 | |||||||||||||||||||||||
Navigation • Home
| Sicheres Passwort für den Adminbereich erstellen
Wer Ihr Passwort für den Adminbereich kennt, braucht keine Sicherheitslücke. Er meldet sich an wie Sie, löscht in zwei Minuten alle Kategorien oder lädt Bilder hoch, die Sie nie zeigen wollten. Im Systemprotokoll steht dann eine ganz normale, erfolgreiche Anmeldung. Ein starkes Passwort ist deshalb die billigste Absicherung, die Ihre Galerie bekommen kann. Diese Anleitung zeigt, wogegen es schützen muss, wie Sie eines bauen, das Sie sich trotzdem merken können, und was das Bildergalerie-Script dabei selbst übernimmt.
Zwei Wege, ein Passwort zu knackenDer erste Weg führt über das Anmeldeformular. Ein Programm schickt dort Benutzername und Passwortkandidaten ab, einen nach dem anderen. Diesen Weg kann die Galerie selbst bremsen, indem sie nach einigen Fehlversuchen eine Pause erzwingt. Wie stark diese Bremse wirkt, rechnen wir weiter unten durch. Der zweite Weg ist gefährlicher, weil ihn keine Sperre aufhält. Er beginnt mit einer Kopie Ihrer Datenbank, zum Beispiel einer Sicherung namens galerie.sql, die nach einem Umzug noch im öffentlichen Ordner des Webspace liegt, oder einem Export, der als Mailanhang durch fremde Postfächer gewandert ist. Darin steht Ihr Passwort für den Adminbereich nicht im Klartext, sondern als Hash. Wer die Datei hat, kann auf dem eigenen Rechner beliebig viele Kandidaten durchrechnen, ohne dass Ihre Galerie davon etwas merkt. Gute Verfahren wie bcrypt sind absichtlich langsam, damit das lange dauert. Passwörter aus bekannten Listen fallen trotzdem zuerst, weil der Angreifer genau mit diesen Listen anfängt. Was ein Passwort für den Adminbereich stark machtGegen beide Wege helfen dieselben Eigenschaften. Komplizierte Regeln wie „mindestens ein Sonderzeichen“ sind dabei weniger wert als ihr Ruf.
Die letzte Regel wird am häufigsten verletzt. Wer die Fotos des Kleingartenvereins „Sonnenblick“ verwaltet, wählt erstaunlich oft etwas wie Sonnenblick1987, und genau diese Kombination aus sichtbarem Namen und Jahreszahl probieren Angreifer früh. Zwei Methoden für ein merkbares PasswortEin Passwort, das Sie sich nicht merken können, endet auf einem Zettel unter der Tastatur. Zwei Verfahren liefern lange Passwörter, die trotzdem im Kopf bleiben. Die Satzmethode geht so:
Aus „Unser Hund Bruno frisst jeden Morgen 2 Eier vom Hof der Nachbarn!“ wird so UHBfjM2EvHdN! mit 13 Zeichen. Bilden Sie Ihren eigenen Satz, dieses Beispiel steht jetzt im Internet. Die Wortfolge funktioniert anders. Sie lassen sich vier Wörter zufällig auswürfeln, etwa mit einer Würfelliste aus 7776 Wörtern, bei der fünf Würfe ein Wort bestimmen, oder Sie lassen sie von einem Passwortmanager vorschlagen. Heraus kommt zum Beispiel „kiesel tango morgen fliederbusch“. Jedes der vier Wörter ist eines von 7776, zusammen sind das 7776 hoch 4, rund 3,7 Billiarden Kombinationen. Acht zufällige Kleinbuchstaben bringen es auf 26 hoch 8, gut 208 Milliarden, also rund 17.500-mal weniger. Wichtig ist das Wort „zufällig“: Vier Wörter, die Sie selbst aussuchen, ergeben meist einen sinnvollen Satz, und der ist leichter zu erraten. Das Diagramm stellt beide Verfahren nebeneinander.  Fünf Kandidaten im VergleichDie folgende Tabelle bewertet Passwörter, wie Galeriebetreiber sie tatsächlich wählen. Der Maßstab ist immer derselbe: Wie früh käme ein Angreifer mit Listen und Ausprobieren darauf?
Als Faustregel taugt die Frage, ob jemand, der Ihre Galerie und Ihr Profil in sozialen Netzen kennt, das Passwort in zehn Versuchen erraten könnte. Lautet die ehrliche Antwort „vielleicht“, wählen Sie neu. Aufbewahren und weitergebenEin Passwortmanager ist für einen Galeriebetreiber kein Luxus. Er merkt sich das lange Passwort für den Adminbereich, füllt es nur auf der richtigen Adresse ein und warnt, wenn Sie es anderswo schon verwendet haben. Sie selbst merken sich nur noch das Hauptpasswort, und genau dafür eignet sich die Wortfolge. Den Passwortspeicher des Browsers nutzen Sie nur am eigenen Gerät, nie am Rechner im Vereinsheim. Papier ist kein Fehler, solange es richtig liegt. Bewährt hat sich ein verschlossener Umschlag zu Hause, etwa bei den Unterlagen für den Notfall, nicht im Portemonnaie und nicht am Bildschirm. Auf den Zettel gehört nur das Passwort, nicht dazu die Adresse der Verwaltung und der Benutzername; wer ihn findet, soll nicht alle drei Teile auf einmal haben. Für einen Verein kann ein zweiter Umschlag beim Vorstand liegen, damit die Galerie nicht verwaist, wenn der Verwalter ausfällt. Ändern Sie das Passwort, sobald Sie den Verdacht haben, dass jemand mitgelesen hat, etwa nach einer Vorführung am Beamer oder wenn ein Umschlag geöffnet wurde. Ein Passwort für mehrere PersonenStellen drei Leute aus dem Fotoclub Bilder ein, ist ein gemeinsames Passwort bequem, aber jedes Ausscheiden zwingt alle zu einem neuen. Besser bekommt jede Person ein eigenes Konto. Im Bildergalerie-Script geht das nicht in der Oberfläche, sondern nur per SQL in der Tabelle Was das Bildergalerie-Script vorgibtDas Bildergalerie-Script prüft beim Passwort für den Adminbereich genau eine feste Regel: mindestens 8 Zeichen, im Installer wie auf der Seite „Passwort ändern“. Umlaute zählen als ein Zeichen, Ziffern oder Sonderzeichen erzwingt das Script nicht. Leerzeichen sind erlaubt, eine Wortfolge mit Leertasten funktioniert also. Das Script schneidet sie auch nicht ab, weder am Anfang noch am Ende; ein versehentlich getipptes Leerzeichen hinter dem letzten Wort gehört zum Passwort. Die 8 Zeichen sind eine Untergrenze, keine Empfehlung. Ältere, kürzere Passwörter aus früheren Versionen bleiben gültig, bis Sie sie ändern. Gespeichert wird das Passwort nur als bcrypt-Hash, im Klartext steht es nirgends. Zum Ändern öffnen Sie in der Verwaltung den Menüpunkt „Passwort ändern“. Die Seite hat die Felder „Aktuelles Passwort“, „Neues Passwort“ und „Neues Passwort wiederholen“. Einen Passwort-Generator gibt es nicht, dafür nutzen Sie Ihren Passwortmanager. Diese Meldungen können erscheinen:
Was die Anmeldesperre ausrichtetNach 5 Fehlversuchen innerhalb von 5 Minuten sperrt das Script den Zugang für 5 Minuten, gezählt je IP-Adresse und je Benutzername. Über das Anmeldeformular schafft ein Angreifer damit höchstens rund 1440 Versuche am Tag für Ihren Benutzernamen. Acht zufällige Kleinbuchstaben mit ihren 208 Milliarden Möglichkeiten bräuchten so im ungünstigsten Fall rund 400.000 Jahre. Ganz anders sieht es bei einem echten Wort aus: Eine Liste mit 100.000 gängigen Passwörtern wäre nach etwa 70 Tagen abgearbeitet, die 1000 häufigsten schon nach rund 17 Stunden. Die Sperre bremst also nur, die eigentliche Sicherheit kommt aus einem Passwort, das in keiner Liste steht. Gegen den zweiten Weg, die gestohlene Datenbankkopie, hilft sie überhaupt nicht. Wählen Sie zusätzlich einen Benutzernamen, der nicht „admin“ lautet. Wer Ihren Benutzernamen kennt, kann Ihren Zugang mit Fehlversuchen sonst immer wieder für 5 Minuten sperren. Am besten probieren Sie das alles an einer eigenen Testinstallation aus: Das Bildergalerie-Script können Sie kostenlos herunterladen und dort gleich mit einer Wortfolge als Passwort einrichten. Häufige FragenRund um Länge, Merkbarkeit und Wechsel des Passworts kommen diese Fragen am häufigsten. Wie lang muss ein sicheres Passwort sein?Zwölf zufällige Zeichen oder vier zufällig gewählte Wörter sind ein guter Ausgangspunkt. Entscheidend ist, dass die Länge aus Zufall entsteht: Ein langer, aber bekannter Spruch wie ein Liedtitel ist schwächer als eine kürzere, wirklich zufällige Folge. Wie merke ich mir ein langes Passwort?Indem Sie es nicht auswendig lernen, sondern ableiten. Bei der Satzmethode merken Sie sich einen Satz und bilden das Passwort aus den Anfangsbuchstaben, bei der Wortfolge merken Sie sich ein kleines Bild aus vier Begriffen. Nach drei, vier Anmeldungen sitzt beides. Muss ich das Passwort regelmäßig wechseln?Nicht nach Kalender. Ein starkes Passwort, das nur hier im Einsatz ist, darf bleiben. Wechseln sollten Sie es, wenn es jemand gesehen haben könnte, wenn ein Mitglied mit Zugang ausscheidet oder wenn im „Systemprotokoll“ Anmeldungen stehen, die nicht von Ihnen stammen. Reicht ein gutes Passwort allein aus?Für die meisten privaten Galerien ja, wenn es nirgends sonst verwendet wird. Eine Zwei-Faktor-Anmeldung gibt es im Bildergalerie-Script nicht. Wer mehr will, setzt beim Webhoster einen Verzeichnisschutz auf den Ordner admin, dann verlangt schon der Webserver ein zweites Passwort. Verwandte ThemenWo Sie das neue Passwort zum ersten Mal brauchen und was hilft, wenn es doch einmal verloren geht, steht in diesen Beiträgen. | ||||||||||||||||||||||
