Ich bin mit verschiedenen Paßwörtern bei verschiedenen
Diensten lokal, im LAN und im Internet unterwegs. Es ist mir
jetzt schon oft passiert, daß ich wegen Hektik und Eile
unkonzentriert hier oder da mal ein Paßwort, das eigentlich
ganz woandershin gehört, eingegeben und auch abgeschickt habe.
In vielen Fällen wird das ja nichtmal für die Übertragung
verschlüsselt.
Die Administratoren kriegen somit also meine Paßwörter von
völlig anderen Diensten.
Muß ich davon ausgehen, daß diese mitgeloggt werden?
Wie hoch ist die Gefahr anzusehen, daß jemand Mißbrauch damit
treibt?
Gibt es Möglichkeiten, sich abzusichern?
Die Missbrauchsgefahr ist hoch. Normalerweise dürften Passwörter weder verschlüsselt noch unverschlüsselt übers Netz geschickt werden. Möglicherweise verwendest du als Passwort ja, weil du dir’s leicht merken kannst, den Pincode deiner Bankcard. Auch in diesem Falle darf kein Admin dein Passwort sehen oder entschlüsseln können.
Daher darf auf dem Server nur ein Hashcode deines Passworts gespeichert und nur dieser Hashcode übertragen werden. Allerdings solltest du auch in diesem Falle eine möglichst lange Kombination aus Gross-, Kleinbuchstaben, Ziffern und Sonderzeichen verwenden.
Aber auch das bietet dir noch keine Sicherheit. Wenn die Übertragung nicht über SSL erfolgt, kann jeder in den Logs den Hashcode abgreifen und sich mit diesem an deiner Stelle identifizieren. Mitgeloggt werden diese Daten in aller Regel, und wer an den Schaltstellen hockt, kann diese jederzeit missbrauchen.
Das Problem ist dabei weniger das Passwort, das eigentlich ganz woanders hingehört, ein gefundener Schlüssel nutzt mir nix, wenn ich die zugehörige Türe nicht kenne. Du bist auch ziemlich sicher, wenn du von daheim aus ins Netz gehst, und für verschiedene Dienste grundsätzlich verschiedene Passworte nutzt. Ganz anders sieht’s im Firmennetzwerk aus, wo nicht nur der Admin des Proxyservers, sondern jeder Kollege, wenn er einen Netzwerksniffer benutzt, deine Kommunikation abhören kann.
Ich habe diesbezüglich schon einige Protokollauswertungen gemacht. Während Banken ihre Lektion inzwischen offenbar gelernt haben, habe ich Bauklötze gestaunt über u. a. Freemailer, die mit SSL und https prahlen, aber Kennwörter unverschlüsselt über unsichere Verbindung schicken.
Gruss,
Schorsch