CIP Index Up Left Right

Mindestanforderungen an Passwörter

Passwörter sind dazu da, sicherzustellen, daß niemand anderes als der Besitzer eines logins dieses benutzt. Deshalb darf man sie auch niemals weitergeben! Es geht dabei nicht nur darum, daß ein Hacker die Daten eines bestimmten Benutzers zerstören könnte, vielmehr werden gehackte Accounts meist benutzt, um von dort ausgehend weiteren Schaden anzurichten - der dann auf den Eigentümer des Accounts und die Universität im allgemeinen zurückfällt. Man sollte sich das Passwort auch nicht notieren, keinesfalls auf dem Studentenausweis, einem Zettel in der Brieftasche oder ähnlich leicht zuordbarem und es mindestens einmal jährlich ändern, falls einem doch einmal jemand unbemerkt über die Schulter gesehen hat.

Sein Passwort ändert man im CIP-Pool mit dem Kommando yppasswd. (Es unterscheidet sich vom normalen passwd in der Hinsicht, daß ein besonderer Mechanismus (NIS, früher auch Yellow Pages genannt) verwendet wird, der die Passwörter für den ganzen Rechnerpool zentral auf einem Server (Mephisto) verwalten läßt, anstatt lokal auf jedem Rechner in /etc/passwd. Dies hat den entscheidenden Vorteil, das man immer auf allen Rechnern des CIP-Pools dasselbe Passwort hat.)

Nach dem Setzen des neuen Passworts dauert es jedoch eine Weile, bis es sich vom Server - auf dem es mit dem Kommando yppasswd geändert wird - auf die Client-Rechner durchsetzt; solange gilt noch das alte. Siehe auch in den Kapiteln Benutzerrelevante Cron-Jobs und Network Information Service NIS.

Es ist für die Sicherheit des Systems entscheidend, daß alle Passwörter gut sind. Ist es einem Hacker von außerhalb erstmal gelungen in einen beliebigen Account einzubrechen, kann er meist auch root werden (bei genügend genauer Kenntnis von allgemeinen Schwächen des Systems. Es gibt kein perfekt einbruchssicheres UNIX!) Deshalb starten wir selbst alle paar Wochen ein Programm, das versucht die Passwörter unserer logins zu knacken. Leicht zu erratende Passwörter führen zu einer Sperrung des betreffenden logins!

Auf jeden Fall vermeiden sollte man die folgenden simplen Regeln, ganz einfach weil sie fast jeder benutzt und deshalb von jedem Crack-Programm probiert werden! Es dauert z.B. nur ein paar Stunden alle Wörter eines Wörterbuchs gegen eine User-ID anlaufen zu lassen.

Es soll nicht heißen, daß man keine der obigen Regeln verwenden dürfte, jedoch sollte man sich nicht nur auf derartig simple Modifikationen verlassen. Es sollen hier keine festen Regeln gegeben werden, wie man gute Passwörter macht, weil solche Regeln dann ja wieder verwendet werden könnten, um die Passwörter zu knacken. Im folgenden einige Grundregeln:

Unser yppasswd zwingt zur Einhaltung der wichtigsten dieser Regeln. Das heißt aber nicht, daß alles was akzeptiert ist gut sein muß, oder alles was abgelehnt wird schlecht. Werden 2 oder mehr der obigen Regeln beachtet, ist das Passwort fast unmöglich zu erraten und man kann es sich doch noch leicht merken.

Folgende Sonderzeichen sollten nicht verwendet werden, da die getty/login-Prozesse Schwierigkeiten bei ihrer Eingabe machen:

@ # & : <SPACE> <CONTROL + char>

Noch einige Beispiele (jeweils ohne die Anführungszeichen)

Wenn man sein Passwort einmal vergessen hat, kann man es von den CIP-Betreuer während der Sprechzeiten ändern lassen. Dazu muß der Personalausweis vorgezeigt werden.