Wie handhabt ihr es mit der Passwortkomplexität bei der Bitbox?
Nachdem ich mit meinen rissigen Fingerkuppen meistens beim ersten Anlauf das Passwort nicht richtig eingebe, überlege ich mir den Wechsel auf zahlen-only, z. Bsp. 10stellige Zahl.
nachdem ja nur 10 Versuche möglich sind, sollte das wohl reichen, oder ?
Da ich noch keine Passphrase habe, mir aber eine zulegen will und auch verstanden habe wie sie funktioniert, auch hier die Frage: Wie komplex soll sie sein ? reichen Zahlen ?
Die Passphrase soll mich nur schützen, wenn die 24 Wörter kompromitiert werden. grübel
Vermutlich kann man aber mit Script relativ schnell die Passphrase brute-forcen, also lieber doch lieber komplexer ?
Wenn du z.B. eine Passphrase möchtest, deren Sicherheitsniveau vergleichbar mit einer Mnemonic (mit 12 Wörtern) ist, bist du schon eher bei 20 Zeichen oder mehr. Geht es dir nur darum, dass ein Einbrecher nicht innerhalb von 5 Minuten deine Wallet leerräumt, dann reichen eventuell auch 10 Zeichen.
Diese Zeichenempfehlungen gelten in der Regel aber für zufällige Passwörter. „Heutescheintdiesonne“ hat auch 20 Zeichen, ist aber alles andere als sicher. Absolute Zeichenempfehlungen sind daher immer etwas schwierig.
Für die BitBox02 ist tatsächlich schon ein Gerätepasswort ab 5 Zeichen (mit Zahlen und Buchstaben) ausreichend. Neben der von dir genannten Limitierung von 10 Versuchen gibt es eine weitere Limitierung auf Hardware-Ebene, die einen effektiven Brute-Force-Angriff sehr unrealistisch macht.
Wenn du nur Zahlen nutzen willst, dann solltest du etwa 10 Ziffern nutzen, um auf einem ähnlichen Sicherheitsniveau zu bleiben (im Vergleich zu 5 Zeichen inkl. Buchstaben).
Ganz so entscheidend ist das aber gar nicht mehr, wenn du sowieso eine optionale Passphrase nutzt. Die ist schließlich sowas wie ein „zusätzliches“ Passwort, das du ebenfalls bei jedem Entsperren eintippen musst.
Ein Angreifer hätte keine Möglichkeit zu wissen, dass nur Zahlen im Einsatz sind.
Daher halte ich auch fünf Zahlen für ausreichend.
Besonders daher. Vielleicht könnte man in die notwendige Komplexität auch daran koppeln, wie wahrscheinlich es ist, dass jemand überhaupt Zugriff auf deine Bitbox bekommen könnte.
Liegt diese in einem Safe, hätte ich selbst auch keinen Schmerz mit einem vierstelligen Code. Unter vier würde ich dann auf keinen Fall gehen
Aber mal ernsthaft: Wenn ich geringere Passwortentropie damit relativiere, dass ein Angreifer davon nichts wissen könne, lande ich irgendwann bei einem Widerspruch. Ist das Passwort „aaaaaaaaaaaaaaaaaaa“ sicher, weil der Angreifer weiß schließlich nicht, dass er nur den Buchstaben a benutzen müsste?
Wenn ich ein Passwort angreifen müsste und nur 730.000 Versuche zur Verfügung hätte, wäre eine komplett zufällige Passwortsuche, von der du hier ausgehst, außerdem die allerletzte Wahl. Zuerst suche ich ein kleines Dictionary, Zahlen und Zeichenmuster ab. Eine fünfstellige PIN ist da geschenkt.
Es ging mir aber schließlich nur darum, klarzumachen, dass 5 Zahlen nicht vergleichbar mit 5 Zeichen sind, vor allem da es auch allgemein um Passwortsicherheit ging. Die Entropie eines Passworts ist die einzig wirklich sinnvolle Möglichkeit, einheitlich zu messen, wie sicher ein Passwort ist. Wenn die von 30 auf 15 Bit fällt wie hier, erwähne ich das halt, damit das mit der Empfehlung vom Hersteller konsistent bleibt, das ist alles.
Selbst das Passwort „aaaaaaaaaaaaaaaaaaa“ (Definitiv und ausdrücklich nicht empfohlen!!) wäre bei nur 10 Versuchen nicht absolut unsicher. Als Angreifer wüsste noch immer nicht, wie lang das Passwort ist.
Ist es „a“? Ist es „aa“? Ist es…
Auf mathematischem Level brauchen wir nicht zu diskutieren. Das ist deine Domäne.
Rein praktisch gesehen ist es aber in fast allen Fällen nahezu ausgeschlossen, dass ein Angreifer bei 10 Versuchen ein Passwort erraten kann, wenn keine weiteren Informationen zum Passwort vorliegen.
Lange Rede, kurzer Sinn: Nehmt einfach vernünftige Passwörter und schaut nicht, wie kurz ihr es machen könnt. Auch, wenn man damit davonkommen sollte.
Klar, unter der Annahme, dass dieses Limit immer greift, sind so ziemlich alle Gerätepasswörter sicher. Aber der Anspruch sollte allgemein schon sein, von der zusätzlichen Schutzebene auf Hardware-Ebene zumindest Gebrauch zu machen, also ein entsprechend komplexeres Passwort zu wählen, auch wenn es ein unwahrscheinlicher Sonderfall ist. Man hat schließlich für dieses Feature bezahlt…
