Har passordet ditt lekket? Slik sjekker du det – og hva det egentlig betyr

Hvor lekkede passord kommer fra

Et nettsted lagrer nok informasjon til å kjenne igjen passordet ditt når du logger inn. Gode nettsteder lagrer en treg, saltet hash, ikke selve passordet. Lekkasjer eksponerer likevel passorddatabaser, og dårlige implementasjoner, gamle algoritmer eller svake passord lar angripere gjenskape mange av de opprinnelige verdiene. Disse verdiene samles i knekklister og prøves andre steder.

Et treff sier derfor noe om passordet, ikke om tilstanden til telefonen du holder. Det beviser verken at skadevare har lest tastetrykkene dine, eller at kontoen du sjekker var det nettstedet som ble lekket fra. Det kan ha kommet fra en helt annen tjeneste for flere år siden.

Slik virker sjekken uten å avsløre passordet

Sealbys sjekk lager et SHA-1-fingeravtrykk av hele passordet i nettleseren din. SHA-1 brukes her bare som søkeformatet Pwned Passwords krever, ikke for å lagre eller beskytte passordet ditt. Siden sender bare de fem første heksadesimale tegnene av fingeravtrykket – aldri passordet, og aldri hele fingeravtrykket.

Tjenesten returnerer hundrevis av mulige endelser som deler det samme prefikset, fylt ut med ekstra oppføringer for å gjøre svarstørrelsen mindre avslørende. Nettleseren din sammenligner den riktige endelsen lokalt og ignorerer utfyllingsoppføringene. Dette kalles k-anonymitet: serveren ser en mengde mulige passord, mens bare enheten din vet hvilket fullstendige fingeravtrykk den leter etter.

Hva et treff ærlig betyr

Et treff betyr at det nøyaktige passordfingeravtrykket finnes i kjent, kompromittert passorddata. Angripere kan da plassere passordet langt fremme på en gjetteliste. Det sier ikke hvem som brukte det, hvilken lekkasje det kom fra, eller om en bestemt konto allerede er åpnet.

Faren er størst der du har brukt passordet på nytt. Automatiserte verktøy for credential stuffing prøver et lekket e-post-og-passord-par mot e-post, nettbutikker, sosiale nettverk og finanstjenester. Én gammel lekkasje kan bli til flere kaprede kontoer fordi passordet ble gjenbrukt.

Fiks i denne rekkefølgen

1. Fjern gjenbruk. Bytt passordet overalt det brukes. Start med e-post og andre kontoer som kan tilbakestille andre, deretter økonomi, jobb, sosiale kontoer og nettbutikker. Logg ut ukjente økter mens du er der.

2. Gjør hver erstatning unik. En passordbehandler kan lage og huske tilfeldige passord for deg. For noe du selv må skrive eller huske, bruk flere tilfeldig valgte ord fra passfrasegeneratoren. Ikke lag ett sterkt passord og bruk det flere steder.

3. Legg til en ekstra barriere. Slå på tofaktorautentisering, helst med en autentiseringsapp eller maskinvarenøkkel fremfor SMS når tjenesten lar deg velge. En passnøkkel er enda bedre der den støttes, fordi den er unik for nettstedet og motstår nettfisking.

Hva et rent resultat ikke beviser

Ingen lekkasjedatabase inneholder alle stjålne passord. Et nettsted kan ha en lekkasje det ikke vet om, en angriper kan holde data privat, og et svakt passord kan gjettes uten noen gang å dukke opp i en lekkasje. «Ikke funnet» er ett nyttig signal, ikke et bevis på styrke.

Vurder hele oppsettet: unikt per nettsted, langt eller tilfeldig generert, trygt lagret, og supplert med tofaktor eller passnøkler. Vil du se hvorfor lengde og lagringsalgoritmer endrer gjettetiden, kan du lese hvordan brute force-angrep fungerer.