Sprawdzanie wycieku hasła
Proszę sprawdzić, czy hasło pojawiło się w wycieku danych. Samo hasło nigdy nie opuszcza przeglądarki.
Do Have I Been Pwned wysyłanych jest tylko pierwszych 5 znaków skrótu SHA-1 hasła; hasło i pełny skrót pozostają w przeglądarce.
Jak to działa
Przeglądarka oblicza skrót hasła algorytmem SHA-1 i wysyła tylko pierwsze pięć znaków tego skrótu do usługi Pwned Passwords prowadzonej przez Have I Been Pwned. Usługa zwraca końcówki wszystkich skrótów z wycieków, które zaczynają się od tych pięciu znaków, zwykle kilkaset, uzupełnione losowym wypełnieniem, aby rozmiar odpowiedzi niczego nie zdradzał. Następnie przeglądarka szuka na tej liście pozostałej części Państwa skrótu. Dzięki tej metodzie, zwanej k-anonimowością, ani Have I Been Pwned, ani AngelForce nie poznaje Państwa hasła ani jego pełnego skrótu.
Jak czytać wynik
Liczba większa od zera to liczba wystąpień hasła w danych z wycieków. Atakujący wczytują takie listy do swoich narzędzi do łamania haseł, dlatego każde znalezione tu hasło należy traktować jako publiczne, niezależnie od tego, jak skomplikowane się wydaje. Wynik „nie znaleziono” nie oznacza, że hasło jest silne: krótkie lub przewidywalne hasło nadal można odgadnąć. Test dotyczy wyłącznie hasła. Nie pokazuje, których kont ani wycieków ono dotyczy.
Pytania
Czy wpisanie tu prawdziwego hasła jest bezpieczne?
Przeglądarkę opuszcza tylko pięć znaków skrótu SHA-1, wspólnych dla setek haseł z wycieków. Nic nie jest przechowywane. W razie wątpliwości warto sprawdzić hasło na zaufanym urządzeniu.
Co zrobić, jeśli moje hasło zostało znalezione?
Przestać go używać. Zmienić je wszędzie, gdzie było używane, zaczynając od poczty e-mail i innych ważnych kont, i włączyć uwierzytelnianie wieloskładnikowe. Menedżer haseł ułatwia stosowanie unikalnych haseł.
Dlaczego SHA-1?
W tym formacie usługa Pwned Passwords przyjmuje zapytania. SHA-1 służy tu tylko jako indeks dla zapytania o zakres, a nie jako ochrona hasła.
Skąd pochodzą dane?
Z Pwned Passwords, zbioru setek milionów prawdziwych haseł ujawnionych w wyciekach danych, prowadzonego przez serwis Have I Been Pwned Troya Hunta.
Potrzebują Państwo więcej, niż pokaże narzędzie?
Narzędzie sprawdza jedną rzecz. Nasi konsultanci patrzą na całość.
Zarządzane usługi bezpieczeństwaPowiązane artykuły
-
Przeprowadź w tym tygodniu tabletop z reagowania na incydenty
Dwugodzinny tabletop z ransomware lub przejęciem konta w małym zespole: zapisz luki i zamień je w krótki runbook z przypisanymi właścicielami.
-
Hasła i klucze dostępu – co zaleca NIST SP 800-63B-4
Aktualne zasady NIST dotyczące haseł: minimum 15 znaków, brak wymuszanej zmiany, sprawdzanie haseł z wycieków, siła MFA i miejsce kluczy dostępu.
-
Pułapki bezpieczeństwa JWT i jak ich unikać
Typowe błędy JWT: alg none, pomylenie RS256 z HS256, słabe sekrety HMAC, brak walidacji oświadczeń, wstrzyknięcia przez kid, unieważnianie i przechowywanie.