iCloud Schlüsselbund mit generierten Passwörtern von Apple sicher genug?

[littleapple1]

<div class="bbWrapper">Ich benutzte ausschließlich Apple Geräte und verwende daher den iCloud Schlüsselbund.<br /> Allerdings frage ich mich ob dieser sicher genug ist?<br /> Sollte ich in meinem iCloud Schlüsselbund Passwörter speichern, welche ich selbst ausgedacht habe oder die die Apple mir vorschlägt mit den Bindestrichen oder sollte ich ein Passwort Generator verwenden, welcher Passwörter mit mehr Zeichen und Sonderziechen generiert ?</div>

 

[Bob___]

<div class="bbWrapper">Ich würde mal sagen, es hängt von deinen Schutzbedarf ab. Wenn Du z.B. die Abschuss-Codes deiner nuklearen Raketen speichern möchtest, so würde ich vielleicht sagen, verschlüssel die am besten doppelt. Ansonsten sollte es für Dich eigentlich passen!</div>

 

[flobey311]

<div class="bbWrapper">Zumindest ist die Abfolge wahrscheinlicher länger, als jedes selbst sich ausgedachte Passwort</div>

 

[snowman78]

<div class="bbWrapper">Die Frage, die ich mir stelle, ist eher, ob die von Apple generierten Passwörter sicher genug sind.<br /> <br /> Ich denke der iCloud-Schlüsselbund ist auch nur so sicher wie dein iCloud-Passwort bzw. die PIN deines iPhone/iPad und/oder das Passwort deines Mac...die Daten an sich sind denke ich stark genug verschlüsselt auf den iCloud-Servern. Aber das bringt Alles nix, wenn deine Apple-ID oder deine Geräte schwache PINs und Passwörter haben.</div>

 

[Mitglied 241048]

<div class="bbWrapper"><blockquote data-attributes="member: 130443" data-quote="snowman78" data-source="post: 5745545" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5745545" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5745545">snowman78 schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Ich denke der iCloud-Schlüsselbund ist auch nur so sicher wie dein iCloud-Passwort bzw. die PIN deines iPhone/iPad und/oder das Passwort deines Mac... </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote><br /> Na ja, da sollte aber schon noch die Zwei-Faktor-Authentifizierung vor sein.</div>

 

[snowman78]

<div class="bbWrapper"><a href="https://test.apfeltalk.de/community/members/241048/" class="username" data-xf-init="member-tooltip" data-user-id="241048" data-username="@dtp">@dtp</a> : Das hat aber sicherlich immer noch nicht Jeder aktiviert...</div>

 

[littleapple1]

<div class="bbWrapper"><blockquote data-attributes="member: 130443" data-quote="snowman78" data-source="post: 5745545" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5745545" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5745545">snowman78 schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Die Frage, die ich mir stelle, ist eher, ob die von Apple generierten Passwörter sicher genug sind. </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote>Das frage ich mich auch!</div>

 

[Sequoia]

<div class="bbWrapper"><blockquote data-attributes="member: 130443" data-quote="snowman78" data-source="post: 5745565" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5745565" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5745565">snowman78 schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> <a href="https://test.apfeltalk.de/community/members/241048/" class="username" data-xf-init="member-tooltip" data-user-id="241048" data-username="@dtp">@dtp</a> : Das hat aber sicherlich immer noch nicht Jeder aktiviert... </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote>Aber bei diesem ist dann die Frage, ob schlüsselbundgenerierte Passwörter sicher oder unsicher sind, nicht das Hauptproblem.</div>

 

[Mitglied 241048]

<div class="bbWrapper"><blockquote data-attributes="member: 252892" data-quote="littleapple1" data-source="post: 5745579" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5745579" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5745579">littleapple1 schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Das frage ich mich auch! </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote><br /> Ich sag's mal so. Ich nutze seitdem es das Internet und den Passwortschutz gibt, ausschließlich selbst erzeugte Passwörter, die ich auch mal manuell eingeben kann (z.B., weil ich meine persönlichen Geräte nicht mit meinem Geschäftsrechner synchronisieren darf, diesen aber trotzdem auch für private Dinge im Netz nutzen kann). Ich hatte noch nie ein Problem damit, dass eines dieser Passwörter gehackt wurde. Mittlerweile erhält man ja auch auf den meisten Seiten und Portalen E-Mail-Mitteilungen, wenn der Zugang von einem fremden Rechner erfolgte. Und beim Online-Banking muss man sich ja eh mit einem separaten Gerät authentifizieren. Meine Bedenken hinsichtlich der Sicherheit der von Apple generierten Passwörter würde sich daher in Grenzen halten. <br /> <br /> Ich persönlich nutze übrigens bevorzugt Bitwarden. Das funktioniert auch sehr gut unter Windows (sowohl als App als auch als Browser-Plugin). Und es bietet mir eine gute Übersicht über alle genutzten Zugangsdaten. Zudem kann ich darin auch PINs von Bezahlkarten und andere Dokumente ablegen.</div>

 

[snowman78]

<div class="bbWrapper"><blockquote data-attributes="member: 66680" data-quote="Sequoia" data-source="post: 5745644" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5745644" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5745644">Sequoia schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Aber bei diesem ist dann die Frage, ob schlüsselbundgenerierte Passwörter sicher oder unsicher sind, nicht das Hauptproblem. </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote>Da stimme ich dir grundsätzlich zu...allerdings würde mich interessieren, wie lange &quot;man&quot; bräuchte, um ein von Apple generiertes Passwort zu knacken?!? So rein optisch sind die Passwörter eher &quot;einfach&quot; gehalten <img class="smilie smilie--emoji" loading="lazy" alt="🤷" title="Achselzuckende Person :person_shrugging:" src="https://cdn.jsdelivr.net/joypixels/assets/8.0/png/unicode/64/1f937.png" data-shortname=":person_shrugging:" /> Mag sein, dass durch die vielen Bindestriche und die eigentliche Länge die Stärke gesichert ist <img class="smilie smilie--emoji" loading="lazy" alt="🤷" title="Achselzuckende Person :person_shrugging:" src="https://cdn.jsdelivr.net/joypixels/assets/8.0/png/unicode/64/1f937.png" data-shortname=":person_shrugging:" /></div>

 

[Bob___]

<div class="bbWrapper"><blockquote data-attributes="member: 130443" data-quote="snowman78" data-source="post: 5745687" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5745687" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5745687">snowman78 schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Da stimme ich dir grundsätzlich zu...allerdings würde mich interessieren, wie lange &quot;man&quot; bräuchte, um ein von Apple generiertes Passwort zu knacken?!? So rein optisch sind die Passwörter eher &quot;einfach&quot; gehalten <img class="smilie smilie--emoji" loading="lazy" alt="🤷" title="Achselzuckende Person :person_shrugging:" src="https://cdn.jsdelivr.net/joypixels/assets/8.0/png/unicode/64/1f937.png" data-shortname=":person_shrugging:" /> Mag sein, dass durch die vielen Bindestriche und die eigentliche Länge die Stärke gesichert ist <img class="smilie smilie--emoji" loading="lazy" alt="🤷" title="Achselzuckende Person :person_shrugging:" src="https://cdn.jsdelivr.net/joypixels/assets/8.0/png/unicode/64/1f937.png" data-shortname=":person_shrugging:" /> </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote>Da hasse: <a href="https://www.1pw.de/brute-force.php" target="_blank" class="link link--external" rel="nofollow ugc noopener">Klick</a><br /> <br /> Einfache Frage, komplizierte Antwort <img src="/community/styles/apfeltalk/smilies/Tongue Winking Eye.png" class="smilie" loading="lazy" alt=":p" title="Stick Out Tongue :p" data-shortname=":p" /></div>

 

[_macminimal]

<div class="bbWrapper">Ich verstehe nicht so recht wie man darauf kommt, das die vom Schlüsselbund generierten PWs &quot;zu einfach&quot; wären... man kann doch die Komplexität selbst bestimmen oder ggf die komplexesten PWs des Schlüsselbundes selbst erweitern.<br /> <br /> Bsp: JG[NUM;3,p24E4acqzC-wW*nM,o#;_?<br /> <br /> 31 Zeichen Groß, Klein, Zahlen, Sonderzeichen<br /> <br /> edit: Wenn die Eingabe mehr erlaubt, könnte man davon 2 PWs generieren und aneinander reihen...</div>

 

[ottomane]

<div class="bbWrapper"><blockquote data-attributes="member: 130443" data-quote="snowman78" data-source="post: 5745687" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5745687" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5745687">snowman78 schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> allerdings würde mich interessieren, wie lange &quot;man&quot; bräuchte, um ein von Apple generiertes Passwort zu knacken? </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote><br /> Ganz grob 23 Mio. Jahre, wenn man 18 Kleinbuchstaben nutzt. <img src="/community/styles/apfeltalk/smilies/Smiling Face.png" class="smilie" loading="lazy" alt=":D" title="Big Grin :D" data-shortname=":D" /><br /> <br /> Wenn du zusätzlich Zahlen und Großbuchstaben nutzt 100 Trillionen Jahre.<br /> <br /> Das sind aber nur Beispiele für bestimmte Voraussetzungen.<br /> <br /> <div class="bbCodeBlock bbCodeBlock--unfurl is-pending is-recrawl js-unfurl fauxBlockLink" data-unfurl="true" data-result-id="16251" data-url="https://www.hivesystems.io/blog/are-your-passwords-in-the-green" data-host="www.hivesystems.io" data-pending="true"> <div class="contentRow"> <div class="contentRow-figure contentRow-figure--fixedSmall js-unfurl-figure"> <img src="http://static1.squarespace.com/static/5ffe234606e5ec7bfc57a7a3/t/6626ce4765141910b97ebd62/1713819215365/2024+Password+Table.png?format=1500w" alt="www.hivesystems.io" data-onerror="hide-parent"/> </div> <div class="contentRow-main"> <h3 class="contentRow-header js-unfurl-title"> <a href="https://www.hivesystems.io/blog/are-your-passwords-in-the-green" class="link link--external fauxBlockLink-blockLink" target="_blank" rel="nofollow ugc noopener" data-proxy-href=""> Are Your Passwords in the Green? </a> </h3> <div class="contentRow-snippet js-unfurl-desc">It&#039;s the 2024 update to our Hive Systems Password Table - including using a new “most-hacked” password hash. See why our Password Table has been shown and written about on the news, published by universities, and shared by companies across the globe. How did we make this table? Or what does it mean</div> <div class="contentRow-minor contentRow-minor--hideLinks"> <span class="js-unfurl-favicon"> <img src="https://images.squarespace-cdn.com/content/v1/5ffe234606e5ec7bfc57a7a3/ae27fefa-5f31-4441-bd6e-5557c0b0cf1f/favicon.ico?format=100w" alt="www.hivesystems.io" class="bbCodeBlockUnfurl-icon" data-onerror="hide-parent"/> </span> www.hivesystems.io </div> </div> </div> </div> <br /> <blockquote data-attributes="member: 130443" data-quote="snowman78" data-source="post: 5745687" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5745687" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5745687">snowman78 schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Mag sein, dass durch die vielen Bindestriche </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote>Da die Bindestriche immer an der selben Stelle sind, tragen sie nichts zur Sicherheit bei.</div>

 

[Bob___]

<div class="bbWrapper"><blockquote data-attributes="member: 163791" data-quote="ottomane" data-source="post: 5745691" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5745691" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5745691">ottomane schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Ganz grob 23 Mio. Jahre, wenn man 18 Kleinbuchstaben nutzt. <img src="/community/styles/apfeltalk/smilies/Smiling Face.png" class="smilie" loading="lazy" alt=":D" title="Big Grin :D" data-shortname=":D" /><br /> <br /> Wenn du zusätzlich Zahlen und Großbuchstaben nutzt 100 Trillionen Jahre. </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote><br /> Wobei bei einem Brute-Force wird die Zeitmenge, die benötigt wird um alle Möglichkeiten durchzutesten, angegeben. Theoretisch könnte also auch der erste Versuch das richtige Passwort bringen <img src="/community/styles/apfeltalk/smilies/Wink.png" class="smilie" loading="lazy" alt=";)" title="Wink ;)" data-shortname=";)" /></div>

 

[ottomane]

<div class="bbWrapper">So ist das halt im Leben. Dir könnte auch ein Meteorit auf den Kopf fallen.</div>

 

[_macminimal]

<div class="bbWrapper"><blockquote data-attributes="member: 221171" data-quote="Bob___" data-source="post: 5745693" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5745693" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5745693">Bob___ schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Wobei bei einem Brute-Force wird die Zeitmenge, die benötigt wird um alle Möglichkeiten durchzutesten, angegeben. Theoretisch könnte also auch der erste Versuch das richtige Passwort bringen <img src="/community/styles/apfeltalk/smilies/Wink.png" class="smilie" loading="lazy" alt=";)" title="Wink ;)" data-shortname=";)" /> </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote>Also wenn ein Quantencomputer dazu verwendet wird, dann... <img src="/community/styles/apfeltalk/smilies/Tongue Winking Eye.png" class="smilie" loading="lazy" alt=":p" title="Stick Out Tongue :p" data-shortname=":p" /> <img src="/community/styles/apfeltalk/smilies/Grinmacing.png" class="smilie" loading="lazy" alt=":eek:" title="Eek! :eek:" data-shortname=":eek:" /></div>

 

[SomeUser]

<div class="bbWrapper"><blockquote data-attributes="member: 195232" data-quote="_macminimal" data-source="post: 5745690" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5745690" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5745690">_macminimal schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Ich verstehe nicht so recht wie man darauf kommt, das die vom Schlüsselbund generierten PWs &quot;zu einfach&quot; wären... man kann doch die Komplexität selbst bestimmen oder ggf die komplexesten PWs des Schlüsselbundes selbst erweitern.<br /> <br /> Bsp: JG[NUM;3,p24E4acqzC-wW*nM,o#;_?<br /> <br /> 31 Zeichen Groß, Klein, Zahlen, Sonderzeichen<br /> <br /> edit: Wenn die Eingabe mehr erlaubt, könnte man davon 2 PWs generieren und aneinander reihen... </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote><br /> ... weil die Frage z.B. ist, nach welchem Verfahren die Passwörter generiert werden. Mal ein, zwei ganz einfache Beispiele dazu:<br /> Das von dir genannte Passwort erscheint ziemlich sicher: Recht lang, verschiedenste Komponenten (Zahlen, Groß-/Kleinbuchstaben etc. pp.). Deswegen ist es aber nicht per se sicher. Was wäre, wenn z.B. letztlich immer nur &quot;ein Zeichen hochgezählt&quot; würde? Also z.B. das &quot;?&quot; am Ende einfach durch das nächste Zeichen in der Zeichentabelle ersetzt würde. Und dann durch das nächste. Etc. pp.<br /> Oder, wie wäre es, wenn die erzeugten Passwörter einfach ganz einfachen Schema folgen: Hash des Rechenrnamens, plus umgewandeltes Datum?<br /> Oder oder oder...<br /> <br /> Kurzum: Ein langes Kennzeichen erscheint zwar erst mal sicher, muss es aber nicht sein, wenn das Verfahren zur Erzeugung nicht sicher ist oder ein sicheres Verfahren nicht korrekt implementiert wurde.<br /> <br /> Deswegen muss man auch bei bestimmten &quot;Passworttipps&quot; aufpassen. Sagen wir, du generierst deine Passwörter nach dem Schema: &quot;Merksatz + Servicename + Streichen von Konsonanten + Ersetzen von Zeichen durch Sonderzeichen&quot;. Dein Merksatz ist:<br /> &quot;Mein geheimes Passwort ist immer sicher bei [Servicename]&quot;<br /> Daraus wird:<br /> &quot;MeinGeheimesPasswortIstImmerSicherBeiApfeltalk&quot;<br /> Woraus dann wird<br /> MnGhmsPsswrtstmmrSchrBpfltlk&quot;<br /> und dann z.B. durch Ersetzung (m/M -&gt; &quot;_&quot; und s/S -&gt; &quot;$&quot;)<br /> &quot;_nGh_$P$$wrtst__r$chrBpfltlk&quot;<br /> Toll und sicher, oder?<br /> <br /> Nicht, wenn mir das System bekannt ist - dann ist es fast genau so sicher, wie ein &quot;Plaintext-Passwort&quot; auf einem Zettel.<br /> <br /> Über das Apple-Verfahren ist, soweit ich weiß, nichts bekannt - damit ist es per se auch <b><u>nicht vertrauenswürdig</u></b>.<br /> <br /> Darauf zu vertrauen, dass das schon &quot;Apple sei&quot; und daher bestimmt sicher ist... nun ja... Security through obscurity ist kein tragfähiges Sicherheitskonzept.</div>

 

[Bob___]

<div class="bbWrapper"><blockquote data-attributes="member: 163791" data-quote="ottomane" data-source="post: 5745695" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5745695" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5745695">ottomane schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> So ist das halt im Leben. Dir könnte auch ein Meteorit auf den Kopf fallen. </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote>Genau so ist es. Es ist ja auch gut, dass man das weiß. Manchmal habe ich nur den Eindruck, dass es user gibt die sich dann &quot;Blind&quot; auf solche Aussagen verlassen und denken, dass das eine Art von garantie ist, wo man immer drauf pochen kann, fall es doch einmal so einen Fall gibt.</div>

 

[_macminimal]

<div class="bbWrapper"><blockquote data-attributes="member: 134547" data-quote="SomeUser" data-source="post: 5745698" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5745698" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5745698">SomeUser schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> ... weil die Frage z.B. ist, nach welchem Verfahren die Passwörter generiert werden. Mal ein, zwei ganz einfache Beispiele dazu:<br /> Das von dir genannte Passwort erscheint ziemlich sicher: Recht lang, verschiedenste Komponenten (Zahlen, Groß-/Kleinbuchstaben etc. pp.). Deswegen ist es aber nicht per se sicher. Was wäre, wenn z.B. letztlich immer nur &quot;ein Zeichen hochgezählt&quot; würde? Also z.B. das &quot;?&quot; am Ende einfach durch das nächste Zeichen in der Zeichentabelle ersetzt würde. Und dann durch das nächste. Etc. pp.<br /> Oder, wie wäre es, wenn die erzeugten Passwörter einfach ganz einfachen Schema folgen: Hash des Rechenrnamens, plus umgewandeltes Datum?<br /> Oder oder oder... </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote>Ich gehe ehrlicherweise nicht davon aus das Apple so ein System, oder ein ähnlich (einfaches/dummes) zur Anwendung bringt. Mir erscheint dieses konstruierte Szenario (oder ähnliche) deutlich unwahrscheinlicher, als das Apple gängige/übliche/zuverlässige Techniken zum Generieren von PWs nutzt.<br /> <br /> Du könntest dein Szenario mit Meldungen (a la &quot;von Apple generierte PWs sind unsicher weil...&quot;) untermalen.<br /> <br /> <blockquote data-attributes="member: 134547" data-quote="SomeUser" data-source="post: 5745698" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5745698" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5745698">SomeUser schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> [...]<br /> <br /> <br /> Nicht, wenn mir das System bekannt ist - dann ist es fast genau so sicher, wie ein &quot;Plaintext-Passwort&quot; auf einem Zettel.<br /> <br /> Über das Apple-Verfahren ist, soweit ich weiß, nichts bekannt - damit ist es per se auch <b><u>nicht vertrauenswürdig</u></b>.<br /> <br /> Darauf zu vertrauen, dass das schon &quot;Apple sei&quot; und daher bestimmt sicher ist... nun ja... Security through obscurity ist kein tragfähiges Sicherheitskonzept. </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote><br /> Ok, wenn das &quot;kein tragfähiges Sicherheitskonzept&quot; ist... dasnn hilf uns (bzw dem TE) doch weiter und nenne bitte ein solches und warum dies den (welchen?) Sicherheitsanforderungen gerecht wird.</div>

 

[SomeUser]

<div class="bbWrapper"><blockquote data-attributes="member: 195232" data-quote="_macminimal" data-source="post: 5745702" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5745702" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5745702">_macminimal schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Ich gehe ehrlicherweise nicht davon aus das Apple so ein System, oder ein ähnlich (einfaches/dummes) zur Anwendung bringt. Mir erscheint dieses konstruierte Szenario (oder ähnliche) deutlich unwahrscheinlicher, als das Apple gängige/übliche/zuverlässige Techniken zum Generieren von PWs nutzt. </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote><br /> Die Beispiele waren natürlich mit Absicht simpel gewählt, um das Problem aufzuzeigen - das ändert aber nichts am Problem: Ich würde bei einem externen Anbieter, egal wie groß, lieb und allumsorgend sich dieser gibt, niemals von irgendwas ausgehen, was nicht geprüft/prüfbar ist. Ich verstehe ehrlich gesagt nicht, warum man irgendwelchen kommerziellen Unternehmen, Vereinen oder sonstigen fremden Dritten die eben NICHT alle relevanten Informationen liefern, überhaupt irgendeinen Vertrauensvorschuss gewährt. Am Ende ist Apple nicht vertrauenswürdiger, als der Typ im Bahnhofsviertel, der dir was anbieten will.<br /> <br /> <blockquote data-attributes="member: 195232" data-quote="_macminimal" data-source="post: 5745702" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5745702" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5745702">_macminimal schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Du könntest dein Szenario mit Meldungen (a la &quot;von Apple generierte PWs sind unsicher weil...&quot;) untermalen. </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote>Warum sollte ICH das tun? Es ist an Apple die Sicherheit einer Funktion End-to-end zu belegen. In sicherheitsrelevanten Themen gilt es alle Informationen offen zu legen, um eine Prüfung zu ermöglichen. Passiert dies nicht, kann man per se nicht von einem sicheren System ausgehen. <br /> Damit kannst du dir einen Teil des &quot;unsicher, weil...&quot; übrigens ableiten: Vertrauen, Hoffnung, &quot;von etwas ausgehen&quot; stellen keine Form von Sicherheit dar.<br /> <br /> <blockquote data-attributes="member: 195232" data-quote="_macminimal" data-source="post: 5745702" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5745702" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5745702">_macminimal schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Ok, wenn das &quot;kein tragfähiges Sicherheitskonzept&quot; ist... dasnn hilf uns (bzw dem TE) doch weiter und nenne bitte ein solches und warum dies den (welchen?) Sicherheitsanforderungen gerecht wird. </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote><br /> Muss und will ich nicht. Das ist auch irgendwie so eine alberne Mär, dass jeder der zu Recht irgendwelche Fehler, Schwachstellen, Probleme oder was auch immer anspricht/aufwirft, auch eine Lösung präsentieren muss. Wenn dir dein Sicherheitstechniker des Vertrauens sagt, dass dein Wohnungsschloss in 2 Minuten zu knacken ist, muss er dir dennoch nicht auch ein besseres oder gar unknackbares Schloss anbieten können. Übrigens sieht das selbst der CCC so: Der deckt regelmäßig Schwachstellen in Systemen auf - und statt bei vielen Dingen dann eine Lösung zu präsentieren, rät er sogar grundsätzlich an vielen Stellen überhaupt vom Einsatz entsprechender Systeme ab, statt an den Symptomen rumzudoktern.<br /> <br /> Es obliegt jedem selbst aus den bekannten Informationen für sich eine entsprechende Handlungsableitung vorzunehmen. Wenn man sich der potenziellen(!) Risiken bewusst ist und dennoch für den Einsatz entscheidet, ist das vollkommen ok. Alternativ kann man auch sagen, dass man zwar Passwörter generieren lässt und diese dann noch modifiziert. Oder, dass man einfach händisch welche erzeugt.<br /> Egal, welchen Weg man wählt: Macht man das in voller Kenntnis und wägt die Risiken für sich ab, ist das ok. Wer Apple da blind vertraut, wird zu einem anderen Ergebnis kommen, als jemand der allen kommerziellen Unternehmen da nur so weit traut, wie er sie werfen kann.<br /> Problematisch ist es, wenn jemand die möglichen Risiken NICHT kennt und sicher daher in (ggf. falscher) Sicherheit wähnt. Darauf habe ich hingewiesen - nicht mehr, nicht weniger.</div>