Kommt schon, so schwer ist es nicht, 160 Millionen Mails zu verschicken. Man hat ja einiges an Zeit, da geht das. Und ernsthaft, "verschleiern"? Ihr Idioten sollt nix verschleiern, sondern die Daten nach Nutzung sofort löschen und während der Übertragung ordentlich verschlüsseln!!!
An den Redakteur: Man hätte sich eben die Zeit nehmen können, das "häufige" 'qwerty' durch das in Deutschland wirklich häufige 'qwertz' zu ersetzten.
Dieser "Sicherheitsexperte" Lance James hat keine Ahnung, was er da erzählt. Wieso bietet man so jemandem die Fläche, seinen Stuss zu verbreiten? Das Zeugs ist auf so viele Ebenen falsch und gefährlich, ich weiß gar nicht wo ich anfangen soll...
1. Wer dauernd sein Passwort ändern muss, der nimmt irgendwann so einfache, dass ein Computer die innerhalb von wenigen Sekunden erraten kann, auch wenn er diese dann öfter wechseln muss.
2. Regelmäßiger Passwort-Wechsel bringt nur wenig, außer mehr Arbeit für den Nutzer und die in 1. beschriebene Gefahr. Ein sicheres Password wird nicht in akzeptabler Zeit geknackt, da bringt auch ein Wechsel nach 90 Tagen nichts. Wirklich sinnvoll ist ein Wechsel nur nach einem bekannten Angriff, weil es dann tatsächlich einen Nutzen hat, und die Arbeit für den Nutzer unausweichlich ist.
3. Es werden Daten über das Passwort außerhalb des gehashten Passworts gespeichert - ein Angreifer hat somit zusätzliche Daten über das Passwort, was immer eine Gefahr ist. Wenn das Passwort in 2 Wochen geändert werden muss, weiß der Angreifer, dass das Passwort mittelschwer ist und vergeudet seine Zeit gar nicht erst mit schwachen Passwörtern - oder greift direkt nur Leute an, deren Passwort in 3 Tagen fällig ist.
Wirklich was bringen tun nur sinnvolle Speicherung der Passwörter per bcrypt oder scrypt und außerdem die Nicht-Akzeptanz von zu schwachen Passwörtern. Dabei müssen die Regeln aber sinnvoll sein - "Mindestens 1 Zahl, 1 Buchstabe, 1 Sonderzeichen und 8 Zeichen gesamt." ist dabei nicht sinnvoll, weil "love123!" immer noch unsicher ist und "ianulfhqtslgfuhdpokl" zwar sicher ist, aber nicht akzeptiert wird. Wichtig dabei also: Dynamische Änderung der Regeln (Wenn das Passwort kürzer ist, braucht es zusätzlich Sonderzeichen und Zahlen, wenn es länger ist, reichen Buchstaben) und die Filterung von ganzen Wörtern aus dem Wörterbuch und häufigen Passwörtern.
