Beispiel:

Permutationsfolge:= {1,2,3,5,8,13,21,34,...};

Winpwd('foo'):= 23; Unxpwd('foo'):= 1337;
Winpwd('bar'):= 666; Unxpwd('bar'):= 42;

Man muss nur 'vernünftige' Sonderzeichen nehmen, dann gibt es kein Problem. Technisch lässt sich 'vernünftig' definieren als 'ASCII-Code zwischen 32 und 127'. In diesem Bereich sind alle Zeichentabellen gleich (selbst Unicode ;-)

Bei Linux-Passwörtern passe ich auf, dass ich nur Sonderzeichen nehme, die ich auch auf einer Tastatur mit US-Belegung finde...

Ich habe denen jetzt eine Mail geschrieben, das auf diese Problematik hinweist:

Hallo,

Zum Passwort-Checker habe ich folgende Anmerkungen:

1. Unter http://www.cnlab.ch/pwcheck/technischer_ablauf.htm steht, dass mit A-Z, 0-9 36 Zeichen zur Verfügung stehen. Das stimmt nur bei Systemen, die keine Unterscheidung von Klein- und Grossbuchstaben beim Passwort zulassen. Mit A-Z, a-z, 0-9 habe ich doch immerhin 62 Zeichen !

2. Die Verwendung von Sonderzeichen (siehe http://www.cnlab.ch/pwcheck/empfehlungen.html) ist daran gebunden, dass die Sonderzeichen nur aus dem ASCII-Bereich 32-127 stammen, ansonsten ist die Zuordnung von 'Darstellung' zu 'Byte-Wert' von den aktuellen Ländereinstellungen abhängig.

   Sonderzeichen ausserhalb ASCII 32-127 können also nur dann vernünftig verwendet werden, wenn entweder

   • Das Passwort immer auf der gleichen Konsole eingegeben wird (also zB Workstation-Login)
   • Sichergestellt ist, dass jeder Rechner, wo man das Passwort eingibt, die gleiche Code-Tabelle konfiguriert ist.

   Andernfalls sollte man sich (wie gesagt) auf Zeichen zwischen 32 und 127 beschränken... (Also auch keine Umlaute !). Deshalb empfehle ich Ihnen, das Symbol für 'englisches Pfund' aus den Beispielen rauszunehmen.

Ich weiss nicht, ob das in diesem Test beachtet wird, aber Windows speichert IIRC nur die ersten sechs Zeichen eines Passworts.

Bei Unix ist die Passwortlänge hingegen theoretisch unbegrenzt. Allerdings muss ich als Dämpfer einwerfen, dass erstens viele UNIX-Systeme so konfiguriert sind, dass sie nur die ersten acht Zeichen beachten, und dass man zweitens die meisten Benutzer dazu zwingen muss, ein Passwort zu verwenden, dass länger als zwei Zeichen (= die Initialen) ist.

Ich weiss nicht, ob das in diesem Test beachtet wird, aber Windows speichert IIRC nur die ersten sechs Zeichen eines Passworts.

Wenn dies zutreffen sollte, wird es vom Passwortchecker jedenfalls nicht beachtet. Dazu braucht man nur folgende zwei Passwörter auszuprobieren:

a12345 (6 Zeichen - Bewertung schwach, 16 s)
a12345. (7 Zeichen - Bewertung stark, 1 Jahr!)

Überhaupt. Auch wenn ich mich blossstelle. Irgendwie will es mir nicht in den Kopf, wieso das Knacken des zweiten Passworts fast zwei Millionen mal länger dauern soll.
Ich sehe ja die Schwäche des ersten Passworts durch die aufsteigende Folge von Ziffern. Aber wie soll diese Schwäche nur durch einen angehängten Punkt behoben werden?
Kann mir das mal wer plausibel machen?

Never attribute to malice that which can be adequately explained by stupidity