Quote from: cschmitz on June 25, 2011, 11:55:05 PM

Es gibt 2011 keinen Grund mehr manuell erstellte und kurze Passwörter zu nutzen. Wenn ein anständig starkes Passwort verwendet wurde dann hat MTGOX in allen mir bekannten Fällen bei korrektem Claiming den Account den entsprechenden Nutzern freigeschaltet.
Mit anständigem Passwort meine ich so ungefähr die Richtung hier:

Code:

HG--&z3KFrv^NvutDcAhrx+vwo`jR.5jeMf"HUIzvYNSS.!qRm#406YYW8i^J8r_T*=aE#A7+Jx*y3_ut-_+$870b/o12CW4m4eo$&1X=CznoS':"DccxsQ`gFCu!!HxE6:O#CK^0;:f9Q,U;z2%j*;S%!cd+7=?=vK'A-eEA5j$\lWFtuBqNzY\P;a65sjH^\1fXRNA

Ach, das ist doch übertrieben. Da hat man höchstens Pech, dass der Webserver das Passwort irgendwo abschneidet... und später mal nach einem Update vielleicht weiter hinten absäbelt - und man nicht mehr in seinen Account kommt. Wobei MD5 und andere Hashes beliebig lange Passwörter schlucken, da kann man also auch "piep", Krieg&Frieden oder die Wikipedia reinschieben... es kommt immer ein gleich langer (aber nicht gleicher!) 128bit-Hash raus.

Ohne Salz können MD5-gehashte Passwörter mit unter ~10 Zeichen ruck-zuck geknackt werden, Rainbow-Tables sei Dank. Mit ein paar rechenstarken Maschinen und guten Rainbow-Tables mag das auch für 11, 12 oder 13 Zeichen lange Passwörter gelten. Egal.

Einfache Rainbow-Tables benutzen nur alphanumerische Zeichensätze (a-z, A-Z, 0-9), aufwendigere haben auch die üblichen Sonderzeichen und Leerzeichen drin. Umlaute oder normal nicht verwendete ASCII-Zeichen finden sich nicht in üblichen Rainbow-Tables (die dann bereits mehrere hundert GByte große sind). Aber sowas gibt es, und man kann sich Rainbow-Tables auch mit jedem beliebigen Zeichensatz selbst berechnen (auch per GPU Wink

).

Wer also ein Passwort benutzt, dass meinetwegen 20 Zeichen lang ist und Klein-/Großbuchstaben, eine Ziffer ein Sonderzeichen und einen Umlaut besitzt, kann mit den üblichen Rainbow-Tables praktisch schon nicht mehr geknackt werden. Auch Brute-Force mit Hilfe der GPU (Elcomsoft etc.) ist bei 20 Zeichen praktisch aussichtslos.

Also: Ein sicheres (und dämliches) 24-Zeichen-Passwort kann sogar so aussehen: "Aa§ü12345678901234567890" und ist einfach zu merken. Wer den Gegenbeweis antreten will soll mir mal zeigen, in welchen Rainbow-Tables auch Umlaute sind, wie man damit 24-Zeichen-PW findet... oder wie man über Brute-Force ein 24-Zeichen-PW knacken kann.

So, das waren *ungesalzene* Hashes. Mt.Gox und eigentlich alle anderen Systeme nutzen aber Salz, ver-milliardenfachen als den Rechenaufwand für Hacker nochmal. Fazit: unknackbar.

Wer sich jetzt aber einen Trojaner mit einem Keylogger einfängt... tja, dem fischt das böse Tool in einer Nanosekunde sein auch noch so langes oder kompliziertes oder sicheres Passwort weg - und das wars dann. Wink