Wie sieht ein sicheres Passwort aus? Soll es eine scheinbar sinnlose Kolonne aus unzusammenhängenden Zeichen sein, die man dann sowieso auf einem Zettel hinterlegt, weil man auch nach dem fünften Mal Eintippen immer noch abschreiben muss? Oder doch besser etwas Lesbares, das man nach dem ersten Blick im Kopf hat und dann auch nicht mehr vergisst? Muss es Sonderzeichen, Ziffern und am besten Groß- und Kleinbuchstaben gemischt enthalten, oder reicht es vielleicht schon aus, wenn das Passwort nur lang genug ist? Das Feld der IT-Sicherheit ist ein ziemlich weites, und je mehr Experten man befragt, desto mehr Empfehlungen bekommt man.
Bruteforce- und Dictionary-Angriffen hält ein Passwort leichter stand, wenn es lang ist. Also mindestens 12 Zeichen lang, besser noch mehr. Begriffe, die man in Wörterbüchern finden könnte, sollte man nur verwenden, wenn man gleich drei oder vier davon verwendet. Besser sind Fantasieworte. In Kombination mit einzelnen Sonderzeichen und Ziffern ist man in den meisten Fällen im grünen Bereich. Dass Passwörter nie lang genug sein können, wird immer wieder von allen möglichen Sicherheitsexperten gepredigt – was auch vollkommen nachvollziehbar und richtig ist – aber was ist mit den schwarzen Schafen in der IT, die in ihren Softwareprodukten und Netzdiensten dem Benutzer ein Maximum an verfügbaren Zeichen vorgeben? Nicht selten lässt die Eingabemaske keine weiteren Zeichen zu, wenn das Limit von z.B. 8 Zeichen erreicht wurde. Das steht ja eigentlich im absoluten Widerspruch zu dem Punkt, in dem sich alle einig sind.
Es gibt aber etwas, das fast noch lästiger ist, und das mir inzwischen schon mehrfach begegnet ist. Ich bin ein echter Fan von langen Passwörtern. Selten verwende ich weniger als 15 Zeichen, manchmal über 20, dazu irgendwelche Ziffern und Sonderzeichen, aber gerade so, dass ich es mir mit Mühe merken kann. Vor kurzem habe ich meinen QNAP-Netzwerkspeicher konfigurieren wollen und legte mir dazu ein Administratorkonto im Webinterface an. Das Passwort war nun also 19 Zeichen lang und ließ sich auch in voller Länge eingeben. Hinweise bezüglich irgendeines Limits gab es nicht, soweit ich mich erinnere. Account angelegt. Alles wunderbar.
Der erste Loginversuch mit dem taufrischen Konto wurde dann allerdings abgelehnt – Falsches Passwort. Kein Problem, einfach nochmal versuchen, ich muss mich vertippt haben. Kommt bei solch langen Passwörtern regelmäßig vor. Auch der zweite Versuch geht schief. Ein dritter Versuch bringt keine Verbesserung. Ich habe den Account doch gerade vor zwei Minuten angelegt, bin ich denn auf einmal unfähig? Etwa bereits beim Anlegen vertippt? Unwahrscheinlich. Plötzlich war mir klar, woran das liegen musste.
Was habe ich nun gemacht? Ich habe das Passwort wie zuvor eingegeben, aber das letzte Zeichen weggelassen, so dass es nur noch 18 Zeichen lang war. Login failed. Zwei Zeichen hinten weglassen: Wieder nichts. Dann drei Zeichen. Das Passwort ist damit nur noch 16 Zeichen lang. Ein Druck auf Enter und ich bin drin. Ich lag goldrichtig mit meiner Vermutung. Was für Dilettanten arbeiten da bei QNAP als Programmierer? Beim Anlegen des Accounts gibt das Eingabefeld keine maximale Länge vor, man kann also eingeben soviel man will. Beim internen Speichern des Passworts oder des Hashes wird es gekürzt auf 16 Zeichen, so ganz heimlich. Ist doch auch total unwichtig so eine Information. Die Kurve hätte man noch kriegen können, wenn wenigstens die Eingabemaske für den Login eine Zeichenbegrenzung gehabt hätte, um das zu kompensieren, aber auch hier darf man eingeben soviel man lustig ist. Das vom System gespeicherte (kürzere) Passwort und das zuvor eingegebene komplette Passwort stimmen nicht überein, der Benutzer kann sich so niemals einloggen. Niemand sagt ihm, was dabei das Problem ist.
Schlimmer noch, wenn der Benutzer das NAS auf Werkseinstellungen zurücksetzt und nochmals ein Administratorkonto mit demselben Passwort oder mit einem gleich langen Passwort anlegt, wird er schon wieder in dieselbe Falle laufen. Wohl dem, der lieber kürzere und unsichere Passwörter verwendet. Aus Softwareentwickler-Sicht ist das ein unverzeihlicher Fehlgriff. So sehr kann man eigentlich gar nicht pennen, dass so etwas nicht getestet wird und in die finale Firmware kommt. Noch dazu kommt der Fehler gar nicht so unwahrscheinlich selten vor, da ich ja bereits woanders Erfahrung damit machen durfte. Damals musste ich mir nach unzähligen Fehlversuchen mein Passwort aus der Datenbank per E-Mail zuschicken lassen (als Plain Text: ja, das alleine ist schon eine Ohrfeige wert). So stellte ich hocherstaunt fest, dass mein Passwort auf dem Weg von der Tastatur in die Datenbank irgendwo kommentarlos gekürzt wurde. Da hätte ich echt noch stundenlang erfolglos mit dem eigentlich richtigen Passwort versuchen können mich einzuloggen.
Achja, noch ein Tipp bezüglich der Sonderzeichen, weil ich damit ebenfalls schon Probleme hatte. Sonderzeichen in Passwörtern sind gut und schön, aber gefahrlos sind nur die ganz gewöhnlichen Sonderzeichen, die man ohne Druck auf die ALT-Taste eingeben kann. Hier spielt es nämlich auch eine wichtige Rolle, welchen Zeichensatz der eigene Browser benutzt und welchen Zeichensatz der Server, auf dem das Passwort gespeichert wird. Umlaute sind daher ebenfalls sehr gefährlich. Ein „Ö“ ist auf dem Server vielleicht auf einmal ein ganz anderes Zeichen. Das Euro-Symbol, Accents, und vieles was der Unicode-Zeichensatz hergibt, könnte auf dem Server beim Konvertieren verloren gehen und somit das Passwort unbrauchbar machen.

Das nächste ganz ganz kleine Update. Mehr lässt die Arbeit zeitlich leider nicht zu. Und wenn man dann um über 9000 Uhr nach Hause kommt, dann verpulvert man seine wenige Freizeit auch noch mit irgendwelchen Blog-Seiten und Artikeln. Hach, es ist schon ein schwieriges Leben manchmal.

Gerade im Begriff seinen Universitätsabschluss in Veterinärmedizin zu machen, liegt das Leben von Jacob Jankowsi (Robert Pattinson) plötzlich in Scherben. Durch eine mehr oder weniger glückliche Fügung landet der Sohn polnischer Einwanderer bei dem bekannten Wanderzirkus „Benzini Bros“. Zirkusdirektor August Rosenbluth (Christoph Waltz) gibt ihm eine Stelle als Tierarzt, dabei lernt Jacob die junge Artistin Marlena (Reese Witherspoon) kennen, die Ehefrau von August. Jacob stellt schnell fest, dass das Showgeschäft ein knallhartes Geschäft, und dass August ein gefährlicher Mann ist, dem weder Tier- noch Menschenleben etwas bedeutet, wenn er nur ein paar Dollar sparen kann. Als dieser dahinter kommt, dass Jacob und Marlena schließlich wesentlich mehr als nur Kollegen sind, muss Jacob fliehen um sein Leben zu retten. Er weiß, dass ein besseres Leben auf Marlena wartet und plant gemeinsam mit ihr durchzubrennen.
Star Trek beginnt mit dem Pseudo-Pilotfilm „The Cage“ von 1965, der einige Jahre vor den eigentlichen Geschehnissen der ersten Folgen spielt. Die Enterprise steht noch unter dem Kommando des Captain Pike. Zur Seite gestellt wird ihm der Vulkanier Spock, gespielt von Leonard Nimoy. Eine zentrale Rolle spielt außerdem Majel Barrett, die Gattin von Gene Roddenberry. In der Folge geht es um übermächtige Wesen, die Captain Pike gefangen nehmen. Doch der Pilotfilm kam bei den Verantwortlichen nicht gut an. Zugegeben, er war teilweise unfreiwillig auch etwas komisch. Außerdem zuwenig Action, zuviel langatmiges Gelaber. Die Leute wollten lieber sowas wie Bonanza. Also ändert man das Konzept ein wenig und fängt an zu drehen. Nimoy und Barrett werden in die Serie übernommen. Captain Pike wird ersetzt durch Captain Kirk, den William Shatner spielt. Der Pilotfilm wird in der ersten Staffel praktisch als Doppelfolge noch einmal verwurstet.
Auffällig ist, dass so mancher Nebendarsteller mehrere Rollen in der Serie einnimmt. Fällt aber wohl nur auf, wenn man die Serie in so kurzer Zeit abarbeitet wie ich. Die Darstellerin der Dr. Pulaski aus TNG spielt hier in zwei Folgen als junge Frau mit. Dass Nebendarsteller in roten Uniformen keine besonders große Lebenserwartung haben, dürfte bekannt sein. Das Phänomen der „Red Shirts“ ist mir aber aus einem Grund aufgefallen: Hin und wieder werden Crewmitglieder von Unholden auf Planet XY getötet, was dann den zentralen Konflikt der Folge entstehen lässt. Am Ende der Folge klärt sich die Sache dann, entweder weil man sich einigt, weil der Feind besiegt ist, oder weil es sowieso nur ein Missverständnis war. Schließlich lachen alle und man fliegt mit Sol-Geschwindigkeit ins nächste Abenteuer. Moment, war da nicht was mit ermordeten Crewmitgliedern? Wie wärs mit einer Gedenkminute, Trauerfeier oder irgendwas in der Art? Nein, Crewmitglieder wachsen doch in der Sternenflottenakademie nach, warum also teure Emotionen vergeuden.