Narzędzie do sprawdzania wycieków haseł

Jak używać

1. Wpisz lub wklej hasło, które chcesz sprawdzić.
2. W razie potrzeby kliknij przycisk „Pokaż”, aby sprawdzić, co wpisałeś.
3. Kliknij „Sprawdź, czy wystąpiły naruszenia”.
4. Zielony wynik oznacza, że nie znaleziono tego wpisu w bazie danych naruszeń; czerwony wynik wskazuje, ile razy się pojawił.

Przykład

Wejście

password123

Wynik

⚠ Found in 2,643,916 known data breaches

Takie popularne hasła pojawiają się miliony razy, ponieważ znajdują się na liście pierwszych propozycji każdego atakującego, niezależnie od tego, która strona padła ofiarą ataku.

Czym jest to narzędzie?

To narzędzie sprawdza hasło w bazie danych „Pwned Passwords” serwisu Have I Been Pwned, która zawiera setki milionów haseł zebranych w wyniku rzeczywistych wycieków danych. Jeśli Twoje hasło się pojawi, oznacza to, że znajduje się już na listach haseł atakujących — nie dlatego, że doszło do włamania na Twoje konkretne konto, ale dlatego, że ktoś gdzieś używał tego samego hasła i doszło do jego wycieku.

W ramach tej weryfikacji stosowana jest technika zwana k-anonimowością, zaprojektowana specjalnie po to, aby narzędzie sprawdzające hasła nigdy nie miało wglądu w pełną treść hasła. Przeglądarka lokalnie oblicza skrót SHA-1 hasła, a następnie wysyła do interfejsu API jedynie pierwsze 5 znaków tego skrótu. Interfejs API zwraca wszystkie skradzione skróty haseł, które zaczynają się od tych samych 5 znaków — zazwyczaj jest ich kilkaset — a przeglądarka sprawdza lokalnie, czy pełny skrót użytkownika znajduje się wśród nich. Pełne hasło i pełny skrót nigdy nie opuszczają urządzenia użytkownika.

W jaki sposób k-anonimowość chroni Twoje hasło w tym serwisie

Prosty program do sprawdzania wycieków danych potrzebowałby Twojego pełnego hasła (lub jego pełnego skrótu), aby je zweryfikować — co oznacza, że musiałbyś powierzyć serwerowi właśnie tę tajemnicę, którą próbujesz chronić. Podejście oparte na k-anonimowości pozwala to obejść: przeglądarka generuje skrót hasła za pomocą algorytmu SHA-1, a następnie wysyła do interfejsu API tylko pierwsze 5 znaków szesnastkowych tego 40-znakowego skrótu.

API zwraca wszystkie sufiksy haseł znajdujące się w swojej bazie danych, które mają ten sam 5-znakowy prefiks — zazwyczaj jest ich od 300 do 800, a nie tylko ten twój. Następnie przeglądarka sprawdza lokalnie, czy dany sufiks znajduje się wśród nich. Osoba podsłuchująca żądanie sieciowe dowiaduje się jedynie, że sprawdzono jakieś hasło z tym prefiksem spośród milionów możliwości — to zdecydowanie za mało, by ustalić, które z nich.

Co zrobić z wynikiem

• Jeśli pojawiło się w dużej liczbie: natychmiast wycofaj to hasło ze wszystkich miejsc — znajduje się ono na liście haseł, które próbują odgadnąć wszyscy atakujący.
• Znaleziono z niewielką liczbą: i tak należy to wycofać. Nawet jedno wcześniejsze naruszenie oznacza, że system został przejęty, niezależnie od liczby.
• Nie znaleziono: ten konkretny ciąg znaków nie występuje w bazie danych, ale przed podjęciem decyzji o długoterminowym zaufaniu do niego sprawdź jego siłę osobno.
• Sprawdzenie hasła, które zamierzasz ustawić, jest równie przydatne jak sprawdzenie hasła, którego już używasz — dzięki temu unikniesz złego wyboru, zanim stanie się on słabym punktem Twojego konta.

→ Generator haseł · Generator MD5

Typowe zastosowania

• Sprawdzenie istniejącego hasła, którego używasz od lat i którego nigdy nie zweryfikowano pod kątem baz danych dotyczących wycieków danych.
• Sprawdzenie nowo wygenerowanego lub wybranego hasła przed jego zatwierdzeniem.
• Sprawdzenie hasła wspólnego lub domyślnego, z którego korzysta cały zespół lub rodzina, przed jego zmianą.
• Wybór hasła spośród kilku powtarzających się haseł, które należy zmienić w pierwszej kolejności, na podstawie liczby przypadków naruszenia bezpieczeństwa.

Dlaczego warto go używać?

Model K-anonimowości: przesyłanych jest jedynie 5 znaków skrótu, nigdy samo hasło ani jego pełny skrót.

Weryfikacja w oparciu o rzeczywistą bazę danych zawierającą setki milionów haseł, które padły ofiarą wycieku, i która jest na bieżąco aktualizowana.

Natychmiastowy wynik — nie trzeba zakładać konta ani podawać adresu e-mail, żadne dane nie są zapisywane.

Działa w przypadku każdego hasła: tego, którego obecnie używasz, tego, które zamierzasz ustawić, czy też starego, co do którego masz wątpliwości.

Najczęściej zadawane pytania