Verifica password violate
Scopra se una password è comparsa in una violazione di dati. La password stessa non lascia mai il suo browser.
A Have I Been Pwned vengono inviati solo i primi 5 caratteri dell’hash SHA-1 della password; la password e l’hash completo restano nel suo browser.
Come funziona
Il browser calcola l’hash SHA-1 della password e invia solo i primi cinque caratteri di quell’hash al servizio Pwned Passwords gestito da Have I Been Pwned. Il servizio restituisce le parti finali di tutti gli hash violati che iniziano con quei cinque caratteri, di solito diverse centinaia, più un riempimento casuale, così la dimensione della risposta non rivela nulla. Il browser cerca poi il resto dell’hash in quell’elenco. Grazie a questo metodo, chiamato k-anonimato, né Have I Been Pwned né AngelForce vengono a conoscenza della password o del suo hash completo.
Come leggere il risultato
Un conteggio superiore a zero indica quante volte la password compare nei dati delle violazioni. Gli attaccanti caricano questi elenchi nei loro strumenti di cracking, quindi consideri pubblica qualsiasi password trovata qui, per quanto complessa possa sembrare. Non trovata non significa robusta: una password corta o prevedibile può comunque essere indovinata. Il controllo riguarda solo la password e non indica quali account o violazioni siano coinvolti.
Domande frequenti
È sicuro digitare qui una password reale?
Solo cinque caratteri dell’hash SHA-1 lasciano il browser, e centinaia di password violate li condividono. Nulla viene conservato. Nel dubbio, effettui la verifica da un dispositivo di cui si fida.
Cosa devo fare se la mia password viene trovata?
Smetta di usarla. La cambi ovunque l’abbia usata, iniziando dall’email e dagli altri account importanti, e attivi l’autenticazione a più fattori. Un password manager rende pratico l’uso di password uniche.
Perché SHA-1?
È il formato che il servizio Pwned Passwords usa per le ricerche. Qui SHA-1 serve solo come indice per la ricerca per intervallo, non come protezione della password.
Da dove provengono i dati?
Da Pwned Passwords, una raccolta di centinaia di milioni di password reali esposte in violazioni di dati, gestita da Have I Been Pwned di Troy Hunt.
Le serve più di quanto possa mostrare uno strumento?
Uno strumento verifica un singolo aspetto. I nostri consulenti guardano il quadro completo.
Sicurezza gestitaArticoli correlati
-
Organizzi questa settimana un tabletop di incident response
Simuli in due ore un ransomware o un account takeover con un piccolo team, registri le lacune e ne ricavi un runbook con responsabili nominati.
-
Password e passkey: cosa raccomanda la NIST SP 800-63B-4
Le regole attuali del NIST sulle password: minimo 15 caratteri, niente cambi forzati, controllo delle password violate, robustezza dell’MFA e ruolo delle passkey.
-
Errori di sicurezza con i JWT e come evitarli
Errori comuni con i JWT (alg none, confusione tra RS256 e HS256, segreti HMAC deboli, claim non verificati, kid injection, revoca, archiviazione) e le soluzioni.