Parola sızıntı kontrolü
Bir parolanın bir veri ihlalinde ortaya çıkıp çıkmadığını görün. Parolanın kendisi tarayıcınızdan hiç çıkmaz.
Have I Been Pwned’a yalnızca parolanın SHA-1 hash değerinin ilk 5 karakteri gönderilir; parola ve hash değerinin tamamı tarayıcınızda kalır.
Nasıl çalışır
Tarayıcınız parolanın SHA-1 hash değerini hesaplar ve bu değerin yalnızca ilk beş karakterini Have I Been Pwned’ın işlettiği Pwned Passwords servisine gönderir. Servis, bu beş karakterle başlayan tüm sızdırılmış hash değerlerinin geri kalan kısımlarını (genellikle birkaç yüz tane) döndürür ve yanıtın boyutu hiçbir şey ele vermesin diye rastgele dolgu ekler. Tarayıcınız ardından hash değerinizin geri kalanını bu listede arar. k-anonimlik adı verilen bu yöntem sayesinde ne Have I Been Pwned ne de AngelForce parolanızı ya da hash değerinin tamamını öğrenir.
Sonuç nasıl okunur
Sıfırdan büyük bir sayı, parolanın sızıntı verilerinde kaç kez geçtiğini gösterir. Saldırganlar bu listeleri parola kırma araçlarına yükler; bu yüzden burada bulunan her parolayı, ne kadar karmaşık görünürse görünsün, herkesçe bilinen bir parola sayın. Bulunamadı sonucu, parolanın güçlü olduğu anlamına gelmez: kısa ya da tahmin edilebilir bir parola yine de tahmin edilebilir. Kontrol yalnızca parolayı kapsar; hangi hesapların ya da hangi ihlallerin söz konusu olduğunu söylemez.
Sorular
Buraya gerçek bir parola yazmak güvenli mi?
Tarayıcınızdan SHA-1 hash değerinin yalnızca beş karakteri çıkar ve yüzlerce sızdırılmış parola aynı beş karakteri paylaşır. Hiçbir şey saklanmaz. Emin değilseniz güvendiğiniz bir cihazdan kontrol edin.
Parolam bulunursa ne yapmalıyım?
Kullanmayı bırakın. E-posta ve diğer önemli hesaplardan başlayarak kullandığınız her yerde değiştirin ve çok faktörlü kimlik doğrulamayı açın. Parola yöneticisi, her hesap için ayrı parola kullanmayı kolaylaştırır.
Neden SHA-1?
Pwned Passwords servisi sorgular için bu biçimi kullanır. Burada SHA-1 parolayı korumak için değil, yalnızca aralık sorgusunda bir dizin olarak kullanılır.
Veriler nereden geliyor?
Troy Hunt’ın Have I Been Pwned servisinin işlettiği Pwned Passwords’ten; veri ihlallerinde açığa çıkmış yüz milyonlarca gerçek paroladan oluşan bir koleksiyondan.
Bir aracın gösterebileceğinden fazlasına mı ihtiyacınız var?
Bir araç tek bir şeyi kontrol eder. Danışmanlarımız resmin tamamına bakar.
Yönetilen güvenlikİlgili yazılar
-
Bu hafta iki saatlik bir olay müdahalesi masa başı tatbikatı yapın
Küçük bir ekiple iki saatlik fidye yazılımı veya hesap ele geçirme tatbikatı yapın, açıkları kaydedip sahipli kısa bir runbook'a çevirin.
-
Parolalar ve geçiş anahtarları - NIST SP 800-63B-4 ne öneriyor
NIST’in güncel parola kuralları: en az 15 karakter, zorunlu değişiklik yok, sızmış parola kontrolü; ayrıca MFA’nın gücü ve geçiş anahtarlarının yeri.
-
JWT güvenliğinde sık yapılan hatalar ve bunlardan kaçınmanın yolları
Sık yapılan JWT hataları ve çözümleri: alg none, RS256/HS256 karışıklığı, zayıf HMAC anahtarları, eksik claim kontrolü, kid enjeksiyonu, iptal ve saklama.