Pemeriksa Kebocoran Kata Sandi
Periksa apakah kata sandi muncul dalam kebocoran data lewat API range Have I Been Pwned. Hanya 5 karakter pertama hash SHA-1 yang keluar dari browser.
Memakai API range Have I Been Pwned dengan k-anonymity: hanya 5 karakter hex pertama dari hash SHA-1 yang keluar dari browser Anda, dan pencocokan dengan sufiks yang dikembalikan dilakukan secara lokal.
Alat ini mengirim kueri Anda ke layanan eksternal untuk mendapatkan data langsung.
Apa itu Pemeriksa Kebocoran Kata Sandi?
Alat ini memberi tahu apakah kata sandi muncul di database Pwned Passwords milik Have I Been Pwned, yaitu kata sandi yang terekspos dalam kebocoran data nyata, dan berapa kali. Alat ini memakai k-anonymity, sehingga kata sandi maupun hash lengkapnya tidak pernah dikirim.
Cara menggunakan Pemeriksa Kebocoran Kata Sandi
- Ketik kata sandi ke kolom Kata sandi.
- Klik Periksa kebocoran.
- Baca hasilnya: berapa kali terlihat dalam kebocoran, atau tidak ditemukan.
- Bandingkan hash SHA-1 dan awalan 5 karakter yang benar-benar dikirim.
Contoh
password
SHA-1 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8; prefix sent: 5BAA6; found in data breaches millions of times
Jumlah persisnya berubah seiring Have I Been Pwned menambahkan kebocoran baru.
Kapan menggunakan Pemeriksa Kebocoran Kata Sandi
Pakai sebelum menggunakan kata sandi dan setiap kali Anda curiga kata sandi lama bocor. Kata sandi yang tidak ditemukan masih bisa lemah; periksa juga kekuatannya. Membutuhkan koneksi internet.
Cara kerja Pemeriksa Kebocoran Kata Sandi
Browser menghitung hash SHA-1 kata sandi dengan Web Crypto, mengirim hanya 5 karakter heksadesimal pertama ke https://api.pwnedpasswords.com/range/{prefix}, dan menerima beberapa ratus sufiks hash beserta jumlahnya. Hash lengkap dibandingkan dengan sufiks-sufiks ini secara lokal. Karena ribuan kata sandi berbagi setiap awalan, layanan tidak bisa tahu mana yang Anda periksa.
Kasus Penggunaan Umum
- Memeriksa apakah kata sandi lama muncul dalam kebocoran yang diketahui
- Memvalidasi kata sandi baru sebelum dipakai
- Mendemonstrasikan k-anonymity dalam pelatihan keamanan
- Memeriksa kata sandi terhadap data kebocoran seperti yang direkomendasikan NIST
Catatan Keamanan
Alat ini mengirim awalan SHA-1 5 karakter ke api.pwnedpasswords.com (Have I Been Pwned). Tidak ada data lain yang dikirim.
Pertanyaan Umum
Apakah aman mengetik kata sandi saya di sini?
Hanya 5 karakter heks pertama hash SHA-1 yang dikirim ke Have I Been Pwned; kata sandi dan hash lengkap tetap di browser Anda. Anda bisa memverifikasinya di tab jaringan browser.
Apa artinya jika kata sandi saya ditemukan?
Kata sandi itu ada di daftar kata milik penyerang. Berhentilah memakainya di mana pun, meskipun kebocorannya terjadi di situs lain.
Apakah 'tidak ditemukan' berarti kata sandi saya aman?
Itu hanya berarti tidak ada di dataset Pwned Passwords. Kata sandi itu tetap bisa mudah ditebak.
Mengapa SHA-1?
API Pwned Passwords mengindeks kata sandi dengan SHA-1. Di sini SHA-1 hanya dipakai sebagai kunci pencarian, bukan untuk menyimpan kata sandi.