Verifica password violate

Perché una password trapelata è peggio di una password debole

Quando un sito web viene violato, la tabella degli account rubati di solito finisce in vendita, e qualche tempo dopo circola gratis. Negli anni questi dump sono stati riuniti in raccolte che contengono miliardi di coppie e-mail e password. Gli attaccanti hanno smesso di indovinare da un pezzo. Danno le coppie in pasto a uno script che le prova una per una su banche, provider di posta e negozi online. Si chiama credential stuffing, e funziona ogni volta che qualcuno ha riutilizzato una password.

Quindi una password presente in quelle raccolte è bruciata, per quanto lunga o complicata sembri. Tr0ub4dor&3 fa una bella figura su qualsiasi misuratore di robustezza, eppure è negli elenchi.

Questa verifica interroga Pwned Passwords, il database pubblico gestito dal progetto Have I Been Pwned. Contiene le password dei breach che il progetto ha elaborato, ciascuna con il numero di volte in cui è stata trovata.

Verificare senza consegnare la password

Mandare la tua password a un sito web per chiedere se è sicura sarebbe un modo strano di proteggerla. La verifica aggira il problema con un metodo chiamato k-anonimato:

1. Il tuo browser calcola l’hash SHA-1 di ciò che hai digitato. Un hash è un codice di lunghezza fissa ricavato dal testo. Per Summer2024! è 7E8B0A3433F1210A9699D85420E363A1B162ECAC.
2. Solo i primi cinque caratteri, qui 7E8B0, arrivano al nostro server, che li passa al servizio Pwned Passwords.
3. Il servizio restituisce tutti gli hash trapelati che iniziano con quei cinque caratteri, di solito da mille a duemila, con l’aggiunta di righe fittizie perché nemmeno la dimensione della risposta riveli qualcosa.
4. Il tuo browser cerca in quell’elenco i 35 caratteri restanti del tuo hash.

I prefissi possibili di cinque caratteri sono 1.048.576. Chi vede il tuo scopre che la tua password è una delle migliaia che lo condividono, oppure nessuna. Tutto qui. La riga sotto il risultato mostra il prefisso inviato e quanti hash sono tornati, così puoi osservare tu stesso lo scambio.

Come leggere le due risposte

Trovata nei leak, con un conteggio

Il conteggio è il numero di volte in cui questa password esatta compare nei dati violati. Un conteggio nell’ordine delle migliaia significa che l’hanno scelta in tanti e che sta in cima a ogni elenco d’attacco. Un conteggio di 1 o 2 potrebbe benissimo essere il tuo account in un vecchio breach. In ogni caso, considera la password pubblica.

Nessun leak trovato

La password non è nel database. Buona notizia, ma solo a metà: un breach non ancora emerso non è coperto, e una password corta si può comunque indovinare direttamente.

Proprio per quella seconda metà, la pagina stima anche la robustezza mentre digiti, sul tuo dispositivo. La stima parte dalla lunghezza moltiplicata per la varietà di caratteri usati (minuscole, maiuscole, cifre, simboli), espressa in bit. Poi toglie punti per le abitudini che gli attaccanti provano per prime: una parola molto comune, anche con lettere sostituite da cifre; quattro tasti o lettere consecutivi come qwer o 1234; lo stesso carattere tre volte di fila; un anno. Sotto i 28 bit è giudicata molto debole, sotto i 45 debole, sotto i 65 discreta, da 65 in su robusta. Una password non trapelata ma valutata sotto “discreta” riceve un avviso.

Cosa fare se è nell’elenco

1. Cambiala prima di tutto sul tuo account e-mail. La tua casella riceve i link di reimpostazione di tutto il resto, ed è quindi l’account che un attaccante vuole di più.
2. Cambiala ovunque l’hai usata, comprese le varianti con una cifra diversa alla fine. Gli script provano anche quelle.
3. Lascia che sia un password manager a inventare le sostitute. Bitwarden, 1Password, KeePassXC o il gestore integrato nel browser o nel telefono generano e ricordano una password casuale diversa per ogni sito. Se devi memorizzarne una, quattro o cinque parole senza legame tra loro sono più robuste e più facili di un breve miscuglio di simboli.
4. Attiva la verifica in due passaggi ovunque sia disponibile, preferibilmente con un’app di autenticazione o una passkey. Dopo, una password rubata non basta più per accedere.

Questa verifica gestisce una password alla volta e non sa quali dei tuoi account sono stati violati. Per cercare per indirizzo e-mail, vai direttamente sul sito Have I Been Pwned. La maggior parte dei password manager può anche controllare un’intera cassaforte con lo stesso metodo di k-anonimato.