Shard: Neues Tool spürt Passwort-Doppelnutzung auf

Ein Sicherheitsforscher hat ein Werkzeug veröffentlicht, mit dem Nutzer herausfinden können, ob Passwörter bei populären Webdiensten doppelt genutzt werden. Brute-Force-Angriffe sind damit aber nur in der Theorie möglich.

Artikel veröffentlicht am ,
Passwörter sollten nur einmal genutzt werden.
Passwörter sollten nur einmal genutzt werden. (Bild: Pawel /Reuters)

Häufig benutzte Passwörter sind ein Risiko - darauf soll ein neues Tool aufmerksam machen. Nutzer können damit ihre eigene Verwundbarkeit testen. Kopierte Nutzerdaten von Online-Diensten sind vor allem deshalb ein Problem, weil viele Nutzer ihre Passwörter wiederverwenden. Da meist die Mailadresse als Login-Name eingesetzt wird, lassen sich entwendete Nutzerdaten häufig missbrauchen, um auch andere Accounts zu kompromittieren.

Stellenmarkt
  1. IT-Supporter Endgeräte (w/m/d)
    Dataport, Altenholz bei Kiel
  2. Mitarbeiter*in (m/w/d) für den technischen Support Medientechnik/IT
    VAV Medientechnik GmbH, Buxtehude, München, Landsberg
Detailsuche

Vielen Nutzern dürfte gar nicht mehr bewusst sein, bei welchen Diensten sie sich in den vergangenen Jahren mit welchen Passwörtern angemeldet haben. Mit dem Kommandozeilentool Shard lassen sich verschiedene Accounts jetzt einfach durchprobieren.

Derzeit werden Reddit, Twitter, Instagram, Facebook und Linkedin unterstützt, nach Angaben des Entwicklers Philip O'Keefe sollen sich jedoch mit geringem Aufwand weitere Module entwickeln lassen.

Die Software basiert auf Java und läuft auf der Kommandozeile. Der zu testende Nutzername und das Passwort werden der Software als Argument übergeben. Wenn eine Übereinstimmung mit Webdiensten gefunden wird, wird dies ausgegeben. Es lassen sich auch mehrere Nutzernamen und Passwörter in einer Datei speichern und dem Programm übergeben. Nutzer könnten also die Daten des Linkedin-Einbruchs laden - doch massenhafte Angriffe dürften trotzdem nicht erfolgreich sein.

Große Dienste bieten Schutz gegen solche Angriffe

Golem Karrierewelt
  1. Adobe Premiere Pro Grundkurs: virtueller Zwei-Tage-Workshop
    26./27.09.2022, Virtuell
  2. Green IT: Praxisratgeber zur nachhaltigen IT-Nutzung (virtueller Ein-Tages-Workshop)
    26.10.2022, virtuell
Weitere IT-Trainings

Denn große Webdienste haben in der Regel Sicherheitsmechanismen, wenn in kurzer Zeit zahlreiche erfolglose Login-Versuche erfolgen oder von einer IP-Adresse aus in kurzer Zeit viele Kombinationen von Nutzername und Passwort durchprobiert werden. Nutzer müssen dann meist Captchas lösen, bevor sie weitere Versuche starten können. Daher dürfte sich das Tool nicht für Angriffe im großen Stil eignen.

In diesem Jahr wurden bereits mehr als 600 Millionen Nutzerdaten veröffentlicht, wobei die Offenlegung des Linkedin-Datensatzes mit mehr als 167 Millionen Einträgen die größte ist. Mit dem Webdienst Have I been pwned können Nutzer feststellen, ob ihre Accounts von großen Datenpannen oder Einbrüchen betroffen sind. The Register berichtete ebenfalls über das Tool.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Mithrandir 14. Jul 2016

Wird mit den gegebenen Standards ohne zusätzliche Software auf den jeweiligen Endgeräten...

SoniX 12. Jul 2016

Ja, ist ein wenig lächerlich diese wenigen Seiten. Abgesehen von den Bedenken einem...

M.P. 12. Jul 2016

Ich nenne mich "Sicherheitsforscher", verteile ein "Testtool" und die armen Opfer geben...

Wavum 12. Jul 2016

Das Ding ist Open Source. Schau doch rein ob etwas nicht stimmt und um nochmal sicher zu...



Aktuell auf der Startseite von Golem.de
Elon Musk und Manchester United
Der Meme-Lord braucht die Blutgrätsche

Wenn Musk twittert, zittern die Anleger und nun auch Fußball-Fans. Wie sich der Milliardär endgültig ins Abseits bewegt und wie die Öffentlichkeit damit umgehen sollte.
Ein IMHO von Lennart Mühlenmeier

Elon Musk und Manchester United: Der Meme-Lord braucht die Blutgrätsche
Artikel
  1. Wheelhome Vikenze III-e: Winziges elektrisches Wohnmobil mit Solardach
    Wheelhome Vikenze III-e
    Winziges elektrisches Wohnmobil mit Solardach

    Wheelhome hat mit dem Vikenze III-e ein elektrisches Wohnmobil für ein bis zwei Personen vorgestellt, das sich selbst dank Solarzellen mit Strom versorgt.

  2. Urteil: Tesla darf den Autopilot weiterhin so nennen
    Urteil
    Tesla darf den Autopilot weiterhin so nennen

    Das Assistenzsystem-Paket von Tesla darf weiterhin als Autopilot bezeichnet werden. Der Versuch, dies Tesla zu verbieten, blieb vor Gericht erfolglos.

  3. Post-Quanten-Kryptografie: Die neuen Kryptoalgorithmen gegen Quantencomputer
    Post-Quanten-Kryptografie
    Die neuen Kryptoalgorithmen gegen Quantencomputer

    Die US-Behörde NIST standardisiert neue Public-Key-Algorithmen - um vor zukünftigen Quantencomputern sicher zu sein.
    Eine Analyse von Hanno Böck

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • PS5 bestellbar bei Amazon & Co. • MSI Geburtstags-Rabatte • Neuer Saturn-Flyer • Game of Thrones reduziert • MindStar (MSI RTX 3070 599€) • Günstig wie nie: MSI 32" WHD 175 Hz 549€, Zotac RTX 3080 12GB 829€, Samsung SSD 1TB/2TB (PS5) 111€/199,99€ • Bester 2.000€-Gaming-PC[Werbung]
    •  /