warum verbietet eine passwortanforderung eine zahl im letzten zeichen?
<p>bei der heutigen konfiguration eines neuen systems (juniper space, linux-basierte netzwerkverwaltungsplattform) bin ich auf eine bizarre kennwortanforderung gestoßen, auf die ich neugierig bin. als ich mich mit den standardanmeldeinformationen bei der web-benutzeroberfläche anmeldete, wurde ich aufgefordert, das kennwort zu ändern. dies ist in ordnung, aber mein zufällig generiertes kennwort wurde abgelehnt, da das letzte zeichen eine zahl war. dies kam mir umso seltsamer vor, als das passwort, das ich für die befehlszeilenschnittstelle angegeben hatte, mit einer nummer endete und akzeptiert wurde.</p><p> <a href="https://i.stack.imgur.com/ihpl0.png">(<img src="https://i.stack.imgur.com/ihpl0.png" alt="change default password screenclip"></a> </p><p>nach meiner erfahrung haben solche passwortanforderungen im allgemeinen einige gründe: <a href="https://security.stackexchange.com/q/57909/11622">wie q und z, die auf alten telefontastaturen nicht vorhanden sind</a> oder <a href="https://security.stackexchange.com/q/17192/11622">kompatibilität mit legacy-systemen</a> oder j-- <a href="https://security.stackexchange.com/q/32691/11622">nur schlechte systeme/richtlinien/was auch immer</a> . es fällt mir jedoch viel schwerer, diese spezielle politik mit einer dieser erklärungen zu erklären.</p><p>hat jemand einen einblick in die gründe für eine kennwortrichtlinie, die ein numerisches letztes zeichen verbietet?</p>
<p>es ist wahrscheinlich ein versuch, passwörter zu entmutigen, die zu gängigen formaten oder zeichenmasken passen. wenn für eine kennwortrichtlinie die verwendung einer nummer erforderlich ist, setzen viele personen ihre nummer am ende eines wortes oder von wörtern. hier einige beispiele aus unternehmensumgebungen:</p><ul> <li> <a href="http://passwordresearch.com/stats/statistic397.html">netspi top password masks für 2015</a> </li> <li> <a href="http://passwordresearch.com/stats/statistic376.html">2015 trustwave global security report - kennwortmasken</a> </li> </ul><p>angreifer mögen diese benutzergewohnheit, weil sie das knacken oder erraten von hybrid-passwörtern erleichtert. sie können sich darauf konzentrieren, wortlisten mit am ende hinzugefügten zahlen zu kombinieren, anstatt einen zeitaufwändigeren brute-force-ansatz zu wählen.</p><p>einige organisationen implementieren eine solche richtlinie, um die sicherheit zu verbessern, indem benutzer dazu gebracht werden, ihre nummern einzugeben. dies ist ein weniger vorhersehbarer ort. es hört sich so an, als würden sie dies in ihrer situation nicht mit einer anderen komplexitätsprüfung kombinieren und stattdessen alle passwörter ablehnen, die mit einer zahl enden, unabhängig davon, wie zufällig sie ansonsten sind. das ist keine sehr gute möglichkeit, diese art der überprüfung zu implementieren, aber sie sind mit diesem ansatz nicht allein.</p>
@bibabumsebaer: Ich habe perfekte Passwörter aus Groß- und Kleinbuchstaben und Zahlen wild durcheinander. Für VISA habe ich Sonderzeichen eingestreut und trotzdem habe ich das gleiche Problem: Nie wird eines der eingegenen Passwörter akzeptiert.
Weiß jemand Rat? Von Dir wahrscheinlich wieder die Angabe einer Kreditkartennummer anfordern:


<https://www.gutefrage.net/frage/steam-paypal-lastschrift-funktioniert-nicht?foundIn=user-profile-question-listing> hi@statia,herzlich willkommen in unserer community.tut mir leid, dass es bei dir einen zugriff durch dritte gibt. bitte wundere dich nicht, dass ich deinen post verschoben habe. wir haben das thema bereits vorliegen, daher habe ich ihn hierher verschoben.bitte ändere zuerst direkt deine zugangsdaten, indem du das passwort zurücksetzt. im nachfolgenden link findest du eine anleitung dafür, wie das passwort neu vergeben werden kann:ferne bitte ich dich, wobei dies vom gerät abhängt, alle automatischen logins zu entfernen. logge dich also einmal bewusst aus allen joyn apps aus, in denen du eingeloggt bist. ein schließen der app führt nicht automatisch zum logout aus der app, wodurch andere, wenn sie zugriff auf das gerät haben, beim Öffnen der app inhalte sehen können. > 
> Quote: Liegt es daran, dass es zweimal dieselbe E-mailadresse ist? 
> 
> 
> 


Soweit ich weiß benötigt jedes Konto eine **eineindeutige** E-Mail Adresse.


Doppeltanmeldungen sollte es eigentlich nicht geben dürfen.


Wurde evtl. Facebook, GooglePlus & Co. (statt einer E-Mail) für den Login in das aktuellere Konto verwendet?   

Laut anderen Nutzern wird dann teils das alte Profil überschrieben bzw. umbenannt.


Besitzt überhaupt das neuere Konto eine zugeordnete E-Mail Adresse?


Wenn es in der App mit dem Anmelden nicht klappt:   

Schon mal im Web [www.duolingo.com](http://www.duolingo.com) versucht?


Entweder man gibt seinen Benutzernamen ein ODER man verwendet eine *eineindeutige* E-Mail Adresse + Passwort.


Wie lautet denn das zweite Konto?   

Ist von Duolingo auf irgendwelche kryptischen Buchstaben und Nummern/Zeichen zurückgesetzt worden?


Wenn die Passwörter gleich sind, müßtest zumindest über den Login **per Username** in das andere Konto kommen können.


Habe ich es richtig verstanden dass in der Inbox E-mails vom Absender [duolingo.com](http://duolingo.com) zum neueren Konto wegen Streakverlust & Co. eintreffen und man somit sieht, dass auch das zweite Konto die gleiche E-Mail Adresse verwendet?


Ja wie denn das?


Vielleicht irgendeine Alias / Sub E-Mail Adresse verwendet die jetzt im gleichen Posteingang herauskommt?


Wurde die option "I cannot access my account" beim Ticket verwendet: <https://support.duolingo.com/hc/en-us/requests/new>


Oder versehentlich "nur" einen Bug Report submittet?   

Zur letztere "normale" Option enthält man - außer der Auto-Reply zum Eingang des Tickets - keinerlei Rückmeldungen vom Support/Entwicklern!!! Wollte mich anmelden bekomme aber kein Code zugeschickt




[Lösung in ursprünglichem Beitrag anzeigen](/t5/Einstellungen-Funktionen/Anmeldung/m-p/2649009#M39064) wenn er nicht auch eine handynummer hinterlegt hat, zu der der bestätigungscode auch geschickt werden kann, dann wird es kritisch.
am besten bastelt der nutzer sich dann einen neuen account.

allerdings könnte er auch noch versuchen, über die startseite in seinen e-mail account zu kommen.
oder über seinen clever account - einstellungen - manchmal kann man dann noch etwas ändern. man konnte es bisher auch nicht sperren und im grunde ist es, wegen dem handshake-verfahren, auch nicht wirklich nötig.

 

dennoch haben wir jetzt eine möglichkeit gefunden eine sperre individuell einzurichten.

 

das ist doch gut, oder etwa nicht? :relaxed: Hallo savest8 (André),

gerade Studenten sollen doch wissen, dass jede **endliche Reihe ohne Angabe von Randbedingungen durch unendlich viele Algorithmen "hingebastelt"** werden können. (das Summenzeichen ist ja hier irrelevant)

(unter <http://www.gerdlamprecht.de/Zahlenfolgen.html> zig Beispiele dafür)

Es kann doch nicht sein, dass die intelligenteren Studenten, die mehr Algorithmen (Funktionen usw.) kennen als andere, dann bestraft werden, nur weil "ihre Gedanken" etwas komplexer  waren als bei anderen... 

OK, Nachkommastellen-Algorithmen oder Pseudo-Zufallsgenerator-Algorithmen kann man wohl ausschließen.

( Im Gegenteil, ich würde Studenten Extra-Punkte vergeben, wenn sie neben einer primitiven noch eine andere Lösung finden... )

Die **Angabe von Randbedingungen** halte ich als **ganz wichtige Angabe einer "sauberen Aufgabenstellung"**!

Beispiele:

- Angabe, ob Brüche gekürzt sind (wurde ja schon genannt)

- Angabe, ob Interpolationspolynom (will man dies nicht explizit nennen, kann dies auch indirekt erfolgen, wenn durch Angabe der maximalen (Ganz-)Zahl im Algorithmus & genügen viele Glieder ein Polynom ausgeschlossen wird; Beispiel oben taucht ja die Zahl 9193 auf -> die Randbedingung "im Algorithmus keine Ganzzahlen über 99" oder Maximalzahl von Operatoren & Funktionen... Beispiel: (k(k(k(491*k-3842)+9193)-6610)+192)/192 )

- Angabe, ob höhere Funktionen beteiligt, sonst kommt noch so etwas:

(k(k(7k(271k-2266)+35507)-8102)+960)*Bernoulli(2k+2)/160
  


<http://www.wolframalpha.com/input/?i=table+(k(k(7k(271k-2266)%2B35507)-8102)%2B960)*bernoulli(2k%2B2)%2F160,k%3D0...4>
  


Die Angabe der maximalen Operatoren/Funktionen oder Klammern ist auch wichtig, um Lösungen wie

(2k(k((k-4)k+8)-2)+3)/3*(-1)^k/k!
  


{ LINK: <http://www.wolframalpha.com/input/?i=table++(2k(k((k-4)k%2B8)-2)%2B3)%2F3*(-1)%5Ek%2Fk!,k%3D0...4>

} auszuschließen.

Sonderrolle spielen Primzahlen. Manchmal bereits in der Grundschule erwartet...

einige Programme haben sie integriert {WolframAlpha kennt Prime(x) }

... eine exakte Formel wie <http://www.lamprechts.de/gerd/php/Formeln/Formel-7.png>

wird nie in Aufgaben abgefragt werden...

Was generell viele falsche Gedankengänge vertreiben hilft, sind mehr als 5 Glieder in der Aufgabenstellung.

wenn da noch -243/120 steht, **sieht man schneller**, dass:

- Vorzeichen immer wechselt

- hier nicht gekürzt wurde

- 120 bei der Fakultät auftaucht

- das Interpolationspolynom kaum noch mit üblichen Faktoren dargestellt werden kann (Taschenrechnergenauigkeit reicht nicht mehr) <p>hinweis: ab azure sql database v12 gelten diese einschränkungen nicht mehr.</p><p>das ist kein "primärindex". es gibt so etwas wie einen "primärschlüssel" und es gibt auch so etwas wie einen "clustered index". unterschiedliche konzepte, oft verwirrt. lassen sie uns angesichts dieser unterscheidung die frage noch einmal betrachten:</p><p>q1) kann der clustered-index in einer sql azure-tabelle geändert werden?<br> a: ja. verwenden sie <code>with (drop\_existing=on)</code>:</p><pre><code>create table friend ( userid int not null, id int not null); go create clustered index cdxfriend on friend (userid, id); go create clustered index cdxfriend on friend (id, userid) with (drop\_existing=on); go </code></pre><p>f2) kann der clustered-index einer tabelle mit einer primärschlüsseleinschränkung geändert werden?<br> a: ja, wie oben, solange die primärschlüsseleinschränkung nicht über den clustered-index erzwungen wird:</p><pre><code>create table friend ( userid int not null, id int not null identity(1,1), constraint pk\_friend primary key nonclustered (id)); create clustered index cdxfriend on friend (userid, id); go create clustered index cdxfriend on friend (id, userid) with (drop\_existing=on); go </code></pre><p>f3) kann die primärschlüsseleinschränkung einer tabelle geändert werden?<br> a: ja, solange die primäre einschränkung nicht über den clustered-index erzwungen wird:</p><pre><code>create table friend ( userid int not null, id int not null identity(1,1), constraint pk\_friend primary key nonclustered (id)); go create clustered index cdxfriend on friend (userid, id); go alter table friend drop constraint pk\_friend; alter table friend add constraint pk\_friend primary key nonclustered (userid) go </code></pre><p>f4) kann der primärschlüssel einer tabelle geändert werden, wenn er über den clustered-index erzwungen wird?<br> a: ja, wenn die tabelle nie zeilen hatte:</p><pre><code>create table friend ( userid int not null, id int not null identity(1,1), constraint pk\_friend primary key clustered (userid, id)); go alter table friend drop constraint pk\_friend; alter table friend add constraint pk\_friend primary key clustered (id, userid) go </code></pre><p>f5) kann der primärschlüssel einer tabelle geändert werden, wenn er über den clustered-index erzwungen wird, wenn die tabelle gefüllt ist?<br> a: nein. jede operation, die einen aufgefüllten clustered-index in einen heap konvertiert, wird in sql azure blockiert <em>, auch wenn die tabelle leer ist </em>:</p><pre><code>create table friend ( userid int not null, id int not null identity(1,1), constraint pk\_friend primary key clustered (userid, id)); go insert into friend (userid) values (1); delete from friend; go alter table friend drop constraint pk\_friend; </code></pre><p>als randnotiz: die einschränkung kann geändert werden, wenn die tabelle <em> abgeschnitten ist </em>.</p><p>die problemumgehung zum ändern der pk-einschränkung einer aufgefüllten tabelle besteht darin, das gute alte <a href="http://msdn.microsoft.com/en-us/library/ms188351.aspx"><code>sp\_rename</code></a> trick:</p><pre><code>create table friend ( userid int not null, id int not null identity(1,1), constraint pk\_friend primary key clustered (userid, id)); go insert into friend (userid) values (1); go create table friendnew ( userid int not null, id int not null identity(1,1), constraint pk\_friend\_new primary key clustered (id, userid)); go set identity\_insert friendnew on; insert into friendnew (userid, id) select userid, id from friend; set identity\_insert friendnew off; go begin transaction exec sp\_rename 'friend', 'friendold'; exec sp\_rename 'friendnew', 'friend'; commit; go sp\_help 'friend'; </code></pre><p>das <code>sp\_rename</code> ansatz hat einige probleme, vor allem, dass berechtigungen für die tabelle während des umbenennens nicht übertragen werden, sowie fremdschlüsseleinschränkungen.</p> <blockquote> <p>angenommen, der server soll daten mit dem privaten schlüssel verschlüsseln und mit dem öffentlichen schlüssel entschlüsseln, um daten zu verteilen, von denen überprüft werden kann, dass sie vom richtigen server stammen.</p> </blockquote><p>sie können dies tun - auf eine sehr vereinfachte ebene funktioniert die rsa-signatur (anmerkung, vereinfacht - es steckt noch ein bisschen mehr dahinter).</p><blockquote> <p>kann ich den privaten schlüssel einfach veröffentlichen und den öffentlichen schlüssel geheim halten, anstatt den code zu ändern, um dies zu ermöglichen? beeinträchtigt dies die sicherheit des systems?</p> </blockquote><p>sie <strong> müssen den privaten schlüssel überhaupt nicht </strong> veröffentlichen - rsa ist eine trapdoor-permutation, was bedeutet:</p><ul> <li>wenn sie mit einem öffentlichen schlüssel verschlüsseln, können sie mit dem privaten schlüssel entschlüsseln.</li> <li>wenn sie mit einem privaten schlüssel verschlüsseln, können sie mit einem öffentlichen schlüssel entschlüsseln.</li> </ul><p>daher unterstützt rsa sowohl das signieren als auch das verschlüsseln, wobei der endbenutzer nur über den öffentlichen schlüssel verfügt.</p><p>wenn der client in ihrem fall überprüfen möchte, ob daten vom server stammen, wenden sie den zweiten fall von rsa an und entschlüsseln die signaturdaten mit dem bereits vorhandenen öffentlichen schlüssel.</p><p>da es sich um eine permutation handelt, sollten sie ihren code außerdem überhaupt nicht ändern müssen. beide tasten sollten mit derselben funktion arbeiten. ich würde erwarten, dass jede anständige kryptobibliothek apis zur überprüfung von signaturen gemäß den unterschiedlichen standards hat - eine davon wäre wahrscheinlich eine gute wahl.</p><p>rsa labs bieten ein nice <a href="https://web.archive.org/web/20130718172549/https://www.rsa.com/rsalabs/node.asp?id=2182">erklärung hierfür</a> .</p><p>wenn sie dies zwischen servern erweitern oder die clientkommunikation überprüfen möchten, generieren sie schlüssel für jede entität und tauschen sie die öffentlichen aus. das verfahren kann dann an beiden enden angewendet werden.</p><p>theoretisch sind e und d austauschbar (weshalb rsa funktioniert) (man muss als geheim bezeichnet und geheim gehalten werden), aber p und q müssen <strong> immer </strong> sein geheim gehalten, da diese es ihnen ermöglichen, d von e abzuleiten und umgekehrt. sie müssen jedoch beim verständnis des privaten schlüssels äußerst vorsichtig sein - speichert ihre software p/q im privaten schlüssel? wenn ja, können sie es nicht so veröffentlichen, wie es ist. auch wenn ich austauschbar sage - sobald sie eines dieser paare (e oder d zusammen mit ihrem modul n) veröffentlicht haben, müssen sie das andere <em> mit ihrem leben</em> schützen. praktisch gesehen <a href="https://stackoverflow.com/questions/696472/given-a-private-key-is-it-possible-to-derive-its-public-key">wie graeme in den kommentaren verlinkt</a> e wird oft als kleiner/fester wert gewählt. mein kommentar, dass e/d austauschbar ist, trifft eindeutig nicht zu, wenn e leicht zu bestimmen ist. wenn sie so etwas tun, kann dies zu verwirrung und fehlimplementierung führen. verwenden sie eine bibliothek eines drittanbieters/veröffentlichen sie keine privaten schlüssel.</p>