Проверка пароля на утечку

Почему утёкший пароль хуже слабого

Когда сайт взламывают, украденную таблицу аккаунтов обычно выставляют на продажу, а через какое-то время она становится бесплатной. За годы эти дампы слились в коллекции из миллиардов пар «почта и пароль». Злоумышленники давно перестали угадывать. Они скармливают эти пары скрипту, который пробует каждую в банках, почтовых сервисах и магазинах. Это называется credential stuffing, и это срабатывает каждый раз, когда кто-то использовал пароль повторно.

Поэтому пароль, который лежит в этих коллекциях, сгорел, каким бы длинным или сложным он ни выглядел. Tr0ub4dor&3 впечатлит любой измеритель надёжности, и он есть в списках.

Эта проверка обращается к Pwned Passwords, открытой базе проекта Have I Been Pwned. В ней хранятся пароли из утечек, обработанных проектом, и для каждого указано, сколько раз он встречался.

Проверка без передачи пароля

Отправлять пароль на сайт, чтобы спросить, безопасен ли он, было бы странным способом его защищать. Проверка обходит это с помощью метода, который называется k-анонимностью:

1. Браузер вычисляет хеш SHA-1 от введённого текста. Хеш это код фиксированной длины, получаемый из текста. Для Summer2024! он равен 7E8B0A3433F1210A9699D85420E363A1B162ECAC.
2. Только первые пять символов, здесь 7E8B0, уходят на наш сервер, который передаёт их сервису Pwned Passwords.
3. Сервис возвращает все утёкшие хеши, начинающиеся с этих пяти символов, обычно от тысячи до двух тысяч, дополненные строками-приманками, чтобы даже размер ответа ничего не выдавал.
4. Браузер ищет в этом списке оставшиеся 35 символов вашего хеша.

Возможных пятисимвольных префиксов 1 048 576. Тот, кто видит ваш, узнаёт лишь, что ваш пароль один из тысяч, которые его разделяют, или ни один из них. Больше ничего. Строка под результатом показывает отправленный префикс и сколько хешей вернулось, так что вы можете сами наблюдать за обменом.

Как читать два ответа

Найден в утечках, с числом

Число показывает, сколько раз именно этот пароль встречается в украденных данных. Тысячи означают, что его выбрали многие и он стоит в начале каждого списка для атак. Число 1 или 2 вполне может быть вашим собственным аккаунтом из старой утечки. В любом случае считайте пароль общедоступным.

Утечка не найдена

Пароля нет в базе. Это хорошая новость, но только наполовину: утечка, которая ещё не всплыла, не учтена, а короткий пароль всё равно можно подобрать напрямую.

Из-за этой второй половины страница также оценивает надёжность, пока вы печатаете, прямо на вашем устройстве. Оценка начинается с длины, умноженной на разнообразие использованных символов (строчные, прописные, цифры, знаки), и выражается в битах. Затем снимаются очки за привычки, которые злоумышленники проверяют первыми: очень распространённое слово, даже с буквами, заменёнными цифрами; четыре клавиши или буквы подряд, например qwer или 1234; один и тот же символ три раза подряд; год. Меньше 28 бит оценивается как очень слабый, меньше 45 как слабый, меньше 65 как средний, а 65 и больше как надёжный. Если пароль не утёк, но оценён ниже «среднего», выводится предупреждение.

Что делать, если пароль в списке

1. Сначала смените его в аккаунте электронной почты. На ваш ящик приходят ссылки для сброса всего остального, поэтому именно этот аккаунт злоумышленник хочет получить больше всего.
2. Смените его везде, где вы его использовали, включая варианты с другой цифрой в конце. Скрипты пробуют и их.
3. Пусть замену придумает менеджер паролей. Bitwarden, 1Password, KeePassXC или менеджер, встроенный в браузер или телефон, создаст и запомнит отдельный случайный пароль для каждого сайта. Если какой-то пароль нужно запомнить, четыре-пять не связанных между собой слов надёжнее и проще, чем короткая смесь знаков.
4. Включите двухэтапную проверку везде, где она есть, лучше всего с приложением-аутентификатором или ключом доступа (passkey). После этого украденного пароля для входа будет мало.

Эта проверка работает с одним паролем за раз и не знает, какие из ваших аккаунтов были взломаны. Чтобы искать по адресу электронной почты, зайдите на сайт Have I Been Pwned напрямую. Большинство менеджеров паролей также умеют проверять всё хранилище тем же методом k-анонимности.