Tom König hat sich ges­tern in sei­ner Kolumne War­te­schleife auf Spie­gel Online dar­über beschwert, dass jeder Dienst und jede Web­site einen eige­nen Login erfor­dert. Zudem plä­diert er dafür, ein­fa­che Pass­wör­ter wie »Mutti« zu verwenden.

Er argu­men­tiert bei den ein­fa­chen Pass­wör­tern damit, dass die beson­ders sen­si­ti­ven Ser­vices EC-Karte oder Mobil­te­le­fon nur mit einem sehr ein­fa­chen vier­stel­li­gen Code gesi­chert sind. Königs Argu­men­ta­tion greift aber hier deut­lich zu kurz. Er über­sieht einen ganz deut­li­chen Unter­schied zwi­schen einem Dienst wie Face­book und einer EC-Karte: Die EC-Karte hat ein nicht zu ver­ach­ten­des Zusatz­mo­men­tum gegen­über einem klas­si­schen Login — man muss die EC-Karte phy­sisch besit­zen und eine PIN ken­nen. Zudem wird die Karte nach drei Fehl­ver­su­chen gesperrt. Hier reicht also nicht nur Wissen.

Ein klas­si­scher Online Login funk­tio­niert aber meist nur mit Wis­sen. Und ein Teil des Wis­sens ist meist kein Geheim­nis. Sei es E-Mail-Adresse, Benut­zer­name oder — schon etwas gehei­mer — die Kun­den­num­mer. Hier muss also das Pass­wort den allei­ni­gen Schutz gewähr­leis­ten. Folg­lich muss das Pass­wort auch mehr Kom­bi­na­tio­nen als eine vier­stel­lige Zahl haben (das sind genau 10000). Diese könnte man in einer für einen Rech­ner recht über­schau­ba­ren Zeit durch­pro­bie­ren. Ähnlich ein­fach sind auch Dictionary-Attacks, bei denen nach­ein­an­der Wör­ter aus einem Wör­ter­buch durch­pro­biert wer­den, zu rea­li­sie­ren. Ins­be­son­dere, wenn man über ein Bot­netz ver­fügt. Natür­lich wer­den auch hier Sper­ren nach einer bestimm­ten Anzahl von Fehl­ver­su­chen seit lan­gem imple­men­tiert, aber auch diese sind ja nur eine Ver­lang­sa­mung des Problems.

Ein wich­ti­ges Ele­ment ist aber auch, dass man für jeden Dienst ein eige­nes Pass­wort nut­zen sollte. Dies kann natür­lich nach irgend­ei­ner merk­ba­ren Regel gebil­det wer­den. Dabei schlie­ßen sich leicht zu mer­ken und sicher nicht gegen­sei­tig aus. Oder man nutzt einen Passwort-Safe wie 1Password und Last­Pass. Ganz nach Gusto. Den­noch: ohne ein wenig Hirn­schmalz, wie man mit sei­nen Zugangs­da­ten umgeht, geht es bei rein wis­sens­ba­sier­ten Zugangs­sys­te­men nicht.

Google geht mit der 2-Step-Verification wie­derum den Weg einer Kom­bi­na­tion aus Wis­sen und Besitz. Und zwar in einer sehr kom­for­ta­blen Weise. Der Besitz­nach­weis muss nicht bei jedem Log­in­ver­such erbracht wer­den, es reicht die ein­ma­lige Veri­fi­ka­tion in einem bestimm­ten Zeit­raum an einem Rech­ner — bei Google alle 30 Tage.

Königs Arti­kel ist mei­nes Erach­tens nach eine große Gefahr, ruft er doch zu einer deut­lich zu gerin­gen Vor­sicht beim Umgang mit Pass­wör­tern auf. Wird die Benutzer/Passwort-Kombination an einer Stelle her­aus­ge­fun­den, kön­nen inner­halb kür­zes­ter viele andere Ser­vices betrof­fen sein. Und dann ist die Kacke am dampfen…

 
 
10. Apr. 2008

Screenshot twitter

Anfangs fand ich twit­ter sehr komisch. Wozu soll es gut sein? Wofür kann man es benut­zen? Jetzt ein Jahr spä­ter hat sich das Blatt deut­lich gewen­det. twit­ter ist zu einem mei­ner pri­mä­ren Kom­mu­ni­ka­ti­ons­me­dien gewor­den. Ich benutze es zur Kom­mu­ni­ka­tion mit Freun­den, als Pro­blem­lö­sungs­tool und um ein­fach up-to-date zu blei­ben. Viele Ideen nutze ich schon praktisch.

Vor eini­gen Jah­ren haben wir in einem Pro­jekt an der FH einen SMS–Ser­ver gebas­telt, mit des­sen Hilfe Dozen­ten ihren Stu­den­ten kurze Nach­rich­ten wie »Heute fällt die Vor­le­sung aus.« oder »Vor­le­sung ver­legt in Raum ABC« über­mit­teln könn­ten. Mitt­ler­weile würde ich so einen Dienst über twit­ter rea­li­sie­ren. Ich würde mei­nen Stu­den­ten zuerst eine kurze twit­ter Ein­füh­rung geben. Anschlie­ßend würde ich ihnen ent­we­der einen vor­le­sungs­spe­zi­fi­schen oder einen all­ge­mei­nen twit­ter Account mit­tei­len. Wel­che Vari­ante davon ich nut­zen würde, ist ein biss­chen Stern­deu­te­rei, hier wür­den Fak­to­ren wie Struk­tur der Hörer ein­flie­ßen. Die Stu­den­ten müss­ten dann den Account fol­lo­wen. Wie sie sich benach­rich­ti­gen las­sen müss­ten sie dann selbst ent­schei­den. Sogar eine SMS Benach­rich­ti­gung ist ja kos­ten­frei. Wesent­li­che Ankün­di­gun­gen wür­den dann im Wesent­li­chen nur noch über twit­ter — natür­lich mit Anbin­dung an meine per­sön­li­che Web­site — erfol­gen. Selbst meine direkte Kom­mu­ni­ka­tion mit den Stu­den­ten würde via twit­ter lau­fen kön­nen. Zumin­dest als Expe­ri­ment wäre das nicht uninteressant.

Natür­lich las­sen sich noch eine ganze Menge ande­rer Sze­na­rien ent­wi­ckeln. Ein »Rock für Zivil­cou­rage« oder ein »Rock am Zoll« würde mitt­ler­weile nicht mehr ohne twit­ter Account aus­kom­men. Und natür­lich auch nicht ohne ein ent­spre­chen­des twit­ter­verse Moni­to­ring.

Sehr schöne twit­ter Ein­füh­run­gen gibt es bei Caro­line Midd­le­brook und Oli­ver Über­holz. Viel­leicht kommt ja twit­ter auch bald in der nor­ma­len Welt an. Es wäre sehr nett.

 
 

Meine Num­mer 1, jetzt ein Jahr her:

Erster Tweet

Warum? Darum!

 
 
26. Feb. 2008

Zumin­dest aus unse­ren Gedan­ken. Diese pro­vo­kante These hat Macx heute zumin­dest getroffen:

Eigent­lich soll­ten wir den Inter­net Explo­rer 6 und 7, und gern auch die 8. Ver­si­ons­num­mer igno­rie­ren. Wir schlie­ßen die Benut­zer­grup­pen nicht aus, und packen bestimmt nicht wie damals einen Satz unter die Web­seite nach dem Motto „opti­miert für Web­stan­dards“. Nein, statt des­sen wird die Web­seite eben bei dem einen Brow­ser gut aus­se­hen, und bei den ande­ren weniger.

Und ich finde er hat in gewis­ser­weise recht. Ich kann mich noch sher gut an die One-Dollar-For-Netscape-Initiative erin­nern. Damals war der Net­scape 4.7 das Hass­ob­jekt der Webent­wick­ler. Und es wurde Geld gesam­melt um Net­scape zu kau­fen und dann platt­zu­ma­chen. Naja, das hat dann ja dan­kens­wer­ter­weise AOL getan. Und zusätz­lich den Quell­code geöff­net. Und kurz dar­auf erblickte die Gecko-Engine das Licht der Welt und wurde gut.

Viel­leicht kann man, so wie Macx es vor­schlägt, Micro­soft dazu brin­gen, end­lich einen kon­for­men Brow­ser zu ent­wi­ckeln. Der IE8 könnte es ja wer­den. Und wie man damit umge­hen kann hat Ger­rit heute mor­gen sehr schön beschrie­ben:

Ich werde also zäh­ne­knir­schend die­sen Meta-Edge-Kram auf mei­nen Sei­ten inte­grie­ren, wenn denn alles so kommt, wie es der­zeit pro­pa­giert wird. Hilft ja nix. Denn sollte der IE 8 einen ähnlich gro­ßen Schritt in die Standards-Richtung machen wie der IE7, schont das in mit­tel­ba­rer Zukunft sehr meine Entwickler-Nerven. Da bin ich dann ganz Pragmatiker.

 

 
 
neuere Einträge
 
Creative Commons-Lizenz BY-NC-SA 3.0 DE