Hacker haben offenbar (stets) Zugriff zu ALLEM!...

Volker Bartheld · Nov 27, 2022

On Sat, 26 Nov 2022 22:41:06 +0100, Rolf Bombach wrote:

Helmut Schellong schrieb:
[...]
Das war der Trick, um unter RSX-11 ein Passwort rauszufinden.
Einfach die Konsole des Sysadmins starten und dieses
Fehlversuch-Logging aktivieren.

Heutzutage viel spannender. Sonntagsmatinee-Empfehlung:

https://www.youtube.com/watch?v=BHqrA8lzz2o
https://www.youtube.com/watch?v=lXFpCV646E0
https://www.youtube.com/watch?v=-O9Vs_NlTpk
https://www.youtube.com/watch?v=jmTwlEh8L7g

Kennste vermutlich alles schon. Trotzdem cool.

Volker

Wolfgang Allinger · Nov 27, 2022

On 26 Nov 22 at group /de/sci/electronics in article tltvv9$1f6fs$1@dont-email.me
<rolfnospambombach@invalid.invalid> (Rolf Bombach) wrote:

Wolfgang Allinger schrieb:

eMail und vermutetes Passwort: Falsches Passwort!
eMail und \"Passwort vergessen\": BenutzerID unbekannt!
eMail und \"Neuer Account\": BenutzerID bereits vergeben!

Das ist die übliche Kniefickerei auf vielen Seiten!
Scheissskriptkiddies ... na immerhin 5 S :]

Weltweit gibt es 10+Mio Webshops. Jeder ist irgendwie anders.
Jeder kann irgendwas nicht, was nervt. Und mindestens ein was
ist total schräg. Als wolle man absichtlich Scheisse durch-
permutieren.
ACK

IT selber ist *die* Cash Cow. Meine Verschwörungstheorie ist,
dass das eine Verschwörung ist :-].
Arbeitsbeschaffungsmassnahme und Geldverschwendung ohne Ende.
Dazu kommt die Abschottung wie bei den Juristen, Ärzten etc.

(Schein)Heilige schotten sich immer ab, macht sie heiliger und
unantastbarer.

Autos wurden zuerst auch einzeln angefertigt und es gab
tausende von kleinen Firmen. Das hat sich schnell gelegt.
In der IT... ich frag mich, bald 60(!) Jahre nach der PDP-8
wird da immer noch einzeln rumgestümpert.

Wie kommst Du auf einzeln und klein?
SIEMENS (R300, 3964R, alles), Bosch (SPS), DEC (PDP8, PDP11, VAX, RT11,
RSX34...), PLESSEY (MiPROC16AS), intel, IBM (IchBinMurks), Microsoft
(alles), AEG (60-10, 60-50 +OS), SAP nur um ein paar Grosse Murkser zu
nennen aus dem vorigen Jahrtausend, einige immer noch hochaktiv!

Saludos (an alle Vernünftigen, Rest sh. sig)
Wolfgang

--
Ich bin in Paraguay lebender Trollallergiker

reply Adresse gesetzt!
Ich diskutiere zukünftig weniger mit Idioten, denn sie ziehen mich auf
ihr Niveau herunter und schlagen mich dort mit ihrer Erfahrung!

(lt. alter usenet Weisheit) iPod, iPhone, iPad, iTunes, iRak, iDiot

Alexander Schreiber · Nov 27, 2022

Rolf Bombach <rolfnospambombach@invalid.invalid> wrote:

Gregor Szaktilla schrieb:
Am 15.11.22 um 18:47 schrieb Andreas Graebe:
Wenn ein Passwort zwangsweise Sonderzeichen, Zahlen, GroÃ- und
Kleinschreibung enthalten _muÃ_, schrÃ¤nkt das nicht die Anzahl der
mÃ¶glichen Kombinationen eher ein?

Jein

Ich denke, dass es dabei darum geht, lexikalische PasswÃ¶rter zu verhindern. Die MÃ¶glichkeiten werden zwar eingeschrÃ¤nkt, aber es wird erheblich erschwert, ein Passwort zu erraten.

Sehe ich auch so. Der Nutzer wird damit quasi gezwungen,
einen Textfluss erratisch zu unterbrechen. Schwachstelle
ist ja Ã¼blicherweise, dass einfache WÃ¶rter genommen werden.

Passphrasen sind ebenso gefÃ¤hrlich, da die lÃ¤ngst in den
Listen aufgefÃ¼hrt werden. Anfangsbuchstaben von Gedichten,
insbesondere aus Pflichtstoff aus der Schule, sind alle
schon in den Listen und daher speziell dÃ¤mlich.
Fest gemauert in der Erden...

Nimm halt die Hennecke-Version:

Loch gebuddelt, Bronze rein, Glocke fertig, bim-bim-bim. ;-)

SCNR,
Alex.
--
\"Opportunity is missed by most people because it is dressed in overalls and
looks like work.\" -- Thomas A. Edison

Alexander Schreiber · Nov 27, 2022

Rolf Bombach <rolfnospambombach@invalid.invalid> wrote:

Helmut Schellong schrieb:

Wenn ich in der Industrie mit PaÃwort geschÃ¼tzte ZugÃ¤nge programmierte (uC), hatte ich
eine um jeweils 5 Sekunden verzÃ¶gerte EingabemÃ¶glichkeit programmiert.
Und nach drei Fehlversuchen war Ende im GelÃ¤nde - Zugang gesperrt, ohne UmgehungsmÃ¶glichkeit.
Jeder Fehlversuch wurde in die Fehlerhistorie eingetragen, EEPROM, mit Uhrzeit+Datum.

Das war der Trick, um unter RSX-11 ein Passwort rauszufinden.
Einfach die Konsole des Sysadmins starten und dieses
Fehlversuch-Logging aktivieren. War eh immer auf einem
DECwriter.
Dort einfach auf die \"Fehlversuche\" achten. Da stand da etwa

User \"MUELLER\" tried \"AudiQuattrp\"

Rest bleibt der Fantasie des Lesers Ã¼berlassen.

*aua* LARTable offense.

Bei sowas den Usernamen ins Log schreiben: klar. Das Passwort: niemals,
allenfalls \"login failed, wrong password\". Und das Log zugriffsgeschÃ¼tzt
machen.

Man liest sich,
Alex.
--
\"Opportunity is missed by most people because it is dressed in overalls and
looks like work.\" -- Thomas A. Edison

Alexander Schreiber · Nov 27, 2022

Gerrit Heitsch <gerrit@laosinh.s.bawue.de> wrote:

On 11/26/22 22:55, Rolf Bombach wrote:
Hanno Foest schrieb:

Industrieanlagen hingegen dÃ¼rften eher selten verlorengehen, die
stehen meist rechts ortsfest irgendwo rum, und eine gewisse Anzahl
Mitarbeiter hat Zugang.

Diese Sicherheitsmassnahme hat mir nie gefallen und hat mir auch viele
Diskussionen eingehandelt. In grÃ¶sseren Betrieben wird man nie endgÃ¼ltig
rauskriegen, wer alles Zugang hat.
Die IT war Ã¤usserst pingelig mit Accounts und PasswÃ¶rtern etc. Auf der
andern Seite hielten sie im Labor rumstehende PCs, eingeloggt auf einem
\"allgemeinen\" Account fÃ¼r keine SicherheitslÃ¼cke. BegrÃ¼ndung: Kommt ja
sonst eh keiner rein. HÃ¤?
Ich habe z.B. nie rausgekriegt, wer alles Zugang zu \"meinem\" Laserlabor
hat. VordergrÃ¼ndig nur einige wenige Mitarbeiter. Und dann natÃ¼rlich
\"die Elektriker\", da ein Verteiler irgendwo angedÃ¼belt ist. Und
Mitglieder der Gaswarntruppe (WTF?). Und Labor-Pikettdienst des
GebÃ¤udes. Gas Wasser Scheisse, mÃ¶glicherweise. Heizung LÃ¼ftung Klima,
eher weniger, da die nie reinkamen, aber ist man sicher? Und die
Sicherheitszentrale. Feuerwehr. SU. Und und und.

Putzdienst nicht vergessen. Die haben oft mehr Zugangsrechte als alle
anderen.

Und deswegen hat ein frÃ¼herer Arbeitgeber von mir (mit recht sensitiven
Daten) _alle_ Mitarbeiter mit GebÃ¤udezugang durch die Sicherheits-
Ã¼berprÃ¼fung gescheucht, einschliesslich der Putztruppe (die waren
fest angestellt, kein externer Dienstleister mit stÃ¤ndig wechselndem
unterbezahltem Personal). Externe (z.B. Field Saboteur^WEngineer
von $HardwareHersteller wurden _immer_ begleitet von einem entsprechendem
Mitarbeiter (und waren nur auf dem WC allein).

Man liest sich,
Alex.
--
\"Opportunity is missed by most people because it is dressed in overalls and
looks like work.\" -- Thomas A. Edison

Rolf Bombach · Nov 27, 2022

Ole Jansen schrieb:

Bis jemand dem Tool Cockney oder GÃ¤lisch bei bringt.
Die Gefahr dass man bei der Wahl seiner \"Geheimsprache\"
ins Klo greift bleibt also.

Navjo?

> \"przybylski\" jedenfalls ist Mist. Kaspersky kann also schon polnisch.

\"Mb2.r5oHf-0t\" ist auch verbrannter Mist.

--
mfg Rolf Bombach

Gerrit Heitsch · Nov 27, 2022

On 11/27/22 16:23, Rolf Bombach wrote:

Ole Jansen schrieb:

Bis jemand dem Tool Cockney oder GÃ¤lisch bei bringt.
Die Gefahr dass man bei der Wahl seiner \"Geheimsprache\"
ins Klo greift bleibt also.

Navjo?

\"przybylski\" jedenfalls ist Mist. Kaspersky kann also schon polnisch.

\"Mb2.r5oHf-0t\" ist auch verbrannter Mist.

Was ist mit \"Mb2-r5oHf.0t\"?

Gerrit

Rolf Bombach · Nov 27, 2022

Helmut Wabnig schrieb:

On Tue, 15 Nov 2022 12:28:48 +0100, Helmut Schellong
rip@schellong.biz> wrote:

Ein PaÃwort wie \'Start123!\' [1] hatte ich nie, sondern so etwas wie \'cessoGar#sUpo45(*t)\'.

ErzÃ¤hl das meiner GroÃmutter.

PasswÃ¶rter die man sich nicht merken kann
sind auch nix Brauchbares.

\"Start123\" Google 87000 hits.

\"Mb2.r5oHf-0t\" Google immerhin 367 hits.

--
mfg Rolf Bombach

Thomas Einzel · Nov 27, 2022

Am 27.11.2022 um 16:27 schrieb Rolf Bombach:

Helmut Wabnig schrieb:
On Tue, 15 Nov 2022 12:28:48 +0100, Helmut Schellong
rip@schellong.biz> wrote:

Ein PaÃwort wie \'Start123!\' [1] hatte ich nie, sondern so etwas wie
\'cessoGar#sUpo45(*t)\'.

ErzÃ¤hl das meiner GroÃmutter.

PasswÃ¶rter die man sich nicht merken kann
sind auch nix Brauchbares.

\"Start123\"Â Google 87000 hits.

\"Mb2.r5oHf-0t\"Â Google immerhin 367 hits.

Da hÃ¤tte ich ein paar mehr erwartet... ah, 453 mal findet es google.de

und:

https://www.datenschutz-notizen.de/das-sicherste-passwort-der-welt-4115712/

--
Thomas

Andreas Neumann · Nov 27, 2022

Thomas Einzel wrote:

Am 27.11.2022 um 16:27 schrieb Rolf Bombach:

\"Mb2.r5oHf-0t\"Â Google immerhin 367 hits.

Da hÃ¤tte ich ein paar mehr erwartet... ah, 453 mal findet es google.de

Metager: ~ 12.000.000.000 Ergebnisse
Google taugt nichts. Tell news.

Enrik Berkhan · Nov 28, 2022

Alexander Schreiber <als@usenet.thangorodrim.de> wrote:

Bei sowas den Usernamen ins Log schreiben: klar. Das Passwort: niemals,
allenfalls \"login failed, wrong password\". Und das Log zugriffsgeschÃ¼tzt
machen.

Selbst den Usernamen zu loggen kann problematisch sein, denn ja nach
Ablauf kann es auch ganz schnell mal passieren, dass man statt des
Usernamens das Passwort eintippt.

GruÃ,
Enrik

Ole Jansen · Nov 28, 2022

Am 27.11.22 um 16:27 schrieb Gerrit Heitsch:

On 11/27/22 16:23, Rolf Bombach wrote:
Ole Jansen schrieb:

Bis jemand dem Tool Cockney oder GÃ¤lisch bei bringt.
Die Gefahr dass man bei der Wahl seiner \"Geheimsprache\"
ins Klo greift bleibt also.

Navjo?

\"przybylski\" jedenfalls ist Mist. Kaspersky kann also schon polnisch.

\"Mb2.r5oHf-0t\" ist auch verbrannter Mist.

Was ist mit \"Mb2-r5oHf.0t\"?

Fyr Ka$p3r$ky i5t 1E37 d0ch C3|N3 GEh3I]\\/[zPR@kh3 m3HR...

O.J.

Alexander Schreiber · Nov 30, 2022

Enrik Berkhan <Enrik.Berkhan@inka.de> wrote:

Alexander Schreiber <als@usenet.thangorodrim.de> wrote:
Bei sowas den Usernamen ins Log schreiben: klar. Das Passwort: niemals,
allenfalls \"login failed, wrong password\". Und das Log zugriffsgeschÃ¼tzt
machen.

Selbst den Usernamen zu loggen kann problematisch sein, denn ja nach
Ablauf kann es auch ganz schnell mal passieren, dass man statt des
Usernamens das Passwort eintippt.

Kann man zur Not filtern: wen gÃ¼ltiger Username, loggen, wenn nicht
\"invalid username\" loggen. Aber dann entgeht einem der Unterhaltungs-
wert, an einem Unix-Server Loginversuche mit \"Administrator\" zu sehen ;-)

BTST.

Man liest sich,
Alex.
--
\"Opportunity is missed by most people because it is dressed in overalls and
looks like work.\" -- Thomas A. Edison

Peter Heirich · Dec 1, 2022

Alexander Schreiber wrote:

Kann man zur Not filtern: wen gÃ¼ltiger Username, loggen, wenn nicht
\"invalid username\" loggen. Aber dann entgeht einem der Unterhaltungs-
wert, an einem Unix-Server Loginversuche mit \"Administrator\" zu sehen ;-)

Oder als md5 Hash loggen?

Die eigenen, bekannten Usernamen kann man so identifizieren.

Peter

Rolf Bombach · Jan 13, 2023

Eric Bruecklmeier schrieb:

Am 16.11.2022 um 13:52 schrieb Thorsten BÃ¶ttcher:

Das hat doch bestimmt schon ein schlauer Kopf durchgerechnet.

Das kann sein, muÃ aber nicht. In der IT geht es ganz oft um gefÃ¼hlte Sicherheit und auch hauptberufliche ITler erzÃ¤hlen oft genug hanebÃ¼chenen Unsinn...

Ich gehe davon aus, dass sich jeder Informatiker, Informatik-Spezialist
usw. nennen darf.
Automobil-Spezialist DudenhÃ¶ffer, weia, \"gehÃ¶rt zu den renommiertesten
Automobilexperten Deutschlands\".

Wer was kann, tut es. Wer es nicht kann, geht labern.

--
mfg Rolf Bombach

Rolf Bombach · Jan 13, 2023

Helmut Schellong schrieb:

On 11/17/2022 10:06, Holger Schieferdecker wrote:

Das weiÃ ich nicht. Meine Vermutung wÃ¤re eher, daÃ die Vorgaben zu LÃ¤nge und zu verwendenden Zeichen verhindern sollen, daÃ die allermeisten PaÃwÃ¶rter kÃ¼rzer als 8 Zeichen sind und nur aus
Kleinbuchstaben bestehen.

Kombinationen = zeichenmenge_einer_stelle ^ anzahl_stellen

Der Informationsgehalt typischer PasswÃ¶rter ist aber _Ã¼berprÃ¼ft_
um GrÃ¶ssenordnungen kleiner. Lies einfach das Posting von Ole
vom 16.11.22 14:10.

Ja, du machst es schon richtig, wenn du einen Zufallsgenerator
fÃ¼r deine Passworte verwendest. Dann kannst du deine Formel
anwenden.
Aber die Statistik zeigt, dass das kaum jemand macht.

--
mfg Rolf Bombach

Helmut Schellong · Jan 13, 2023

On 12/14/2022 20:51, Rolf Bombach wrote:

Helmut Schellong schrieb:
On 11/17/2022 10:06, Holger Schieferdecker wrote:

Das weiÃ ich nicht. Meine Vermutung wÃ¤re eher, daÃ die Vorgaben zu LÃ¤nge und zu verwendenden Zeichen verhindern sollen, daÃ die allermeisten PaÃwÃ¶rter kÃ¼rzer als 8 Zeichen sind und nur aus Kleinbuchstaben bestehen.

Kombinationen = zeichenmenge_einer_stelle ^ anzahl_stellen

Der Informationsgehalt typischer PasswÃ¶rter ist aber _Ã¼berprÃ¼ft_
um GrÃ¶ssenordnungen kleiner. Lies einfach das Posting von Ole
vom 16.11.22 14:10.

Ich habe alle Postings meines Threads gelesen.
Start-Posting 11/15/2022 12:28
Und ich kenne das NIST schon lange, spÃ¤testens seit 2011.

Ja, du machst es schon richtig, wenn du einen Zufallsgenerator
fÃ¼r deine Passworte verwendest. Dann kannst du deine Formel
anwenden.
Aber die Statistik zeigt, dass das kaum jemand macht.

Ich verwende kryptographisch produzierte Keys nur bei der VerschlÃ¼sselung meiner Dateien.
Bei meinen PaÃwÃ¶rtern bisher nicht.
Sondern beispielsweise: rUz3#vur4Ksoer{ (mit Phantasie ausgedacht)

Generell kÃ¼mmere ich mich nicht darum, was andere machen.
Ich mache fast nichts nach, sondern mache mein Ding.
Meistens ist \'mein Ding\' deutlich besser als das, was fast alle anderen verwenden.
Beispielsweise habe ich den Keccak-Algorithmus (NIST: sha3_256, sha3_512) implementiert.

Meine Formel ist nicht meine Formel, sondern eine Grundformel, die es
seit Jahrhunderten geben dÃ¼rfte.
Beispielsweise 2^16 = 65536

--
Mit freundlichen GrÃ¼Ãen
Helmut Schellong var@schellong.biz
http://www.schellong.de/c.htm http://www.schellong.de/c2x.htm http://www.schellong.de/c_padding_bits.htm
http://www.schellong.de/htm/bishmnk.htm http://www.schellong.de/htm/rpar.bish.html http://www.schellong.de/htm/sieger.bish.html
http://www.schellong.de/htm/audio_proj.htm http://www.schellong.de/htm/audio_unsinn.htm http://www.schellong.de/htm/tuner.htm
http://www.schellong.de/htm/string.htm http://www.schellong.de/htm/string.c.html http://www.schellong.de/htm/deutsche_bahn.htm
http://www.schellong.de/htm/schaltungen.htm http://www.schellong.de/htm/math87.htm http://www.schellong.de/htm/dragon.c.html

Volker Bartheld · Jan 13, 2023

On Wed, 14 Dec 2022 20:47:39 +0100, Rolf Bombach wrote:

Ich gehe davon aus, dass sich jeder Informatiker,
Informatik-Spezialist usw. nennen darf. Automobil-Spezialist
Dudenhöffer, weia, \"gehört zu den renommiertesten Automobilexperten
Deutschlands\".

Wer was kann, tut es. Wer es nicht kann, geht labern.

Einige mir namentlich bekannte Handwrecker sind dann wohl die Ausnahme
von Deiner Regel. Obwohl, ich kenne die typischen Handwerkslaberer
nicht. Es könnte also noch schlimmer sein.

Volker

Alexander Schreiber · Jan 13, 2023

Rolf Bombach <rolfnospambombach@invalid.invalid> wrote:

Alexander Schreiber schrieb:

Zu meiner Wehrdienstzeit kursierte der Spruch:
\"Wer zu dumm ist und nichts kann, geht zu Post und Deutscher Bahn.
Ist er aber noch viel dÃ¼mmer, die StOV, die nimmt ihn immer.\"

Finde ich fies.

War es, ohne Frage. Zudem der uniformtragende Teil der Bundeswehr
definitiv _nicht_ in der Position war, als Erster mit Steinen zu
werfen.

Das (von der Truppe wahrgenommene) Problem war nicht, dass da
evtl. Leute mit Behinderungen arbeiten (bis auf ein paar wenige
untersozialierte Idioten hat das keinen interessiert), sondern
dass der ganze Verein ... na sagen wir mal, wie es so schÃ¶n
heisst, \"die Arbeit nicht gerade erfunden hatte\" (die Uniform-
trÃ¤ger aber auch nicht - Topf, Kessel, usw).

Hintergrund: Damals hatten Post & Bahn als Staatsbetriebe noch die
Nebenaufgabe, die Arbeitslosenzahlen etwas niedriger zu halten
(in moderatem Umfang). StOV war die StandOrtVerwaltung, der zivile
Arm der Bundeswehr der sich um die Kasernen kÃ¼mmern sollte und bei
der Truppe einen ... gewissen Ruf \"genoss\".

In der Schweiz waren die Bundesbetriebe angehalten, einen gewissen
Personalanteil mit Invaliden zu besetzen. Das fand ich toll und
auch nÃ¼tzlich.

Sehr sinnvoll, keine Frage.

Im damaligen \"EidgenÃ¶ssischen Institut fÃ¼r Reaktor-
forschung\" waren drei Blinde in der Telefonzentrale angestellt.
Das waren sehr interessante Leute, die man auch gern zum Mittag-
essen mitgenommen hat. Die hatten immer interessante Berichte,
etwa wenn sie von ihrem letzten Schi-Urlaub berichtet haben.
An einen Ingenieur im Rollstuhl konnte ich mich noch erinnern.
Dann kam Reorganisation, Rotstifte, Finanzautonomie und alles
wurde wegrationalisiert. Klar, Telefonzentrale macht heute keinen
Sinn mehr, aber so was wie einen sozialen Auftrag sieht man
heute nicht mehr.

Die Ã¼bliche kurzsichtige Lokaloptimierung. Dabei ist es fÃ¼r alle
Beteiligten besser, wenn man solche Leute sinnvoll in die Arbeits-
welt integrieren kann. Und es gibt oft genug MÃ¶glichkeiten, wie
man Leute mit Behinderungen ohne grossen Aufwand einbinden kann.

Man liest sich,
Alex.
--
\"Opportunity is missed by most people because it is dressed in overalls and
looks like work.\" -- Thomas A. Edison

Eric Bruecklmeier · Jan 13, 2023

Am 14.12.2022 um 20:47 schrieb Rolf Bombach:

Eric Bruecklmeier schrieb:
Am 16.11.2022 um 13:52 schrieb Thorsten BÃ¶ttcher:

Das hat doch bestimmt schon ein schlauer Kopf durchgerechnet.

Das kann sein, muÃ aber nicht. In der IT geht es ganz oft um gefÃ¼hlte
Sicherheit und auch hauptberufliche ITler erzÃ¤hlen oft genug
hanebÃ¼chenen Unsinn...

Ich gehe davon aus, dass sich jeder Informatiker, Informatik-Spezialist
usw. nennen darf.
Automobil-Spezialist DudenhÃ¶ffer, weia, \"gehÃ¶rt zuÂ den renommiertesten
Automobilexperten Deutschlands\".

Wer was kann, tut es. Wer es nicht kann, geht labern.

Im Zweifel muÃ halt dann der Lesch ran - der ist Experte fÃ¼r ALLES!
Dr. rer. omn. mult.

Hacker haben offenbar (stets) Zugriff zu ALLEM!...

Volker Bartheld

Guest

Wolfgang Allinger

Guest

Alexander Schreiber

Guest

Alexander Schreiber

Guest

Alexander Schreiber

Guest

Rolf Bombach

Guest

Gerrit Heitsch

Guest

Rolf Bombach

Guest

Thomas Einzel

Guest

Andreas Neumann

Guest

Enrik Berkhan

Guest

Ole Jansen

Guest

Alexander Schreiber

Guest

Peter Heirich

Guest

Rolf Bombach

Guest

Rolf Bombach

Guest

Helmut Schellong

Guest

Volker Bartheld

Guest

Alexander Schreiber

Guest

Eric Bruecklmeier

Guest

Log in

Welcome to EDABoard.com

Sponsor