Hvordan sjekker jeg om passordet mitt har lekket?

Bruk en sjekk som hasher passordet lokalt og gjør et k-anonymt områdesøk, som Sealbys passordlekkasjesjekk. Den sender bare de fem første tegnene av et SHA-1-fingeravtrykk, får tilbake mange mulige endelser, og sammenligner hele fingeravtrykket i nettleseren din.

Passordet mitt var i en lekkasje. Hva gjør jeg først?

Bytt det først på alle kontoer der du har brukt det på nytt. Start med e-post, passordbehandleren din, bank og kontoer som kan tilbakestille andre. Bruk et eget, unikt passord for hver konto, sjekk deretter innloggede økter, og slå på tofaktor eller passnøkkel der det er mulig.

Er det trygt å skrive inn passordet mitt i en sjekk?

Bare hvis du kan se hvordan sjekken fungerer. Sealbys sjekk beholder passordet og hele hashen i nettleseren; bare et prefiks på fem hash-tegn sendes til Pwned Passwords sitt område-API. Den ber også om utfylte resultater og venter til du sender inn, i stedet for å søke mens du skriver.

Betyr et rent resultat at passordet mitt er sterkt?

Nei. Det betyr bare at akkurat dette passordet ikke ble funnet i sjekkens nåværende data. Et kort mønster, en personlig opplysning, en liten variasjon eller et passord gjenbrukt på et nettsted som ikke er lekket, kan likevel være svakt.

Har passordet lekket? Slik sjekker du – og hva du gjør først

Hovedpunkter

Lekkede passord kommer som regel fra hackede nettsteder og stjålne kontodatabaser, ikke fra denne sjekken og ikke nødvendigvis fra enheten din.

Sealby hasher hele passordet i nettleseren og sender bare de første fem tegnene av fingeravtrykket til Have I Been Pwned.

Et treff betyr at passordet finnes i kjente angrepsdata. Den største risikoen er alle andre kontoer der du har brukt det samme passordet.

Fjern gjenbruk først, bytt deretter til unike passord laget av en passordbehandler eller lange passfraser, og legg til tofaktor eller passnøkler.

Et rent resultat er nyttig, men beviser ikke at passordet er sterkt, unikt eller ukjent for en angriper.

Hvor lekkede passord kommer fra

Et nettsted lagrer nok informasjon til å kjenne igjen passordet ditt når du logger inn. Gode nettsteder lagrer en treg, saltet hash, ikke selve passordet. Lekkasjer eksponerer likevel passorddatabaser, og dårlige implementasjoner, gamle algoritmer eller svake passord lar angripere gjenskape mange av de opprinnelige verdiene. Disse verdiene samles i knekklister og prøves andre steder.

Et treff sier derfor noe om passordet, ikke om tilstanden til telefonen du holder. Det beviser verken at skadevare har lest tastetrykkene dine, eller at kontoen du sjekker var det nettstedet som ble lekket fra. Det kan ha kommet fra en helt annen tjeneste for flere år siden.

Slik virker sjekken uten å avsløre passordet

Sealbys sjekk lager et SHA-1-fingeravtrykk av hele passordet i nettleseren din. SHA-1 brukes her bare som søkeformatet Pwned Passwords krever, ikke for å lagre eller beskytte passordet ditt. Siden sender bare de fem første heksadesimale tegnene av fingeravtrykket – aldri passordet, og aldri hele fingeravtrykket.

Tjenesten returnerer hundrevis av mulige endelser som deler det samme prefikset, fylt ut med ekstra oppføringer for å gjøre svarstørrelsen mindre avslørende. Nettleseren din sammenligner den riktige endelsen lokalt og ignorerer utfyllingsoppføringene. Dette kalles k-anonymitet: serveren ser en mengde mulige passord, mens bare enheten din vet hvilket fullstendige fingeravtrykk den leter etter.

Hva et treff ærlig betyr

Et treff betyr at det nøyaktige passordfingeravtrykket finnes i kjent, kompromittert passorddata. Angripere kan da plassere passordet langt fremme på en gjetteliste. Det sier ikke hvem som brukte det, hvilken lekkasje det kom fra, eller om en bestemt konto allerede er åpnet.

Faren er størst der du har brukt passordet på nytt. Automatiserte verktøy for credential stuffing prøver et lekket e-post-og-passord-par mot e-post, nettbutikker, sosiale nettverk og finanstjenester. Én gammel lekkasje kan bli til flere kaprede kontoer fordi passordet ble gjenbrukt.

Fiks i denne rekkefølgen

1. Fjern gjenbruk. Bytt passordet overalt det brukes. Start med e-post og andre kontoer som kan tilbakestille andre, deretter økonomi, jobb, sosiale kontoer og nettbutikker. Logg ut ukjente økter mens du er der.

2. Gjør hver erstatning unik. En passordbehandler kan lage og huske tilfeldige passord for deg. For noe du selv må skrive eller huske, bruk flere tilfeldig valgte ord fra passfrasegeneratoren. Ikke lag ett sterkt passord og bruk det flere steder.

3. Legg til en ekstra barriere. Slå på tofaktorautentisering, helst med en autentiseringsapp eller maskinvarenøkkel fremfor SMS når tjenesten lar deg velge. En passnøkkel er enda bedre der den støttes, fordi den er unik for nettstedet og motstår nettfisking.

Hva et rent resultat ikke beviser

Ingen lekkasjedatabase inneholder alle stjålne passord. Et nettsted kan ha en lekkasje det ikke vet om, en angriper kan holde data privat, og et svakt passord kan gjettes uten noen gang å dukke opp i en lekkasje. «Ikke funnet» er ett nyttig signal, ikke et bevis på styrke.

Vurder hele oppsettet: unikt per nettsted, langt eller tilfeldig generert, trygt lagret, og supplert med tofaktor eller passnøkler. Vil du se hvorfor lengde og lagringsalgoritmer endrer gjettetiden, kan du lese hvordan brute force-angrep fungerer.

Har passordet ditt lekket? Slik sjekker du det – og hva det egentlig betyr