Alfred Passwort Workflow: schnell & sicher

Nach unseren ersten zwei Artikeln zum Thema Passwörter und Sicherheit soll es diesmal um die Möglichkeit gehen zwischendurch schnell mit Hilfe der Alfred App ein sicheres Passwort generieren zu lassen. Nutzer von Passwortverwaltungsprogrammen wie 1Password, Last Pass und Co. haben mit den enthaltenen Passwortgeneratoren bereits eine Möglichkeit auf die Schnelle ein sicheres Passwort zu generieren. Aber einerseits sind die Vorgehensweisen dieser Generatoren nicht sehr transparent und andererseits kommt man mit dem Alfred Workflow in der Regel schneller ans Ziel.

Falls es jemand noch nicht kennt: Alfred ist ein sehr ausgefeilte Launcher App, die ähnliche wie Spotlight (oder LaunchBar) funktioniert nur deutlich mehr Funktionen bietet. Dazu gehört auch die Möglichkeit eigene Workflows zu generieren. Der User Dean Jackson (keine Ahnung, ob das der Realname ist) hat einen sehr ausgefeilten, dabei aber sehr schnell zu nutzenden Alfred Workflow zum Generieren von Passworten geschrieben.

Der Workflow bietet folgende Funktionen:

  • Passwörter können basierend auf einer Vorgabe an Passwortstärke oder Passwortlänge generiert werden.
  • Man kann aus verschiedenen Generatoren auswählen, wie z.B. basierend auf realen Worten oder Pseudoworten generiert mit Markow Ketten.
  • Die Stärke des generierten Passwortes wird angezeigt.
  • Bequemere Bedienung als mit 1Password.
  • Vertrauenswürdiger als online Passwortgeneratoren zu nutzen.

Auch wenn der Workflow schnell und einfach nutzbar ist, gibt es doch eine Reihe an Einstellmöglichkeiten und da der Autor selbst in Deutschland ansässig ist, stehen auch Optionen für die Deutsche Sprache zur Verfügung wie die Nutzung von Umlauten in den Passworten oder die Verwendung von deutschen Worten.

Alfred App: Passwort Workflow Konfiguration
Alfred App: Passwort Workflow Konfiguration

Das wirklich Angenehme ist, dass man mit dem Aufruf von Alfred nur „pwgen“ tippen muss und schon erhält man eine Auswahl an sehr starken Passworten (mindestens 96 Bits Entropie), die man schnell in die Zwischenablage kopieren und nutzen kann.

Alfred App: Passwort Generation
Alfred App: Passwort Generation

Sollte man eine der vielen Funktionen nutzen wollen, ist dies über zusätzliche Angaben oder ändern der Einstellungen mit nur unwesentlich mehr Tastenanschlägen schnell geschehen.

Auf der GitHub Seite des Workflows findet man eine lesenswerte Anleitung (engl.) mit ausführlichen Erläuterungen und Hinweisen wie man eigene Passwortgeneratoren in das Script integrieren kann.

Ich bin sehr begeistert!

Download: Alfred Password Generator Workflow

PS: Leider konnte ich kein entsprechend ausgefeilten Workflow für LaunchBar finden. Obwohl für Kenner das Umschreiben des vorhandenen Workflows für Launchbar kein Hexenwerk sein sollte.

Passwort Artikelserie:

  1. Was macht ein sicheres Passwort aus?
  2. Diceware: wir würfeln uns ein Passwort
  3. Alfred Passwort Workflow: schnell & sicher
  4. … more to come!

 

Diceware: wir würfeln uns ein Passwort

Wir haben in unserem ersten Artikel die wesentlichen Elemente eines sicheren Passwortes dargestellt: es sollte nur einem selbst bekannt sein, aus einer mindestens acht, besser 14 Zeichen langen zufälligen Zeichenfolge bestehen und nur für jeweils einen Dienst verwendet werden.

Um von einem sicheren zu einem idealen Passwort zu werden, kommen aus Anwendersicht zwei weitere Kriterien hinzu, die nichts mit der Sicherheit zu tun haben:

  1. Das Passwort sollte leicht zu merken sein
  2. Das Passwort sollte leicht korrekt einzugeben sein.

Diese beiden Kriterien, die ein Passwort aus der Sicht des Anwenders leichter handhabbar machen, stehen meist im Gegensatz zu den Sicherheitsfaktoren Länge und Einmaligkeit einer zufälligen Zeichenfolge inkl. Nutzung von Sonderzeichen.

Jetzt kommen die Würfel ins Spiel: Diceware

Mitte der 90er Jahre hatte Arnold G. Reinhold die Idee zu einer Methode mit der sich eine hohe Passwortsicherheit mit den Kriterien leicht merkbar und leicht einzugeben verbinden lässt: Diceware.

Dice ist das englische Wort für Würfel und tatsächlich empfiehlt Reinhold in der ursprünglichen Fassung echte sechsseitige Würfel für seine Methode zu nutzen, um eine einwandfreie Zufälligkeit der Ergebnisse zu garantieren. Denn auch wenn wir uns meist keinerlei Gedanken darüber machen, ist die Erzeugung von wirklichen Zufallszahlen per Software keineswegs so trivial wie man annehmen möchte.

Eine Liste mit 7776 Worten

Basis für die Diceware Methode ist eine Liste mit 7776 Worten, die entsprechend vielen Zahlenkombinationen von 11111 bis 66666 (ohne Zahlen, die eine Null enthalten) zugeordnet sind, wie z.B.:

21613 drache
21614 draht
21615 drall
21616 dralle

53132 roemer
53133 roete
53134 roeten

Wie funktioniert die Passworterzeugung mittels Diceware?

Ausgerüstet mit mit einem (oder fünf) Würfel und der Wortliste (deutsche Version als Text– oder PDF-Datei), kann es losgehen:

  1. Man würfelt fünf Mal hintereinander oder man würfelt einmal mit fünf Würfeln und notiert sich die Zahlenfolge.
  2. Nun sieht man in der Wortliste nach, welches Wort der erwürfelten fünfstelligen Zahl zugeordnet ist und notiert sich dieses.
  3. Schritt Eins und Zwei werden fünf, besser sechs oder sieben Mal wiederholt.
  4. Am Ende hat man fünf bis sieben Worte, die durch Leerzeichen oder andere Separatoren (wie z.B. Punkte, Binde- oder Unterstrich) voneinander getrennt sind. Zusammen ergeben diese das neue Passwort.

Ein Beispiel: Ich würfele für sechs Worte jeweils fünf Mal und sehe nach dem passenden Wort in der Liste nach.

26215: gepard
26124: gelder
61211: tast
34542: kehlig
15213: bezirk
51134: prinz

Damit erhalte ich das Passwort:

gepard-gelder-tast-kehlig-bezirk-prinz

Erinnere Dich … !

Diese Kombination von bekannten Worten lässt sich sehr viel leichter merken als ein zufällige 14stellige Zeichenfolge, und ist trotzdem genauso schwer herauszufinden.

Das Auswendiglernen kann durch die Verwendung einer Erinnerungshilfe aus der Mnemotechnik erleichtert werden, wie z.B. die Konstruktion eines Satzes oder einer kleinen Geschichte aus den Worten (fällt mir bei meinem Beispiel nicht unbedingt leicht, aber …): Der Gepard benötigte Gelder und tastete an der Kehle des Bezirksprinzen.

Eine andere Variante wäre die Visualisierung eines Geparden mit Geldscheinen in der einen Pfote während dieser mit der anderen Pfote an seiner Kehle tastet während eine Prinzen ihm zeigt, dass der Gepard sich in seinem Bezirk befindet (z.B. aufgemaltes Rechteck auf dem Boden mit Aufdruck Bezirk).

Selbst wenn man keine Merktechnik verwendet, ist das Einprägen von fünf kurzen und bekannten Worten immer leichter als bei einer zufälligen Zeichenfolge.

Passwortsicherheit: ein Rechenbeispiel

Gehen wir davon aus, dass man mit der Diceware-Methode nur ein einziges Wort erwürfelt hat und dem Angreifer ist zusätzlich bekannt, dass man die Dicewaremethode genutzt hat und er weiß auch welche Liste man benutzt hat.

Dann muss dieser nur alle 7.776 Worte durchprobieren, um an das richtige Passwort zu kommen.

Erwürfelt man nun ein zweites Wort, muss der Angreifer alle möglichen 7.776 * 7.772 oder 7.776^2 Kombinationen durchprobieren. Das wären 60.466.176 Möglichkeiten.

Mit jedem zusätzlichen Wort erhöht man die Anzahl der Optionen um den Faktor 7.776 und bei fünf Worten gibt es bereits 7.776^5 Kombinationsmöglichkeiten:

14.000.000.000.000.000.000 !!!

Nun sollte man sich, wenn es um Passwörter geht, nicht so schnell von großen Zahlen beeindrucken lassen, denn die Fähigkeiten von Hard- und Software verbessern sich laufend – leider auch um Passwörter zu knacken (wie z.B. mit diesem Cluster aus 25 zusammengeschalteten Grafikkarten).

Um die Stärke eines Passwortes zu definieren wird die Einheit Entropie genutzt. Mit diesem Thema beschäftigen wir uns in einem späteren Artikel. An dieser Stelle nur so viel:

Ein aus sechs zufälligen Worten generiertes Diceware Passwort hat, genauso wie ein Passwort, das aus vierzehn zufälligen Zeichen besteht, eine Entropie von 78. Nach Berechnungen von Agile Bits würde im Jahr 2013 ein 4 GPU System auf dem die Passwort Cracker Software hashcat läuft etwa 12 Millionen Jahre benötigen, um ein Passwort mit der Entropie 78 zu knacken.

Ein beliebter xkcd-Comic beschäftigt sich ebenfalls mit dem Thema:

Diceware Tuning

Es existieren einige kleine Tricks, um Dicewarepassworte zu verstärken.

  1. Sonderzeichen hinzufügen: Man kann an einer Stelle statt des Seperators (Leerzeichen, Bindestrich, etc.) einfach ein Sonderzeichen einfügen.
  2. Fremd-Wort: Ein Wort, das nicht auf der Dicewareliste steht nutzen. Wichtig ist ein eher ungewöhnliches Wort auf zufälligem Wege auszuwählen.
  3. Kombination mit zufälliger Zeichenfolge: Man erstellt ein kurzes Zufallspasswort mit fünf bis sechs Zeichen inkl. Sonderzeichen (das natürlich nicht in der Dicewareliste enthalten ist) und kombiniert dies mit weiteren fünf oder sechs erwürfelten Worten.
  4. Weiter Kombinieren: Man die genannten Methoden auch fröhlich Kombinieren.

Es gibt für alles eine App: Dicewaregeneratoren

Bislang gibt es meines Wissens nur wenig Möglichkeiten sich automatisch per Software ein Diceware Passwort erzeugen zu lassen. Zunächst sollte man entscheiden, ob einem der höhere Aufwand mit der manuellen Erzeugung nicht die ebenfalls höhere Sicherheit wert ist. Ob die von einer Software erzeugten Zufallskombinationen wirklich so zufällig sind wie sie es sein sollten, ist von außen schwer einschätzbar. Hinzu kommt wer einen Online Service nutzt, kann nicht sicher sein, was gespeichert oder auf dem Weg durch das Internet abgefangen wurde.

Letztendlich habe ich bisher auch bis auf Skripte keine Apps oder Dienste gefunden, die mit einer deutschsprachigen Dicewareliste arbeiten.

Apps:

Online Generatoren:

Skripte:

Outsourcing:

Als kleinen Workaround für die Deutsche Sprache kann man die Zahlen per Generator erstellen und sieht dann einfach in der deutschen Liste nach.

Diceware: die umfassende Lösung für Passwörter?

Jetzt könnte man meinen, dass mit Diceware jegliche Passwortprobleme für immer gelöst sind. Leider ergeben sich aus der Methode auch Nachteile.

So überprüfen viele Programme und Dienste ein neu erstelltes Passwort auf verschiedene Kriterien, um so für sicherere Passwörter zu sorgen. Eigentlich eine gute Idee. Allerdings erfüllen die normalen per Diceware erstellten Passworte, die dabei verwendeten Kriterien nicht. Meist wird verlangt, dass ein neues Passwort Groß- und Kleinschreibung, Zahlen und Sonderzeichen beinhaltet, dafür aber meist keine Leerzeichen.

Wenn diese Kriterien angelegt werden, verweigert das jeweilige Programm oder der Dienst die Annahme eines Dicewarepasswortes.

Sicherlich kann man sich mit den o.g. Tipps behelfen und z.B. statt Leerzeichen auch Sonderzeichen zwischen den Worten nutzen, die Worte mit Großbuchstaben beginnen lassen und irgendwo eine Zahl integrieren. Dies macht die Dicewaremethode aber wieder weniger handhabbar. Ich vermute auch, dass viele Leser, ähnlich wie ich, schon langsam zur Weißglut kamen, weil die Passwortkriterien zu speziell waren und man das Passwort vier oder fünf Mal umarbeiten musste, weil zwar Sonderzeichen gefordert waren, aber es durften keine Unterstriche sein … etc.

Ein zweiter Punkt, der mittels Diceware generierter Passworte problematisch macht ist die schiere Länge der Passworte. So sind die insgesamt 38 Zeichen meines generierten Beispielpasswortes nicht ungewöhnlich für ein sechs Wort Passwort. Es gibt einige Dienste, die so lange Passwörter gar nicht zulassen. Hinzu kommt, dass das regelmäßige Tippen von 38 Zeichen auch kein allzu großer Spaß ist – auch wenn man keine Sonderzeichenverrenkungen machen muss.

Fazit: Diceware ist nur EINE Methode, aber eine solide

Ich würde Diceware nicht als allumfassende Lösung für alle Passwortprobleme sehen. Einerseits ist die sichere Erstellung mühselig und die Anwendbarkeit der langen Passworte auch eingeschränkt.

Allerdings sind Diceware Passworte für bestimmte Zwecke sehr gut geeignet, wie z.B. das Loginpasswort des Betriebssystems, eine Festplattenverschlüsselung, einen PGP Secret Key (was übrigens der Ausgangpunkt für die Entwicklung von Diceware war) oder der Zugang zur Passwortdatenbank bzw. dem Passwortmanager.

Ich persönlich greife lieber zu einer Kombination von Diceware mit den oben genannten Tuning Tipps insbesondere für meinen Passwortmanager. In diesem generiere ich dann lange und schwer zu merkende Zufallszeichenketten (kein Diceware) überwiegend für den Login in Onlineaccounts, da ich mir diese bereits seit Jahren nicht mehr alle merken kann.

Wir werden uns in weiteren Artikel noch andere Methoden zur Passworterstellung genauer ansehen.

Passwort Artikelserie:

  1. Was macht ein sicheres Passwort aus?
  2. Diceware: wir würfeln uns ein Passwort
  3. Alfred Passwort Workflow: schnell & sicher
  4. … more to come!

Ergänzung:

Wie kommt es zu genau 7.776 Worten auf der Diceware Liste?

Ich gebe zu ich bin zunächst auch auf dem Holzweg gewesen und habe mit einfacher Mathematik 66.666 minus 11.111 gerechnet und bin damit zu dem Ergebnis 55.555 gekommen.

Falsche Herangehensweise!

Die Frage ist ja wie viele verschiedene mögliche Zahlenkombination können aus dem fünfmaligen Werfen eines sechsseitigen Würfels entstehen. Dabei hilf einem in der Mathematik die Kombinatorik und das Ergebnis ergibt sich aus 6 hoch 5 (6^5) und ist damit genau 7.776.

Links und Quellen

Was macht ein sicheres Passwort aus?

Was macht eigentlich ein sicheres Passwort aus? Ich hoffe sehr, dass sich diese Frage schon jeder, der das hier liest, gestellt hat und hoffentlich einen guten, sicheren Weg gefunden hat, der auch regelmäßig in die Tat umgesetzt wird. Falls nicht oder zur Auffrischung des Hintergrundwissens haben wir hier die wichtigsten Faktoren gesammelt und aufgelistet.

Was gibt es bei der Erstellung eines Passwortes zu bedenken?

Falls man ein sicheres oder besser gesagt möglichst sicheres Passwort erstellen will, muss man heutzutage mehr Kriterien und vor allem in größerem Ausmaß berücksichtigen als vor 20 Jahren.

Passwort Bild mit SchloßKriterien für sichere Passwörter

Einzigartigkeit: Das Passwort sollte schwer zu erraten sein

Grundsätzlich sollte das jedem klar sein. Wozu ein Passwort vergeben, wenn es leicht zu erraten ist? Leider gehen viele Menschen hier von falschen Voraussetzungen aus, wenn es um die Beurteilung der Möglichkeiten anderer ein Passwort zu erraten oder zu ermitteln geht.

Keine persönliche Namen oder Daten

Sehr beliebt sind leider immer noch Passwörter, die aus persönlich relevanten Daten wie Geburts-, Jahres- Gedenktage oder Namen von Partnern oder Haustieren bestehen. Diese sind für nahestehende Personen leicht zu erraten oder wenn man über seinen Lieblingsdackel „Krümel“ oder den 10. Hochzeitstag in Sozialen Netzwerken postet, gibt man ungewollt das eigene Passwort selbst preis.

In der Kürze liegt NICHT die Würze!

Je kürzer ein Passwort ist, desto schneller lässt es sich durch einfaches Austesten von Zeichenkettenkombinationen ermitteln. Glücklicherweise lassen die meisten Dienste heutzutage keine zu kurzen Passwörter zu. Als sicher werden Passworte mit mindestens acht zufälligen Zeichen eingeschätzt. Wer mit Blick auch auf die nähere Zukunft ganz sicher gehen will, nutzt Zeichenketten mit mindestens 14 Zeichen.

Wörterbucher

Wer denkt er hätte mit dem 15 Zeichen Passwort „Motorradständer“ der oben genannten 14 Zeichen Empfehlung genüge getan ist auf dem Holzweg. Worte und sogar Sätze aus dem allgemeinen Sprachgebraucht sind ungeeignet.

Falls das verwendete Passwort ein Wort aus dem Duden, ein gängiger Name oder Kosename oder sogar ein ganzer Satz wie „Ich hasse Montags“ ist, kann dies über schlichtes Abgleichen mit Wörterbüchern ermittelt werden.

Hacker nutzen mehrere Strategien wie z.B. den Wörterbuchangriff (Dictionary Attack) bei denen als Passwort einfach alle Worte aus einem Wörterbuch durchprobiert werden. Vorher wird meist eine ‚Oft genutzte Worte‘ Strategie (Common Word Attack) verwendet, bei der Klassiker wie „Passwort“ als Passwort, „qwertz“, „123456“ oder die Verwendung des Nutzernamens als Passwort ausprobiert werden. Diese Passwörter sind leider bereits seit Jahren sehr beliebt: siehe Worst Password List 2015.

Die Verfremdung durch vor- oder nachgestellte Zahlen oder die Wandlung einiger Buchstaben in Sonderzeichen wie z.B. S zu $, H zu # oder 1 zu ! ist auch den Bösewichten geläufig und wird ebenfalls mit durchprobiert (weiterer Klassiker P@sswort).

(Es gibt eine Methode, die gängige Worte als Passwort verwendet und trotzdem als relativ sicher eingestuft wird: Diceware.)

Passwort Sammlungen

Leider gelingt es zwielichtigen Subjekten immer wieder Datenbanken großer Dienste wie eBay und Co. zu hacken und E-Mail-Passwortkombinationen zu entwenden. Zum Teil werden später diese Passwort Datensammlungen frei verfügbar im Internet veröffentlicht. Aus diesen lassen sich wieder typische Passwörter ermitteln oder wie im folgenden Punkt für andere Dienste nutzen.

Ein Passwort für alles

Selbst wenn man ein eigentlich gutes, sicheres Passwort erstellt, wird es problematisch, wenn man dieses vor lauter Freude und Bequemlichkeit nun überall nutzt. Wer viel im Netz unterwegs ist hat schnell 20 und mehr Accounts angelegt. Jetzt muss es Hackern nur bei einem gelingen die Passwörter auszulesen, dann ist auch der Zugang zu allen anderen Diensten, bei denen der Anwender die gleiche Kombination verwendet hat, möglich. Aus solchen Datenlecks entstandenen Passwortsammlungen werden wieder Passwortdatenbanken zum Durchprobieren erstellt.

E-Mailkonten im Fokus

Insofern sollte ein Passwort stets nur für einen Dienst verwendet werden. Auf das Passwort oder die Passwörter der E-Mail Konten sollte besonders geachtet werden. Da die meisten Onlinedienste ein Zurücksetzten des bestehenden Passwortes über die E-Mailadresse ermöglichen, kann ein Eindringling im E-Mailkonto sehr schnell erkennen bei welchen Onlineshops ein Konto vorhanden ist, dort über die „Passwort vergessen“ Option ein neues Passwort setzten und dann entspannt auf Kosten des eigentlichen Kontoinhabers shoppen gehen.

Passwort: Aber wie denn nun richtig?

Aus den oben genannten Kriterien ergeben sich folgende Regeln für ein sicheres Passwort:

  1. Zufall: Zufällige Zeichenfolge inkl. Groß- und Kleinbuchstaben und Sonderzeichen
  2. Länge: Länge der Zeichenkette: mindestens acht, besser 14 Zeichen
  3. Einmaligkeit: jedes Passwort nur für einen Dienst oder eine App nutzen
  4. Zwei Faktor Authentifizierung: Viele Dienste bieten bereits eine zwei Faktor Authentifizierung an, bei der über ein zusätzliches stetig wechselndes Passwort die Sicherheit weiter erhöht wird.

Bitte bei der Auswahl der Sonderzeichen bedenken, dass man diese später auf den Tastaturen der genutzten Geräte wiederfinden muss und beispielsweise Umlaute ÄÜÖ auf internationalen Tastaturen schwer zu erstellen sind. Es kann auch sehr anstrengend werden, wenn ein auf einem Smartphone häufig abgefragtes Passwort viel Zeichen enthält, die nur auf der dritten Tastaturebene zu finden sind.

Wer mehrere Passworte benötigt, ist in der Regel gut beraten einen Passwortgenerator zu verwenden. Diese sind in die gängigen Passwortmanager wie z.B. 1Password, LastPass oder Keypass integriert. So löst man gleich zwei Probleme gleichzeitig: die Erstellung einer zufälligen Zeichenkombination als Passwort und das Speichern dieses Passwortes, damit man später darauf zurückgreifen kann. Denn kein Mensch mit ’normalen‘ Gedächtnis wird in der Lage sein mehr als drei vierzehnstellige Zufallszeichenketten auswendig zu lernen.

Mit diesen Möglichkeiten werden wir uns in einem der nächsten Artikel beschäftigen.

Passwort Artikelserie:

  1. Was macht ein sicheres Passwort aus?
  2. Diceware: wir würfeln uns ein Passwort
  3. Alfred Passwort Workflow: schnell & sicher
  4. … more to come!

Festplatte verschlüsseln – warum?

Hast Du bereits deine Festplatte verschlüsselt? Nein? Dann keine Ausreden mehr: JETZT ist der richtige Zeitpunkt dafür. Warum das Verschlüsseln der Festplatte genauso Standard sein sollte wie die Vergabe von ordentlichen Passwörtern, wie man das macht und welche Auswirkungen dies auf deinen Arbeitsalltag hat erklärt der Artikel „FileVault: Wieso jeder Mac-Nutzer seine Festplatte verschlüsseln sollte“ auf hardwrk.com.

Jetzt !

Nicht nur lesen, sondern bitte gleich auch umsetzten oder zumindest für das Wochenende planen.

Ein einzigen Punkt berücksichtigt der Artikel leider nicht: Backups und die Cloud. Hier sollte man sich weitere Gedanken machen, denn ohne entsprechende Konfiguration funktioniert TimeMachine zwar genauso wie z.B. Dropbox auch mit FileVault, aber die Dateien werden extern erstmal wieder unverschlüsselt gespeichert.

FileVault: Festplatte verschlüsseln

Twitter hat da ein Problem

Es brodelt in der Web-2.0-Welt. Sicherheitsprobleme bei Twitter machen die Runde. Wie viele von Euch sicher schon gehört haben, gab es in den letzten Tagen einige Aufruhr wegen einiger unsauberer externer Twitterdienste.

Das große Problem ist, dass man bei Twitter für die Anbindung externer Dienste dort immer die kompletten Logindaten angeben muss. So etwas wie einen API-Key oder sonstige externe Authentifizierung über Dritte gibt es bei Twitter nicht. Auch nach vielen Monaten und vielen Beschwerden. Twitter zeigt sich dort wie auch in anderen Punkten sehr unbeweglich und uneinsichtig. Warum das so ist kann man wohl nur spekulieren.

Casi von zweipunktnull.org bringt nun ein neues Thema auf den Tisch. Die Tatsache, dass Facebook Twitter von heute auf morgen in die Tasche stecken könnte ist durchaus in gefährlicher Nähe und wenn einige Faktoren richtig stehen und Facebook eine Hand voll Schlüsselpersonen auf seine Seite ziehen kann, dann ist wohl tatsächlich von heute auf Morgen Ebbe im Twitterland.

Auf jeden Fall dann, wenn Twitter nicht schleunigst merkt, dass es nicht damit getan ist die Schäden einiger gehackter Accounts von Prominenten einfach wegzuwischen und so zu tun als wäre nichts gewesen. Ich würde die Hacks von Britney Spears, Obama, Foxnews und weiteren einfach mal als Warnung verstehen und als letzte Chance schnell was an den Sicherheitsvorkehrungen zu ändern – angekündigt haben sie’s.

Twitterdienste: Risiko und Chancen

Für $1200 wurde die noch sehr Junge Plattform Twply verkauft. Ein Dienst der es Twitter-Usern ermöglicht sich @replies per Email schicken zu lassen. Also etwas, was Twitter selbst auch mit Direct Messages macht. Ansich nützlich, aber…

Chancen und Risiken um externe Twitterdienste beschreibt Nico Lumma in seinem Beitrag über diesen Verkauf und die Login-Daten-Gefahr im Allgemeinen.

Der Unbeweglichkeit und steten Langsamkeit der Twitter-Betreiber ist es wohl zu verdanken, dass es immer noch keine ordentliche Auth-Lösung gibt.

WordPress 2.6.3 – dringendes Sicherheitsrelease

Heute Nacht wurde WordPress 2.6.3 als Sicherheitsrelease veröffentlicht. Es wird dringend empfohlen alle WordPress-Installationen zu aktualisieren. Die beiden betroffenen Dateien sind:

  • wp-includes/class-snoopy.php
  • wp-includes/version.php

Den Download gibt’s wie immer bei WordPress.org – die deutsche Version bei WordPress-Deutschland.org.

Weitere Informationen zur Sicherheitslücke gibts bei Secunia.

WordPress 2.6.2 – Sicherheitsrelease

Ohne große Vorankündigung wurde heute Nacht deutscher Zeit die Version 2.6.2 von WordPress released. Man umgeht dabei eine Gefahr mit SQL Column Truncations, auf die Stefan Esser kürzlich hingewiesen hatte. Wichtig ist dieses Update in erster Linie für Blogger, die öffentliche Benutzerregistrierungen auf ihrem WordPress-Blog ermöglichen. Mit Hilfe des in 2.6.1 enthaltenen Codes ist es bei Neuregistrierungen möglich mit Hilfe des Benutzernamens das Passwort eines anderen Benutzers auf ein neues (zufällig generiertes) Passwort zurückzusetzen. Da dem Angreifer das zufällig generierte Passwort nicht bekannt wird, ist dies kein ernsthaftes Sicherheitsproblem, aber auf jeden Fall ärgerlich.

Auch andere Anwendungen als WordPress könnten von diesem Problem betroffen sein. Ändern lässt sich das entweder mit Hilfe von Updates für die jeweiligen Anwendungen oder durch ein Update von Suhosin. Dafür ist aber natürlich Zugriff auf den Server nötig um die PHP-Erweiterung zu installieren/aktualisieren. Im Zweifelsfall hilft vielleicht ein Hinweis an den Webhoster.

[via]

WordPress und die Ansprüche bezüglich Sicherheit

Mal ehrlich: So langsam nervt die Sicherheitsdiskussion rund um WordPress. Eigentlich nicht wegen der (mangelnden) Sicherheit, sondern eher die Tatsache wie substanzlos die Diskussion geführt wird. Vorab: Ich bin wie die meisten zu wenig in Sachen PHP bewandert um die grundlegenden Sicherheitsprobleme von WordPress beurteilen zu können. Das ist aber auch gar nicht das Problem an der Diskussion. Das Problem ist vielmehr der Anspruch der erhoben wird. Dieser Anspruch richtet sich – für mich unverständlich – in letzer Zeit immer mehr gegen Automattic, den Betreiber von WordPress.com.

„WordPress und die Ansprüche bezüglich Sicherheit“ weiterlesen

WordPress Hacks, Cracks, Security (1)

In den letzten Tagen wird ja wieder einmal viel über die Sicherheit bzw. Unsicherheit von WordPress gesprochen. In erster Linie wird WordPress beschimpft wie schlecht und unsicher es doch ist. Das ist teilweise sogar unbestritten, ich will jedoch nicht weiter darauf eingehen. Wie so oft fehlt es bisher an praktischen Lösungsansätzen. Gar nicht mal so sehr wenn’s darum geht das eigene Blog abzusichern – dafür finden sich genügend Tipps – eher aber wenn’s darum geht nach Eindringlingen zu suchen und zu prüfen ob man selbst betroffen ist.

„WordPress Hacks, Cracks, Security (1)“ weiterlesen