Проверка пароля на утечки
Узнайте, встречался ли пароль в утечках через диапазонный API Have I Been Pwned. Из браузера уходят только первые 5 символов SHA-1-хеша пароля.
Используется range API сервиса Have I Been Pwned с k-анонимностью: из браузера уходят только первые 5 шестнадцатеричных символов хеша SHA-1, а сравнение с полученными суффиксами выполняется локально.
Этот инструмент отправляет запрос во внешний сервис, чтобы получить актуальные данные.
Что такое Проверка пароля на утечки?
Инструмент сообщает, есть ли пароль в базе Pwned Passwords сервиса Have I Been Pwned (пароли, раскрытые в реальных утечках данных) и сколько раз он встречался. Используется k-анонимность, поэтому ни пароль, ни его полный хеш никогда не отправляются.
Как пользоваться Проверка пароля на утечки
- Введите пароль в поле Пароль.
- Нажмите Проверить утечки.
- Прочитайте результат: сколько раз пароль встречался в утечках или не найден.
- Сравните SHA-1-хеш и 5-символьный префикс, который был отправлен на самом деле.
Пример
password
SHA-1 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8; prefix sent: 5BAA6; found in data breaches millions of times
Точное число меняется по мере добавления новых утечек в Have I Been Pwned.
Когда использовать Проверка пароля на утечки
Используйте перед принятием пароля и всякий раз, когда подозреваете утечку старого пароля. Ненайденный пароль всё равно может быть слабым; проверьте и его стойкость. Нужно подключение к интернету.
Как работает Проверка пароля на утечки
Браузер вычисляет SHA-1-хеш пароля через Web Crypto, отправляет только первые 5 шестнадцатеричных символов на https://api.pwnedpasswords.com/range/{prefix} и получает несколько сотен суффиксов хешей с их счётчиками. Полный хеш сравнивается с этими суффиксами локально. Поскольку каждый префикс делят тысячи паролей, сервис не может определить, какой именно вы проверяли.
Распространенные Случаи Использования
- Проверка, есть ли старый пароль в известных утечках
- Проверка нового пароля перед использованием
- Демонстрация k-анонимности на тренингах по безопасности
- Выборочная проверка паролей по данным утечек, как рекомендует NIST
Примечание по Безопасности
Инструмент отправляет 5-символьный префикс SHA-1 на api.pwnedpasswords.com (Have I Been Pwned). Никакие другие данные не передаются.
Часто Задаваемые Вопросы
Безопасно ли вводить здесь пароль?
В Have I Been Pwned отправляются только первые 5 hex-символов SHA-1-хеша; пароль и полный хеш остаются в вашем браузере. Это можно проверить на вкладке «Сеть» браузера.
Что значит, если мой пароль найден?
Он есть в словарях атакующих. Перестаньте использовать его везде, даже если утечка случилась на другом сайте.
Значит ли «не найден», что пароль безопасен?
Это лишь значит, что его нет в наборе Pwned Passwords. Его всё равно может быть легко угадать.
Почему SHA-1?
API Pwned Passwords индексирует пароли по SHA-1. Здесь SHA-1 используется только как ключ поиска, а не для хранения паролей.