@Golem: Da wurden keine Passwörter ausgelesen!

[Quantium40]

Bitte lest nochmal genau den Text in Full-Disclosure.

Es werden keine noch sovielen Passörter ausgelesen, sondern es wird beschrieben, wie ein angemeldeter aber nicht privilegierter Nutzer schneller Passwörter per Bruteforce für andere ihm bekannte Benutzer durchprobieren kann.

Der Witz an der Sache ist, dass ein Nutzerwechsel schneller abläuft bzw. deutlich weniger Traffic erzeugt als eine komplette Neuanmeldung.

Allerdings sind auch 5000 Passwörter pro Sekunde maximal für den Abgleich mit Wortlisten geeignet, da zum einen die Internetverbindung des Servers hier der limitierende Faktor sein sollte (die Verbindung dürfte bei so einem Angriff entweder in Sättigung gehen oder aber wenigstens deutlich belastet werden) und zum anderen der Suchraum für komplexe Passwörter mit nach heutigen Maßstäben als sicher erachteten Passwörtern um viele Zehnerpotenzen höher ist.