Wie sicher ist die Diceware-Methode?
Wie sicher sind Passwörter die mit der Diceware Methode erstellt wurden? Diese wurden ja mit einer Wörterliste erstellt, sind die auch sicher gegen Bruteforce und Dictionary Attacken? Der BSI empfehlt ja keine Passwörter zu verwenden die in Wörterbüchern vorkommen.
2 Antworten
Das Ergebnis ist nicht herleitbar. Wenn wir annehmen, der Angreifer weiß, daß es sich um Diceware handelt, dann hängt die Komplexität von Größe der Wortliste und Anzahl der (gezogenen) Wörter ab.
Beispiel, nutze ich ein Wörterbuch mit c.a. 10 000 Wörtern und ziehe zufällig 5 daraus, dann ergeben sich bei einem gezielten Angriff 1*10^20 Versuche, was schon recht ordentlich ist. Gehe ich von 10^9 Versuchen je Sekunde aus,, lande ich bei 1 Mio Jahre (Überschlagsrechnung).
Gehe ich davon aus, daß der Angreifer mein Wörterbuch und/oder die Sprache nicht kennt, wird es deutlich schwerer. Denn im Endeffekt müßte er dann sehr viel mehr Wörter probieren.
Also ja, Diceware ist schon recht sicher, wenn ausreichend viele Wörter gewürfelt wurden und der Wortvorrat entsprechend groß ist.
Ich möchte das mal exemplarisch demonstrieren:
TianzhaoFallsAeroBlitzKabumm.
Siehe auch das Beispiel von julihan41 - der Comic müßte nen XKCD sein. Ein anderer toller Klassiker aus dem Sicherheitsbereich ist:
Der BSI empfehlt ja keine Passwörter zu verwenden die in Wörterbüchern vorkommen.
Dabei geht es um Worte, die direkt im Wörterbuch stehen oder direkt miteinander zu tun haben: "Meine Katze heißt Leo."
Aber sowas wie
correcthorsebatterystaple
sind schon sicher, da sie keinen (offensichtlichen) Zusammenhang haben. Wenn man dann noch iwie Zahlen wo einbaut, dann ist das schon ziemlich sicher.
