wie kann ich mein passwort wiederverwenden und es trotzdem schützen, wenn es aus einer hand verfügbar ist?
<p>ich weiß, dass alle server <strong>sollten</strong> zumindest meine anmeldeinformationen als <code>hash(password + salt)</code> + <code>salt</code> speichern, mit einer sicheren und bekannten <code>hash</code> -funktion und einer <code>salt</code> einzigartig für mich, generiert aus einer sicheren und bekannten quelle.</p><p>das problem ist, dass server dies tun sollten, aber möglicherweise nicht. als benutzer kann ich ihnen nicht vertrauen.</p><p>ich suche nach möglichkeiten, wie ich mein kennwort ändern kann, bevor ich es an den server sende. wenn der server beispielsweise klartext speichert, wird die sicherheit meines kennworts auf anderen servern nicht beeinträchtigt.</p><p>ich dachte daran, <code>hash(password + service)</code> an die server zu senden, wobei der dienst beispielsweise <code>"facebook"</code> oder <code>"amazon"</code> ist. auf diese weise hat jemand, der <code>hash(password + service)</code> von diesem dienst im klartext gespeichert bekommt, den hash meines passworts + das salz gefunden, das für diesen dienst eindeutig ist.</p><p>ich sehe bereits ein problem mit dieser idee: jemand könnte für jeden dienst eine regenbogentabelle erstellen, wodurch die verwendung des dienstes als salz unbrauchbar wird.</p><p>ich kenne die regel <strong>erfinde keine eigene krypto/protokoll</strong>, deshalb möchte ich wissen, ob es ein bekanntes protokoll für einen client gibt, der sich selbst sichert?</p>
<p>sie versuchen, ein problem zu lösen, das sie gar nicht erst haben sollten: <strong>kennwortwiederverwendung</strong></p><p>das konzept ist einfach. sie denken an ein "gutes" passwort und verwenden dieses für alles. ihr bankkonto, online-shopping, ihr e-mail-anbieter usw.</p><p>das problem ist, wenn alle von ihnen durchgesickert sind, sind alle anderen konten möglicherweise in gefahr. <strong>dies ist ein völlig unnötiges risiko!</strong></p><h1>was ist mit meinem vorgeschlagenen schema?</h1><p>sie selbst sagten, erfinden sie das rad nicht neu. wenn sie das tatsächlich tun würden, müssten sie entweder eine anwendung schreiben, die die hashes für sie berechnet, oder sie selbst berechnen und speichern.</p><p>es gibt bereits anwendungen, die das problem der speicherung von anmeldeinformationen lösen, und sie machen es viel besser: offline-passwort-manager</p><h1>warum sind offline-passwort-manager besser?</h1><p>weil sie wirklich zufällige und eindeutige passwörter generieren. es besteht keine notwendigkeit, kryptographie in diese zu bringen. ich muss mein passwort für mein e-mail-konto nicht daran binden, dass es die zeichenfolge "gmail.com" enthält.</p><p>weil <code>sn2\zj2cw92dqx^{$omqac\_p'xr|md)[</code> ist definitiv ein besseres passwort als die md5-summe von <code>hunter2+gmail.com</code> (es ist <code>01f9a94a0febf268495d08f5960e7f05</code>, falls du dich gewundert hast).</p>
<blockquote> <p>angenommen, der server soll daten mit dem privaten schlüssel verschlüsseln und mit dem öffentlichen schlüssel entschlüsseln, um daten zu verteilen, von denen überprüft werden kann, dass sie vom richtigen server stammen.</p> </blockquote><p>sie können dies tun - auf eine sehr vereinfachte ebene funktioniert die rsa-signatur (anmerkung, vereinfacht - es steckt noch ein bisschen mehr dahinter).</p><blockquote> <p>kann ich den privaten schlüssel einfach veröffentlichen und den öffentlichen schlüssel geheim halten, anstatt den code zu ändern, um dies zu ermöglichen? beeinträchtigt dies die sicherheit des systems?</p> </blockquote><p>sie <strong> müssen den privaten schlüssel überhaupt nicht </strong> veröffentlichen - rsa ist eine trapdoor-permutation, was bedeutet:</p><ul> <li>wenn sie mit einem öffentlichen schlüssel verschlüsseln, können sie mit dem privaten schlüssel entschlüsseln.</li> <li>wenn sie mit einem privaten schlüssel verschlüsseln, können sie mit einem öffentlichen schlüssel entschlüsseln.</li> </ul><p>daher unterstützt rsa sowohl das signieren als auch das verschlüsseln, wobei der endbenutzer nur über den öffentlichen schlüssel verfügt.</p><p>wenn der client in ihrem fall überprüfen möchte, ob daten vom server stammen, wenden sie den zweiten fall von rsa an und entschlüsseln die signaturdaten mit dem bereits vorhandenen öffentlichen schlüssel.</p><p>da es sich um eine permutation handelt, sollten sie ihren code außerdem überhaupt nicht ändern müssen. beide tasten sollten mit derselben funktion arbeiten. ich würde erwarten, dass jede anständige kryptobibliothek apis zur überprüfung von signaturen gemäß den unterschiedlichen standards hat - eine davon wäre wahrscheinlich eine gute wahl.</p><p>rsa labs bieten ein nice <a href="https://web.archive.org/web/20130718172549/https://www.rsa.com/rsalabs/node.asp?id=2182">erklärung hierfür</a> .</p><p>wenn sie dies zwischen servern erweitern oder die clientkommunikation überprüfen möchten, generieren sie schlüssel für jede entität und tauschen sie die öffentlichen aus. das verfahren kann dann an beiden enden angewendet werden.</p><p>theoretisch sind e und d austauschbar (weshalb rsa funktioniert) (man muss als geheim bezeichnet und geheim gehalten werden), aber p und q müssen <strong> immer </strong> sein geheim gehalten, da diese es ihnen ermöglichen, d von e abzuleiten und umgekehrt. sie müssen jedoch beim verständnis des privaten schlüssels äußerst vorsichtig sein - speichert ihre software p/q im privaten schlüssel? wenn ja, können sie es nicht so veröffentlichen, wie es ist. auch wenn ich austauschbar sage - sobald sie eines dieser paare (e oder d zusammen mit ihrem modul n) veröffentlicht haben, müssen sie das andere <em> mit ihrem leben</em> schützen. praktisch gesehen <a href="https://stackoverflow.com/questions/696472/given-a-private-key-is-it-possible-to-derive-its-public-key">wie graeme in den kommentaren verlinkt</a> e wird oft als kleiner/fester wert gewählt. mein kommentar, dass e/d austauschbar ist, trifft eindeutig nicht zu, wenn e leicht zu bestimmen ist. wenn sie so etwas tun, kann dies zu verwirrung und fehlimplementierung führen. verwenden sie eine bibliothek eines drittanbieters/veröffentlichen sie keine privaten schlüssel.</p> Da musst du dich mit den Begriffen "digitale Signatur" (siehe <http://de.wikipedia.org/wiki/Digitale_Signatur>) und PKI bzw. Zertifikate auseinander setzen. Ist nicht sooo schwierig, wenn man einmal das Grundprinzip begriffen hat. Und es gibt auch genug Gratis-Lösungen wie z.B. PGP.


In einem Schnellverfahren erklärt:
Ein solcher digitaler "Schlüssel" besteht immer aus 2 Teilen, einem privaten Schlüssel (das ist dein Heiligtum, welches du nie weitergeben darfst) und einem öffentlichen Schlüssel (den müssen alle Beteiligten bekommen -> den musst du so viel wie möglich verbreiten bzw. sollte der auf einem Server im Internet für alle verfügbar gemacht werden).


Wenn du nun etwas verschlüsselst, musst du das **immer mit dem öffentlichen Schlüssel aller Empfänger** verschlüsseln (die musst du natürlich vorher von denen bekommen) -> denn nur diese können die E-Mail dann mit Hilfe ihres jeweiligen privaten Schlüssels wieder entschlüsseln.


Fazit: nur mit solchen Techniken lassen sich Manipulationen verhindern bzw. nachweisen. beim account der ausgeloggt wird bleibt alles erhalten.


Wenn du dein passwort nicht mehr weißt, dann nutze die **Passwort vergessen** funktion.


Wenn du öfters mal Passwörter vergisst, empfehle ich dir KeePass für windows und dazu KeePassDroid für Android. hallo,

habt ihr das gerät schon mal aus-und wieder eingeschaltet? so komisch das auch klingt, aus meiner erfahrung behebt das schon viele komische fehler.

als nächstes könnte man die daten des gerätes sichern. entweder in die cloud oder auf einen pc. anschließend kann man das gerät zurück setzen. … hi@statia,herzlich willkommen in unserer community.tut mir leid, dass es bei dir einen zugriff durch dritte gibt. bitte wundere dich nicht, dass ich deinen post verschoben habe. wir haben das thema bereits vorliegen, daher habe ich ihn hierher verschoben.bitte ändere zuerst direkt deine zugangsdaten, indem du das passwort zurücksetzt. im nachfolgenden link findest du eine anleitung dafür, wie das passwort neu vergeben werden kann:ferne bitte ich dich, wobei dies vom gerät abhängt, alle automatischen logins zu entfernen. logge dich also einmal bewusst aus allen joyn apps aus, in denen du eingeloggt bist. ein schließen der app führt nicht automatisch zum logout aus der app, wodurch andere, wenn sie zugriff auf das gerät haben, beim Öffnen der app inhalte sehen können. wenn er nicht auch eine handynummer hinterlegt hat, zu der der bestätigungscode auch geschickt werden kann, dann wird es kritisch.
am besten bastelt der nutzer sich dann einen neuen account.

allerdings könnte er auch noch versuchen, über die startseite in seinen e-mail account zu kommen.
oder über seinen clever account - einstellungen - manchmal kann man dann noch etwas ändern. Geh bitte nach dieser Anleitung von Paypal vor:


**<https://www.paypal.com/selfhelp/article/FAQ1169>**


*Was mache ich, wenn ich glaube, dass jemand unberechtigt auf mein Konto zugegriffen hat?*


***Sie können sich nicht mehr einloggen?***


*So können Sie direkt Maßnahmen für Ihr Konto ergreifen, wenn Sie sich nicht mehr einloggen können:*


1. *gehen Sie bitte auf [www.paypal.de](http://www.paypal.de)*
2. *Klicken Sie am Ende der Seite auf den Link "Sicherheit".*
3. *Klicken Sie auf "Unberechtigten Kontozugriff melden" und folgen Sie den Schritten.*


*Bitte setzen Sie sich darüber hinaus auch mit Ihrer Bank oder Ihrer   
Kreditkartengesellschaft in Verbindung, und schildern Sie den Vorfall,   
falls Sie finanzielle Daten weitergegeben haben.*


**Wenn Du Dich durch alles durchgeklickt hast, kiommst Du auf dieser Seite an:**


**<https://www.paypal.com/de/ewf/f=sa_unauth>**


und dann unter diesem Punkt "***Sie können sich momentan nicht einloggen?***" auf ***Weiter*** klicken Von Dir wahrscheinlich wieder die Angabe einer Kreditkartennummer anfordern:


<https://www.gutefrage.net/frage/steam-paypal-lastschrift-funktioniert-nicht?foundIn=user-profile-question-listing> Hast du ein Backup deiner Daten? ...nein?  
Dann ist der Fall abgeschlossen ich hoffe du weist jetzt wofür Datensicherungen gut sind. @musicnationdu kannst zusätzlich, wenn du dich per webbrowser am pc anmeldest, in deinen kontoeinstellungen unter geräte alle nicht von dir selber genutzten geräte entfernen. ohne das neue passwort kann der/diejenige sich dann nicht mehr anmelden.andere systeme wie sonos, alexa usw., auf denen dein account evtl. ebenfalls angemeldet ist, kannst du unter „mehr“… „apps“ sehen und löschen.