Kiểm tra mật khẩu bị rò rỉ
Kiểm tra mật khẩu có xuất hiện trong các vụ rò rỉ dữ liệu qua range API của Have I Been Pwned. Chỉ 5 ký tự đầu của hàm băm SHA-1 rời khỏi trình duyệt.
Dùng range API của Have I Been Pwned theo cơ chế k-anonymity: chỉ 5 ký tự hex đầu của hàm băm SHA-1 rời khỏi trình duyệt, việc so khớp với các hậu tố trả về được thực hiện ngay trên máy.
Công cụ này gửi truy vấn của bạn tới một dịch vụ bên ngoài để lấy dữ liệu trực tiếp.
Kiểm tra mật khẩu bị rò rỉ là gì?
Công cụ này cho bạn biết một mật khẩu có xuất hiện trong cơ sở dữ liệu Pwned Passwords của Have I Been Pwned – tập hợp các mật khẩu bị lộ trong những vụ rò rỉ dữ liệu thật – hay không, và bao nhiêu lần. Công cụ dùng k-anonymity, nên cả mật khẩu lẫn hàm băm đầy đủ của nó đều không bao giờ bị gửi đi.
Cách sử dụng Kiểm tra mật khẩu bị rò rỉ
- Nhập mật khẩu vào ô Mật khẩu.
- Nhấn Kiểm tra rò rỉ.
- Đọc kết quả: mật khẩu đã xuất hiện bao nhiêu lần trong các vụ rò rỉ, hoặc không tìm thấy.
- So sánh hàm băm SHA-1 với tiền tố 5 ký tự thực sự được gửi đi.
Ví dụ
password
SHA-1 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8; prefix sent: 5BAA6; found in data breaches millions of times
Số lần chính xác thay đổi khi Have I Been Pwned bổ sung các vụ rò rỉ mới.
Khi nào nên dùng Kiểm tra mật khẩu bị rò rỉ
Dùng trước khi chọn dùng một mật khẩu và mỗi khi bạn nghi ngờ một mật khẩu cũ đã bị lộ. Mật khẩu không bị tìm thấy vẫn có thể yếu; hãy kiểm tra cả độ mạnh của nó. Cần kết nối internet.
Kiểm tra mật khẩu bị rò rỉ hoạt động như thế nào
Trình duyệt tính hàm băm SHA-1 của mật khẩu bằng Web Crypto, chỉ gửi 5 ký tự thập lục phân đầu tiên đến https://api.pwnedpasswords.com/range/{prefix}, và nhận về vài trăm hậu tố băm kèm số lần xuất hiện. Hàm băm đầy đủ được so sánh với các hậu tố này ngay trên máy. Vì hàng nghìn mật khẩu có chung mỗi tiền tố, dịch vụ không thể biết bạn đã kiểm tra mật khẩu nào.
Các Trường Hợp Sử Dụng Phổ Biến
- Kiểm tra một mật khẩu cũ có trong các vụ rò rỉ đã biết hay không
- Xác minh mật khẩu mới trước khi sử dụng
- Minh họa k-anonymity trong đào tạo bảo mật
- Kiểm tra ngẫu nhiên mật khẩu với dữ liệu rò rỉ như NIST khuyến nghị
Lưu Ý Bảo Mật
Công cụ này gửi tiền tố SHA-1 gồm 5 ký tự đến api.pwnedpasswords.com (Have I Been Pwned). Không có dữ liệu nào khác được truyền đi.
Câu Hỏi Thường Gặp
Nhập mật khẩu của tôi vào đây có an toàn không?
Chỉ 5 ký tự hex đầu của hàm băm SHA-1 được gửi đến Have I Been Pwned; mật khẩu và hàm băm đầy đủ ở lại trong trình duyệt. Bạn có thể tự kiểm chứng trong tab Network của trình duyệt.
Nếu mật khẩu của tôi bị tìm thấy thì có nghĩa gì?
Nó đã nằm trong danh sách từ của kẻ tấn công. Hãy ngừng dùng nó ở mọi nơi, kể cả khi vụ rò rỉ xảy ra ở trang khác.
"Không tìm thấy" có nghĩa là mật khẩu của tôi an toàn không?
Nó chỉ có nghĩa là mật khẩu không có trong bộ dữ liệu Pwned Passwords. Nó vẫn có thể dễ đoán.
Vì sao lại là SHA-1?
API Pwned Passwords lập chỉ mục mật khẩu theo SHA-1. Ở đây SHA-1 chỉ được dùng làm khóa tra cứu, không dùng để lưu mật khẩu.