Heißt im genauen? Wäre meine Verschlüsselung in einer annehmbaren Zeit ohne Supercomputer zu knacken? Ob man jetzt für dein Beispiel 40 Jahre und für meines 25 braucht ist ja irrelevant
Bei der Crypto kommt es u.A. auch auf den Algorithmus an, aber im Wesentlichen auch auf den Key bzw. um genau zu sein: Bei guter Crypto sollte die Sicherheit allein von deinem Key abhängig sein. So sollte etwa ein 10 Zeichen Key um einiges sicherer sein, als ein 3 Zeichen Key.
Allerdings gibt es immer wieder Entwickler, die der Meinung sind, ohne tieferes Verständnis für Crypto eigene Algorithmen entwickeln zu müssen. - Über die Gründe dafür wollen wir mal nicht diskutieren. - Dann kommt es aber gelegentlich vor, dass die Algorithmen "schlecht" sind. Schlecht bedeutet dann, dass du nur mit Kenntnis des Cyphers auf das Passwort (und auf den Klartext) zurück schließen kannst. [Es gibt allerdings noch diverse weitere Schwachstellen, die Crypto-Algorithmen aufweisen können, mittlerweile achtet man sogar auf Stromverbrauch, Laufzeit etc, die während der Verschlüsselung anfallen, um darauf basierend Rückschlüsse ziehen zu können.]
Als Beispiel könntest du die Caesar-"Verschlüsselung" sehen. Wie die funktioniert, ist dir ja sicherlich bekannt?!
Das Passwort dabei ist der Versatz, also "x", der Algorithmus dann etwa "Verschiebe um Passwort Zeichen nach links".
Der Algorithmus ist [zum Beispiel] deshalb kaputt, weil es - unabhängig vom Passwort - maximal 26 Versuche braucht, um ein Passwort zu "bruteforcen", da du maximal einen Versatz um 26 Zeichen haben kannst. Beispielsweise würde dein recht sicheres Passwort "-10.000.000" vom Algorithmus genauso wie das Passwort 16 (= -10.000.000 mod 26) behandelt. Hier hängt die Sicherheit eben nicht vom Passwort, sondern vom Algorithmus ab. Zumal es beim naiven Caesar noch andere Angriffsszenarien wie etwa Häufigkeitsanalyse gibt.
Mit den 40 oder 25 Jahren hast du natürlich Recht. Braucht dein Heimrechner 40 Jahre, dann nimmst du dir 2 davon und brauchst noch 20 Jahre, nimmst du dir 4, bist du schon bei nur noch 10 Jahren, 8 und du bist bei 5 Jahren etc. Interessant wird es erst, wenn aufgrund eines Zeichens mehr in deinem Passwort aus 20 plötzlich 200 oder 20000 Jahre werden. Was man anstrebt, ist, dass der Rechenaufwand signifikant (exponentiell) mit der Länge des Passwortes steigt. Daher werden gute Crypto-Algorithmen auch so designed, dass deren Ausführung möglichst teuer ist. Bei einem Durchlauf ist das in der Regel irrelevant, bei zig Millionen Durchläufen tut man Angreifern damit aber keinen Gefallen.
Wobei die Güte von Passwörtern nicht in jedem Angriffsszenario und jedem Algorithmus allein von der Länge abhängig ist. Bei naivem Bruteforce ("Ich probiere einfach ALLES aus") stimmt das zwar, allerdings wird heut zu Tage kaum noch auf diese Weise angegriffen. Wenn man nicht gerade ein bestimmtes Ziel hat, sondern nur "möglichst viele" Ziele angreifen möchte, dann wäre naives Bruteforcing viel zu aufwändig. Daher trifft man die berechtigte Annahme, dass eine Vielzahl der Ziele keine "guten" Passwörter verwendet, wobei gut nicht auf die Länge abzielt! Man besorgt sich dann Passwortlisten, also Listen die Wörter enthalten, die häufig als Passwort verwendet werden und beschränkt seinen Bruteforce-Angriff darauf nicht alle möglichen sondern nur die Passwörter, die sich auf der/den Listen befinden, auszuprobieren.
Wenn du Lust hast, kannst du ja mal nach Rock you suchen. Das ist eine mehr oder weniger populäre Liste mit zig tausenden häufig verwendeten Passwörtern und da sind durchaus auch mehr als 7-stellige Wörter dabei.
