Kontrolleure

Wie sicher das gewählte Passwort ausfällt, prüft das Kommandozeilenprogramm cracklib-check. Es gehört unter Ubuntu zum Paket cracklib-runtime, bei OpenSuse versteckt es sich im Paket cracklib. Nach dem Start von Cracklib-check scheint erst einmal nichts weiter zu passieren. Tippen Sie jetzt einfach das zu prüfende Passwort ein und drücken Sie die Eingabetaste. Cracklib-check gibt dann seine Meinung dazu aus (Abbildung 4). Anschließend prüfen Sie auf die gleiche Weise weitere Passworte. Sie beenden Cracklib-check mit [Strg+C].

Abbildung 4: Cracklib-check nimmt die Qualität der Passwörter unter die Lupe.

Wenn Sie Ihr eigenes Passwort ändern und das neue vorher einer Prüfung unterziehen möchten, dann sollten Sie einen Blick auf das Programm pwqcheck werfen. Meist steckt es in einem Paket namens passwdqc. Nach dem Aufruf in einem Terminalfenster zeigt es wie Cracklib-check erst einmal nichts an. Jetzt tippen Sie Ihr bisheriges Passwort ein, drücken die Eingabetaste, geben das neue Passwort ein, drücken wieder die Eingabetaste und nennen Ihren Benutzernamen. Nach einem erneuten Druck auf die Eingabetaste liefert Ihnen Pwqcheck eine detaillierte Einschätzung (Abbildung 5).

Abbildung 5: Pwqcheck prüft ein Passwort und gibt zusätzlich auch noch einen Hinweis darauf, was es an diesem zu bemäkeln hat.

Eine etwas schickere Prüfung ermöglichen viele Distributionen direkt in der Benutzerverwaltung. Allerdings müssen Sie dazu durchweg die Änderung des eigenen Passworts anstoßen – auch wenn Sie dies dann letztendlich nicht vornehmen. Unter Ubuntu rufen Sie die Systemeinstellungen auf (beispielsweise über das Dash), aktivieren die Einstellung Benutzer, klicken auf die Punkte neben Passwort und tragen dann unter Neues Passwort das zu prüfende Passwort ein. Direkt unter dem Feld zeigt der Balken an, für wie sicher Ubuntu das Passwort hält (Abbildung 6).

Abbildung 6: Die Passwortprüfung in Ubuntu ist zwar schick, gibt aber nur wenig Hinweise darauf, was mit dem Passwort nicht stimmt.

Im Idealfall erscheinen vier grüne Balken und die Angabe Stark. Übrigens können Sie hier auch über die Schaltfläche mit dem Zahnrad weitere Passwörter generieren lassen, die dann aber witzigerweise häufig die Prüfung nur mit Ausreichend bestehen. Schließen Sie das Fenster unbedingt mit Abbrechen – andernfalls könnten Sie versehentlich Ihr Passwort ändern.

Ungleiche Behandlung

In KDE öffnen Sie die Systemeinstellungen, wechseln dort zu den Benutzerkontodetails und klicken auf Passwort ändern. Jetzt müssen Sie einmal Ihr aktuelles Passwort preisgeben. Im nächsten Fenster tippen Sie dann das zu prüfende Passwort ein, der Balken zeigt umgehend dessen Qualität an (Abbildung 7). Denken Sie auch hier wieder daran, auf Abbrechen zu klicken, um nicht versehentlich Ihr Passwort zu ändern.

Abbildung 7: Unter KDE zeigt der Passwortstärkeanzeiger, wie sicher das eingegebene Passwort ist.

Erstaunlicherweise bieten Passwort-Verwaltungsprogramme nur selten eine Prüfung an. Eine der wenigen Ausnahmen stellt Keepass [5] dar. Unter Ubuntu finden Sie das Mono-Programm in den Repositories, für andere Distributionen richten sie es aus aus dem Quelltext-Archiv ein. Nach dem Start mittels mono KeePass.exe wählen Sie File | New ... und erstellen eine beliebige neue Datenbank, egal welchen Namens.

Im nun erscheinenden Fenster tippen Sie das zu prüfende Passwort in das Feld Master password ein. Keepass zeigt das Ergebnis seiner Tests neben Estimated Quality an (Abbildung 8). Dabei legt es wesentlich härtere Maßstäbe an als etwa die Ubuntu-Benutzerverwaltung. Um hier in den grünen Bereich zu kommen, muss das Passwort unter anderem wesentlich länger sein.

Abbildung 8: Keepass prüft alle Passwörter. Das hier eingetippte bietet einen unzureichenden Schutz.

Dies zeigt gleichzeitig, dass es keine allgemeingültige, objektive Prüfung gibt. Das Ergebnis hängt immer von den Kriterien ab, die der Autor des jeweiligen Prüfprogramms für zwingend oder sinnvoll erachtet. Mitunter bewerten die Tests sogar einfache Passwörter wie 123456abcdef als stark und wiegen Sie so in falscher Sicherheit.

Und es gibt noch ein Problem: Linux muss Ihr Passwort kennen, um es bei der Anmeldung am System überprüfen zu können. Ihre Distribution speichert das Passwort dazu verschlüsselt auf der Festplatte (in der Regel in der Datei /etc/shadow). Mit der gleichen Methode arbeiten auch alle Dienste im Internet, sei es nun Facebook, Twitter oder Google.

Die Sicherheit Ihres Passworts hängt somit aber auch maßgeblich davon ab, welches Verschlüsselungsverfahren dabei zum Einsatz kommt. Ein Qualitätstest für Ihr Passwort müsste folglich zunächst Ihr Passwort mit dem jeweiligen Verfahren verschlüsseln und dieses dann versuchen zu knacken. Alle hier vorgestellten Qualitätsprüfungen können daher nur eine erste Einschätzung liefern.

Gefährliches Internet

Im Internet warten zahlreiche Seiten, die Ihr Passwort überprüfen möchten. Ein Beispiel ist das schicke Password Meter [6] aus Abbildung 9. Wenn Sie ein Passwort dort eintippen, kennt es allerdings zumindest der Betreiber des Prüfdiensts. Schlimmer noch: Erfolgte die Prüfung über eine ungesicherte Verbindung, könnte jemand das Passwort mitgelesen haben. Das ist in etwa so, als hätten Sie die PIN-Nummer Ihrer EC-Karte auf eine Postkarte geschrieben und an eine Raffzahn-Prüf-GmbH geschickt – unter dem Strich keine gute Idee.

Falls Sie unbedingt einen Prüfdienst im Internet nutzen möchten, sollten Sie auf einen zumindest einigermaßen vertrauenswürdigen Vertreter zurückgreifen. Beispielsweise bietet der Datenbeauftragte des Kantons Zürich eine Passwort-Prüfung an, die sogar über eine gesicherte Verbindung erfolgt [7].

Analoges gilt übrigens auch für alle Passwortgeneratoren im Internet: Auch hier kennt der Betreiber der Seite das Passwort, er könnte Ihnen sogar extra ein schlechtes beziehungsweise schwaches Exemplar unterschieben. Greifen Sie daher besser zu lokalen Passwortgeneratoren und Prüfprogrammen.

Abbildung 9: Der Internetdienst Passwort Meter zeigt zwar sehr schön an, was es an dem eingegebenen Passwort auszusetzen hat, kommuniziert aber nur über eine unsichere Verbindung.

Diesen Artikel als PDF kaufen

Express-Kauf als PDF

Umfang: 5 Heftseiten

Preis € 0,99
(inkl. 19% MwSt.)

LinuxCommunity kaufen

Einzelne Ausgabe
 
Abonnements
 
TABLET & SMARTPHONE APPS
Bald erhältlich
Get it on Google Play

Deutschland

Ähnliche Artikel

  • Passwörter mit pwgen generieren
  • Tag der offenen Tür
    Nicht selten verwenden Anwender viel Zeit für das Absichern ihres Rechners und übersehen dabei die größte aller Sicherheitslücken: Schwache Passwörter.
  • Passwörter sicher verwalten mit Keepassx
    Wirklich sichere Passwörter geraten leicht zu lang und zu kompliziert. Mit dem Passwortmanager Keepassx spielen Komplexität und Länge keine Rolle mehr. Das sorgt für mehr Sicherheit bei sensiblen Daten.
  • Fingerübung
    Die Pluggable Authentication Modules, kurz PAM, erlauben auf vielfältige Weise die Authentifizierung am System – etwa per Fingerabdruck.
  • Shell-Tipps
    Erfahrene Linux-Nutzer schwören auf flexible Kommandozeilentools, mit denen sie manche Aufgabe schneller bewältigen als in grafischen Programmen. Wir stellen interessante Anwendungen und Aufrufparameter vor, um auch Einsteiger zu einem Ausflug in die Shell zu ermutigen.
Kommentare

Infos zur Publikation

LU 11/2017: Server für Daheim

Digitale Ausgabe: Preis € 8,50
(inkl. 19% MwSt.)

LinuxUser erscheint monatlich und kostet 5,95 Euro (mit DVD 8,50 Euro). Weitere Infos zum Heft finden Sie auf der Homepage.

Das Jahresabo kostet ab 86,70 Euro. Details dazu finden Sie im Computec-Shop. Im Probeabo erhalten Sie zudem drei Ausgaben zum reduzierten Preis.

Bei Google Play finden Sie digitale Ausgaben für Tablet & Smartphone.

HINWEIS ZU PAYPAL: Die Zahlung ist ohne eigenes Paypal-Konto ganz einfach per Kreditkarte oder Lastschrift möglich!

Stellenmarkt

Aktuelle Fragen

Lieber Linux oder Windows- Betriebssystem?
Sina Kaul, 13.10.2017 16:17, 3 Antworten
Hallo, bis jetzt hatte ich immer nur mit
IT-Kurse
Alice Trader, 26.09.2017 11:35, 2 Antworten
Hallo liebe Community, ich brauche Hilfe und bin sehr verzweifelt. Ih bin noch sehr neu in eure...
Backup mit KUP unter Suse 42.3
Horst Schwarz, 24.09.2017 13:16, 3 Antworten
Ich möchte auch wieder unter Suse 42.3 mit Kup meine Backup durchführen. Eine Installationsmöglic...
kein foto, etc. upload möglich, wo liegt mein fehler?
kerstin brums, 17.09.2017 22:08, 5 Antworten
moin, zum erstellen einer einfachen wordpress website kann ich keine fotos uploaden. vom rechne...
Arch Linux Netzwerkkonfigurationen
Franziska Schley, 15.09.2017 18:04, 0 Antworten
Moin liebe Linux community, ich habe momentan Probleme mit der Einstellung des Lan/Wlan in Arc...