Check op gelekte wachtwoorden
Bekijk of een wachtwoord is opgedoken in een datalek. Het wachtwoord zelf verlaat uw browser nooit.
Alleen de eerste 5 tekens van de SHA-1-hash van het wachtwoord worden naar Have I Been Pwned gestuurd; het wachtwoord en de volledige hash blijven in uw browser.
Zo werkt het
Uw browser hasht het wachtwoord met SHA-1 en stuurt alleen de eerste vijf tekens van die hash naar de dienst Pwned Passwords van Have I Been Pwned. De dienst geeft de eindes terug van alle gelekte hashes die met die vijf tekens beginnen, meestal enkele honderden, plus willekeurige opvulling, zodat de grootte van het antwoord niets verraadt. Uw browser zoekt vervolgens de rest van uw hash in die lijst. Door deze methode, k-anonimiteit genoemd, komen Have I Been Pwned en AngelForce uw wachtwoord en de volledige hash niet te weten.
Het resultaat lezen
Een aantal boven nul geeft aan hoe vaak het wachtwoord voorkomt in de gelekte gegevens. Aanvallers laden deze lijsten in hun kraaktools, dus beschouw elk wachtwoord dat hier wordt gevonden als openbaar, hoe complex het er ook uitziet. Niet gevonden betekent niet sterk: een kort of voorspelbaar wachtwoord kan nog steeds worden geraden. De controle gaat alleen over het wachtwoord. U ziet niet om welke accounts of datalekken het ging.
Vragen
Is het veilig om hier een echt wachtwoord in te typen?
Alleen vijf tekens van de SHA-1-hash verlaten uw browser, en honderden gelekte wachtwoorden delen die. Er wordt niets opgeslagen. Twijfelt u, controleer dan vanaf een apparaat dat u vertrouwt.
Wat moet ik doen als mijn wachtwoord wordt gevonden?
Gebruik het niet meer. Wijzig het overal waar u het hebt gebruikt, te beginnen met uw e-mail en andere belangrijke accounts, en schakel multifactorauthenticatie in. Met een wachtwoordmanager zijn unieke wachtwoorden goed te doen.
Waarom SHA-1?
Dat is het formaat dat de dienst Pwned Passwords gebruikt om op te zoeken. SHA-1 dient hier alleen als index voor de bereikopvraging, niet als bescherming van het wachtwoord.
Waar komen de gegevens vandaan?
Uit Pwned Passwords, een verzameling van honderden miljoenen echte wachtwoorden die bij datalekken zijn uitgelekt, beheerd door Have I Been Pwned van Troy Hunt.
Meer nodig dan een tool kan laten zien?
Een tool controleert één ding. Onze consultants kijken naar het geheel.
Beheerde beveiligingGerelateerde artikelen
-
Houd deze week een tabletop van twee uur voor incident response
Houd een tabletop van twee uur over ransomware of accountovername, log de gaten en maak er een kort runbook van met benoemde eigenaren.
-
Wachtwoorden en passkeys: wat NIST SP 800-63B-4 aanbeveelt
De wachtwoordregels van NIST uitgelegd: minimaal 15 tekens, geen verplichte wissel, controle op gelekte wachtwoorden, plus MFA-sterkte en passkeys.
-
Valkuilen bij JWT-beveiliging en hoe u ze vermijdt
Veelgemaakte JWT-fouten: alg none, verwarring tussen RS256 en HS256, zwakke HMAC-geheimen, ontbrekende claimcontroles, kid-injectie, intrekking en opslag.