gebe ich ein Passwort zu oft falsch ein, dann muss ich etwas warten. Je nach System ein paar Sekunden, eine Minute etc. Es gibt Systeme welche das auch dynamisch handhaben. Nach jeder falschen Eingabe, dauert es länger bis der Eingabeprompt wieder erscheint.
P.S.: Unter Windows heißt die Funktion "passwort lockout duration"
Gebe ich ein Passwort zu oft falsch ein, dann muss ich etwas warten. Je nach System ein paar Sekunden, eine Minute etc. Es gibt Systeme welche das auch dynamisch handhaben. Nach jeder falschen Eingabe, dauert es länger bis der Eingabeprompt wieder erscheint.
P.S.: Unter Windows heißt die Funktion "passwort lockout duration"
-
- Chipsocampa
- Beiträge: 3380
- Registriert: Mi 19. Jan 2022, 13:07
- Wohnort: Bergisch Gladbach
- Interessen: Astronomie & Astrofotografie , Tauchen, MTB Downhill
- Kaffee, Tee, Kakao, oder?: ...Hauptsache frisch gemahlene Bohnen!
- Kontaktdaten:
Re: Wie sicher wäre dieses vorgehen?
Die Wirklichkeit sieht doch so aus, dass es hardwareseitig sowas (noch) nicht gibt (m.W.n.), softwareseitig aber schon sehr lange.
Wie hier schon geschrieben wurde, wird auf manchen Systemen (z. B. Windows, FritzBox-UI und andere) die Zeitdauer, bis man sich wieder einloggen kann, verlängert. Bei der Fritzbox wird diese Spanne jedesmal verdoppelt.
Die Krux ist doch aber, dass das nicht verpflichtend vorgeschrieben ist und auch nicht alle Anbieter, die das an Board haben, auch wirklich aktivieren. Das Verschlüsselung und Datenschutz von einschlägigen Diensten und Regierungen boykottieertr wird ist auch schon mindestens 20 Jahre lang bekannt.
Der vom TO angedachte Weg über einen Chip, also hardwareseitig kann ich mir als Laie nur schwer vorstellen. Und warum da eine Art "Backdoor" rein soll, damit man doch eine BF-Attacke fahren kann, erschließt sich mir auch nicht. Kein Argument dafür wiegt die Gefahr des Missbrauchs auf. Da würde ich das lieber softwareseitig auf den verschiedenen Systemen / Plattformen / Diensten sehen, denn da kann vielleicht einmal etwas geknackt werden, aber nicht alle Dienste gleichzeitig. Dies wäre aber der Fall, wenn ein einziger, unsicherer Chip unterwegs ist und geknackt wird.
Wie hier schon geschrieben wurde, wird auf manchen Systemen (z. B. Windows, FritzBox-UI und andere) die Zeitdauer, bis man sich wieder einloggen kann, verlängert. Bei der Fritzbox wird diese Spanne jedesmal verdoppelt.
Die Krux ist doch aber, dass das nicht verpflichtend vorgeschrieben ist und auch nicht alle Anbieter, die das an Board haben, auch wirklich aktivieren. Das Verschlüsselung und Datenschutz von einschlägigen Diensten und Regierungen boykottieertr wird ist auch schon mindestens 20 Jahre lang bekannt.
Der vom TO angedachte Weg über einen Chip, also hardwareseitig kann ich mir als Laie nur schwer vorstellen. Und warum da eine Art "Backdoor" rein soll, damit man doch eine BF-Attacke fahren kann, erschließt sich mir auch nicht. Kein Argument dafür wiegt die Gefahr des Missbrauchs auf. Da würde ich das lieber softwareseitig auf den verschiedenen Systemen / Plattformen / Diensten sehen, denn da kann vielleicht einmal etwas geknackt werden, aber nicht alle Dienste gleichzeitig. Dies wäre aber der Fall, wenn ein einziger, unsicherer Chip unterwegs ist und geknackt wird.
-
- Chipsocampa
- Beiträge: 210
- Registriert: Mo 17. Jan 2022, 22:18
- Wohnort: Lindau
- Interessen: Alles außer Sellerie
- Berufliche Tätigkeit: Betriebs- und Verkehrseisenbahner
- Betriebssysteme & Version: Windwos 10 und 11
- Kontaktdaten:
Re: Wie sicher wäre dieses vorgehen?
In besonders kritischen Systemen muss man doch nur einen nicht kopierbaren Hardware-Token einsetzen, anstatt Benutzername und Kennwort. Wird doch auch schon gemacht.