Πώς μπορώ να ελέγξω εάν ο κωδικός πρόσβασής μου έχει διαρρεύσει;

Χρησιμοποιήστε έναν ελεγκτή που κατακερματίζει τον κωδικό πρόσβασης τοπικά και εκτελεί μια αναζήτηση εύρους κ-ανωνυμίας, όπως ο έλεγχος διαρροής κωδικού πρόσβασης του Sealby. Στέλνει μόνο τους πρώτους πέντε χαρακτήρες ενός δακτυλικού αποτυπώματος SHA-1, λαμβάνει πολλά πιθανά επιθήματα και συγκρίνει το πλήρες δακτυλικό αποτύπωμα στο πρόγραμμα περιήγησής σας.

Ο κωδικός πρόσβασής μου παραβιάστηκε — τι πρώτα;

Αλλάξτε τον πρώτα σε κάθε λογαριασμό στον οποίο τον επαναχρησιμοποιήσατε, ξεκινώντας από το email, τον διαχειριστή κωδικών πρόσβασης, τον τραπεζικό λογαριασμό και οποιονδήποτε λογαριασμό μπορεί να επαναφέρει άλλους. Χρησιμοποιήστε έναν διαφορετικό μοναδικό κωδικό πρόσβασης για καθεμία και, στη συνέχεια, ελέγξτε τις συνεδρίες και ενεργοποιήστε το 2FA ή έναν κωδικό πρόσβασης, όπου είναι διαθέσιμο.

Είναι ασφαλές να πληκτρολογήσω τον κωδικό πρόσβασής μου σε ένα εργαλείο ελέγχου;

Μόνο εάν μπορείτε να επαληθεύσετε πώς λειτουργεί το πούλι. Το πούλι του Sealby διατηρεί τον κωδικό πρόσβασης και τον πλήρη κατακερματισμό στο πρόγραμμα περιήγησης. ένα πρόθεμα κατακερματισμού πέντε χαρακτήρων πηγαίνει στο API της περιοχής Pwned Passwords. Ζητά επίσης συμπληρωμένα αποτελέσματα και περιμένει από εσάς να υποβάλετε αντί να πραγματοποιήσει αναζήτηση καθώς πληκτρολογείτε.

Το καθαρό αποτέλεσμα σημαίνει ότι ο κωδικός πρόσβασής μου είναι ισχυρός;

Όχι. Σημαίνει μόνο ότι ο ακριβής κωδικός πρόσβασης δεν βρέθηκε στα τρέχοντα δεδομένα του ελεγκτή. Ένα σύντομο μοτίβο, ένα προσωπικό γεγονός, μια μικρή παραλλαγή ή ένας κωδικός πρόσβασης που χρησιμοποιείται ξανά σε έναν ιστότοπο που δεν έχει παραβιαστεί μπορεί να εξακολουθεί να είναι αδύναμος.

Διέρρευσε ο κωδικός πρόσβασής σας; Πώς να ελέγξετε και τι να κάνετε πρώτα

Διέρρευσε ο κωδικός πρόσβασής σας; Πώς να ελέγξετε — και τι σημαίνει πραγματικά

Μια αντιστοίχιση κωδικού πρόσβασης που διέρρευσε δεν αποδεικνύει ότι κάποιος παραβίασε το τηλέφωνό σας. Σημαίνει ότι ο κωδικός πρόσβασης έχει εμφανιστεί σε γνωστά δεδομένα παραβίασης ή διάρρηξης και δεν πρέπει πλέον να προστατεύει τίποτα — ειδικά κάθε λογαριασμό στον οποίο τον επαναχρησιμοποιήσατε.

Βασικά σημεία

Οι κωδικοί πρόσβασης που διέρρευσαν συνήθως προέρχονται από παραβιασμένους ιστότοπους και κλεμμένες βάσεις δεδομένων λογαριασμών, όχι από αυτόν τον έλεγχο και όχι απαραίτητα από τη συσκευή σας.

Το Sealby κατακερματίζει τον πλήρη κωδικό πρόσβασης στο πρόγραμμα περιήγησής σας και στέλνει μόνο τους πρώτους πέντε χαρακτήρες αυτού του δακτυλικού αποτυπώματος στο Have I Been Pwned.

Μια αντιστοίχιση σημαίνει ότι ο κωδικός πρόσβασης βρίσκεται σε γνωστά δεδομένα επίθεσης. Ο μεγαλύτερος κίνδυνος είναι κάθε άλλος λογαριασμός όπου επαναχρησιμοποιήθηκε ο ίδιος κωδικός πρόσβασης.

Διορθώστε πρώτα την επαναχρησιμοποίηση, μετά μετακινηθείτε σε μοναδικούς κωδικούς πρόσβασης που δημιουργούνται από τον διαχειριστή ή μεγάλες φράσεις πρόσβασης και, στη συνέχεια, προσθέστε 2FA ή κωδικούς πρόσβασης.

Ένα καθαρό αποτέλεσμα είναι χρήσιμο, αλλά όχι απόδειξη ότι ένας κωδικός πρόσβασης είναι ισχυρός, μοναδικός ή άγνωστος σε έναν εισβολέα.

Από πού προέρχονται οι κωδικοί πρόσβασης που διέρρευσαν

Ένας ιστότοπος αποθηκεύει αρκετές πληροφορίες για να αναγνωρίσει τον κωδικό πρόσβασής σας όταν συνδέεστε. Οι καλοί ιστότοποι αποθηκεύουν έναν αργό κατακερματισμό, όχι τον ίδιο τον κωδικό πρόσβασης. Οι παραβιάσεις εξακολουθούν να εκθέτουν βάσεις δεδομένων κωδικών πρόσβασης και οι κακές υλοποιήσεις, οι παλιοί αλγόριθμοι ή οι αδύναμοι κωδικοί πρόσβασης επιτρέπουν στους εισβολείς να ανακτήσουν πολλές από τις αρχικές τιμές. Αυτές οι τιμές συλλέγονται σε λίστες διάρρηξης και δοκιμάζονται αλλού.

Επομένως, ένα ταίριασμα λέει κάτι για τον κωδικό πρόσβασης, όχι για την υγεία της συσκευής στο χέρι σας. Δεν αποδεικνύει ότι το κακόβουλο λογισμικό διάβασε το πληκτρολόγιό σας ή ότι ο λογαριασμός που ελέγχετε ήταν ο ιστότοπος που παραβιάστηκε. Μπορεί να προέρχεται από άλλη υπηρεσία πριν από χρόνια.

Πώς λειτουργεί ο έλεγχος χωρίς να αποκαλύπτεται ο κωδικός πρόσβασης

Το πούλι του Sealby υπολογίζει ένα δακτυλικό αποτύπωμα SHA-1 του πλήρους κωδικού πρόσβασης στο πρόγραμμα περιήγησής σας. Το SHA-1 χρησιμοποιείται εδώ μόνο ως μορφή αναζήτησης που απαιτείται από τη βάση δεδομένων Pwned Passwords, όχι για αποθήκευση ή προστασία του κωδικού πρόσβασής σας. Η σελίδα στέλνει τους πρώτους πέντε δεκαεξαδικούς χαρακτήρες αυτού του δακτυλικού αποτυπώματος — ποτέ τον κωδικό πρόσβασης και ποτέ το πλήρες δακτυλικό αποτύπωμα.

Η υπηρεσία επιστρέφει εκατοντάδες καταλήξεις δακτυλικών αποτυπωμάτων που μοιράζονται αυτό το πρόθεμα, με επένδυση για να κάνουν τα μεγέθη απόκρισης λιγότερο αποκαλυπτικά. Το πρόγραμμα περιήγησής σας συγκρίνει την πραγματική κατάληξη τοπικά και αγνοεί τις καταχωρίσεις συμπλήρωσης. Αυτό ονομάζεται k-anonymity: ο διακομιστής βλέπει ένα πλήθος πιθανών κωδικών πρόσβασης, ενώ η συσκευή σας γνωρίζει ποιο πλήρες δακτυλικό αποτύπωμα να αναζητήσει.

Τι σημαίνει ειλικρινά αγώνας

Η αντιστοίχιση σημαίνει ότι το ακριβές δακτυλικό αποτύπωμα του κωδικού πρόσβασης υπάρχει σε γνωστά δεδομένα παραβιασμένου κωδικού πρόσβασης. Οι εισβολείς μπορούν να βάλουν αυτόν τον κωδικό πρόσβασης κοντά στο μπροστινό μέρος μιας λίστας εικασιών. Δεν σας ενημερώνει ποιος τον χρησιμοποίησε, ποια παραβίαση τον εξέθεσε ή αν έχει ήδη ανοίξει ένας συγκεκριμένος λογαριασμός.

Ο κίνδυνος συγκεντρώνεται εκεί που τον ξαναχρησιμοποιήσατε. Τα αυτοματοποιημένα εργαλεία πλήρωσης διαπιστευτηρίων δοκιμάζουν ένα ζεύγος email-και κωδικού πρόσβασης που έχει διαρρεύσει σε αλληλογραφία, καταστήματα, κοινωνικά δίκτυα και χρηματοοικονομικές υπηρεσίες. Μια παλιά παραβίαση μετατρέπεται σε πολλές εξαγορές λογαριασμών επειδή ταξίδεψε ο κωδικός πρόσβασης.

Διορθώστε το με αυτή τη σειρά

1. Καταργήστε την επαναχρησιμοποίηση. Αλλάξτε τον κωδικό πρόσβασης όπου εμφανίζεται. Ξεκινήστε με email και οποιονδήποτε λογαριασμό που μπορεί να επαναφέρει άλλους λογαριασμούς, στη συνέχεια οικονομικές υπηρεσίες, εργασία, λογαριασμούς κοινωνικής δικτύωσης και καταστήματα. Αποσυνδεθείτε από άγνωστες περιόδους σύνδεσης ενώ βρίσκεστε εκεί.

2. Κάντε κάθε αντικατάσταση μοναδική. Ένας διαχειριστής κωδικών πρόσβασης μπορεί να δημιουργήσει και να θυμάται τυχαίους κωδικούς πρόσβασης. Για μυστικά που πρέπει να πληκτρολογήσετε ή να θυμάστε, χρησιμοποιήστε πολλές τυχαία επιλεγμένες λέξεις από τη γεννήτρια φράσεων πρόσβασης. Μην δημιουργήσετε έναν ισχυρό κωδικό πρόσβασης και μην τον επαναχρησιμοποιήσετε.

3. Προσθέστε ένα δεύτερο εμπόδιο. Ενεργοποιήστε το 2FA, κατά προτίμηση έναν έλεγχο ταυτότητας ή κλειδί υλικού αντί για SMS όπου η υπηρεσία προσφέρει επιλογή. Ένα passkey είναι ακόμα καλύτερο όταν υποστηρίζεται, επειδή είναι μοναδικό στον ιστότοπο και αντιστέκεται στο phishing.

Τι καθαρό αποτέλεσμα δεν μπορεί να αποδείξει

Κανένα σώμα παραβίασης δεν περιέχει κάθε κλεμμένο κωδικό πρόσβασης. Ένας ιστότοπος μπορεί να μην γνωρίζει ότι έχει παραβιαστεί, ένας εισβολέας μπορεί να διατηρήσει τα δεδομένα απόρρητα και ένας αδύναμος κωδικός πρόσβασης μπορεί να μαντευτεί χωρίς να εμφανίζεται ποτέ σε διαρροή. Το "Δεν βρέθηκε" είναι ένα χρήσιμο σήμα, όχι ένα πιστοποιητικό ισχύος.

Κρίνετε την πλήρη ρύθμιση: μοναδική ανά τοποθεσία, μεγάλη ή τυχαία δημιουργία, αποθήκευση με ασφάλεια και υποστήριξη από 2FA ή κωδικούς πρόσβασης. Αν θέλετε να δείτε γιατί οι αλγόριθμοι μήκους και αποθήκευσης αλλάζουν τον χρόνο εικασίας, διαβάστε πώς λειτουργούν οι επιθέσεις ωμής βίας.