Проверка утечки паролей

Как использовать

1. Введите или вставьте пароль, который хотите проверить.
2. При желании нажмите «Показать», чтобы проверить введенный текст.
3. Нажмите «Проверить наличие утечек».
4. Зелёный результат означает, что данная информация не была найдена в базе данных утечек; красный результат показывает, сколько раз она встречалась.

Пример

Ввод

password123

Результат

⚠ Found in 2,643,916 known data breaches

Подобные распространённые пароли встречаются миллионы раз, поскольку они входят в список первых вариантов, которые пробуют угадать все злоумышленники, независимо от того, какой именно сайт подвергся взлому.

Что это за инструмент?

Этот инструмент проверяет пароль по базе данных «Pwned Passwords» сайта Have I Been Pwned, которая содержит сотни миллионов паролей, собранных в результате реальных утечек данных. Если ваш пароль окажется в списке, это означает, что он уже попал в списки паролей злоумышленников — не потому, что ваша конкретная учетная запись была взломана, а потому, что кто-то где-то использовал этот же пароль, и он стал достоянием общественности.

При проверке используется метод, называемый k-анонимностью, разработанный специально для того, чтобы сервису проверки паролей никогда не приходилось видеть полный текст пароля. Ваш браузер локально вычисляет хеш пароля по алгоритму SHA-1, а затем отправляет в API только первые 5 символов этого хеша. API возвращает все хэши утечённых паролей, начинающиеся с этих же 5 символов — обычно их несколько сотен — и ваш браузер локально проверяет, есть ли среди них полный хэш вашего пароля. Полный текст пароля и полный хэш никогда не покидают ваше устройство.

Как k-анонимность защищает ваш пароль в данном случае

Простой инструмент проверки утечек потребует полный текст вашего пароля (или его полный хеш) для проверки — а это означает, что вам придётся доверить серверу именно тот секрет, который вы пытаетесь защитить. Подход, основанный на k-анонимности, позволяет обойти эту проблему: ваш браузер хеширует пароль с помощью SHA-1, а затем отправляет в API только первые 5 шестнадцатеричных символов этого 40-символьного хеша.

API возвращает все суффиксы хэшей из своей базы данных, у которых есть этот 5-символьный префикс — как правило, их бывает от 300 до 800, а не только ваш. Затем ваш браузер локально проверяет, есть ли среди них именно ваш суффикс. Злоумышленник, перехватывающий сетевой запрос, узнает лишь то, что был проверен какой-то пароль с этим префиксом из миллионов возможных вариантов — этого явно недостаточно, чтобы определить, какой именно.

Что делать с полученным результатом

• Обнаружен с высоким показателем частоты использования: немедленно удалите этот пароль везде — он есть в списке вариантов для подбора любого злоумышленника.
• Обнаружено с небольшим количеством: всё равно удалите. Даже одно предыдущее нарушение означает, что система скомпрометирована, независимо от количества.
• Не найдено: этой конкретной строки нет в базе данных, но перед тем, как доверять ей в долгосрочной перспективе, проверьте её надежность отдельно.
• Проверка пароля, который вы собираетесь установить, не менее полезна, чем проверка уже используемого пароля — так вы сможете вовремя обнаружить неудачный вариант, прежде чем он станет уязвимым местом вашей учетной записи.

→ Генератор паролей · Генератор MD5

Типичные сценарии использования

• Проверка существующего пароля, которым вы пользуетесь уже много лет и который никогда не сверялся с базами данных об утечках.
• Проверка вновь сгенерированного или вновь выбранного пароля перед его окончательным утверждением.
• Проверка общего или стандартного пароля, используемого всей командой или семьей, перед его сменой.
• Определение приоритета смены одного из нескольких повторно используемых паролей, исходя из количества утечек.

Зачем его использовать?

Модель K-анонимности: передаются только 5 символов хеша, при этом никогда не передается ни сам пароль, ни его полный хеш.

Проверка по реальной базе данных, содержащей сотни миллионов утечек паролей, которая постоянно обновляется.

Мгновенный результат — не требуется ни учетной записи, ни адреса электронной почты, никакие данные не сохраняются.

Работает с любым паролем: с тем, который вы используете сейчас, с тем, который собираетесь установить, или со старым, о котором у вас возникли вопросы.

Часто задаваемые вопросы