जाँचें कि कोई पासवर्ड ज्ञात डेटा लीक में मौजूद है या नहीं — पासवर्ड ख़ुद कभी आपके ब्राउज़र से बाहर नहीं जाता।
हमलावर पासवर्ड शायद ही कभी एक-एक करके अंदाज़ते हैं। वे लीक हुई साइटों से निकले लॉगिन डेटा के ढेर उठाते हैं और उन्हीं पासवर्डों को बाक़ी हर सेवा पर आज़माते हैं — ई-मेल, बैंकिंग, दफ़्तर के खाते। इसे credential stuffing कहते हैं, और यह इसलिए काम करता है क्योंकि लोग पासवर्ड दोहराते हैं। यह पेज बताता है कि आपका कोई पासवर्ड उन ढेरों में पहले से है या नहीं; इसके लिए यह Pwned Passwords से पूछता है — Have I Been Pwned द्वारा संचालित वह डेटाबेस, जो सार्वजनिक लीक से अरबों पासवर्ड अनुक्रमित करता है और बताता है कि ठीक आपका पासवर्ड वहाँ कितनी अलग-अलग बार दिखता है।
आम तौर पर किसी सेवा से अपने पासवर्ड के बारे में पूछने का मतलब होता है उसे सौंप देना — ठीक वही, जो आपको कभी नहीं करना चाहिए। k-anonymity मॉडल इस दिक़्क़त को ख़त्म कर देता है। आपका ब्राउज़र पासवर्ड का SHA-1 hash निकालता है — 40 अक्षरों का एक कोड, जिसे वापस मूल टेक्स्ट में नहीं बदला जा सकता — और उसमें से सिर्फ़ पहले पाँच अक्षर भेजता है। डेटाबेस जवाब में वे सारे लीक हुए hash लौटाता है जो उस उपसर्ग से शुरू होते हैं — कोई दो हज़ार के आसपास, जो आपसे बिल्कुल असंबंधित पासवर्डों के होते हैं — और आख़िरी तुलना आपके ब्राउज़र में होती है। सेवा यह जान ही नहीं सकती कि उन हज़ारों में से आपने किसके बारे में पूछा था। अनुरोध के साथ एक padding हेडर भी जाता है, ताकि हर जवाब एक जैसे आकार में लौटे और उसकी लंबाई तक कुछ न बताए। Vai.la तक कुछ नहीं पहुँचता: अनुरोध आपके ब्राउज़र से सीधे पासवर्ड डेटाबेस को जाता है, और यह पेज न कुछ सहेजता है, न कोई लॉग रखता है।
जो पासवर्ड एक बार भी मिल जाए, उसे जला हुआ मान लेना चाहिए: जहाँ-जहाँ आपने उसका इस्तेमाल किया है, सब जगह बदल दीजिए — शुरुआत ई-मेल से, क्योंकि वही खाता बाक़ी सबका पासवर्ड रीसेट कर सकता है, और फिर पैसों से जुड़ी हर जगह। बड़ी गिनती का मतलब है कि वह सिर्फ़ लीक ही नहीं हुआ, आम भी है, और हर हमलावर की शब्द-सूची में सबसे ऊपर बैठा है; "123456" वहाँ करोड़ों बार दिखता है। शून्य की गिनती अच्छी ख़बर है, पर स्वास्थ्य का प्रमाणपत्र नहीं: इसका मतलब सिर्फ़ इतना है कि ठीक यह अक्षर-शृंखला उस संग्रह में नहीं है जिसे यह डेटाबेस अनुक्रमित करता है — यह नहीं कि वह कभी लीक नहीं हुआ, और यह भी नहीं कि उसे अंदाज़ना मुश्किल है। लीक को सार्वजनिक होने में महीनों लगते हैं, और छोटे पासवर्ड किसी ढेर में आए बिना ही brute force से टूट जाते हैं। टिकाऊ हल यह है: हर साइट के लिए अलग, बेतरतीब पासवर्ड, जो किसी पासवर्ड मैनेजर में रखा हो, और जो खाते मायने रखते हैं उन पर दो-चरणीय प्रमाणीकरण।
SHA-1 160 बिट बनाता है, जो 40 हेक्साडेसिमल अक्षरों में लिखे जाते हैं। भेजा जाने वाला उपसर्ग उनमें से पहले 5 अक्षर हैं — यानी 20 बिट, या 1,048,576 संभावित उपसर्ग। Pwned Passwords अरबों hash अनुक्रमित करता है, इसलिए एक उपसर्ग पर फ़िलहाल क़रीब दो हज़ार hash लौटते हैं, छलावे वाली प्रविष्टियों समेत। सेवा को 1,048,576 में से सिर्फ़ एक उपसर्ग पता चलता है और बाक़ी 140 बिट वह कभी नहीं देखती; उसने कितने hash लौटाए, यह सटीक संख्या नतीजे के साथ दिखाई जाती है।
नहीं। आपका ब्राउज़र उसे स्थानीय रूप से SHA-1 से hash करता है और उस hash के सिर्फ़ पहले पाँच अक्षर सीधे Pwned Passwords API को भेजता है। पासवर्ड और बाक़ी 35 अक्षर कभी पेज से बाहर नहीं जाते, और Vai.la को कुछ नहीं मिलता। आप इसे अपने ब्राउज़र के नेटवर्क टैब में ख़ुद जाँच सकते हैं।
वह उपसर्ग के बारे में जवाब देता है, आपके पासवर्ड के बारे में नहीं। उन पाँच अक्षरों से शुरू होने वाला हर लीक hash एक ही सूची में लौटता है — कोई दो हज़ार प्रविष्टियाँ — और मिलान आपका ब्राउज़र करता है। सेवा को हमेशा सिर्फ़ वह उपसर्ग दिखता है जो हज़ारों असंबंधित पासवर्डों में एक जैसा होता है।
नहीं, और नतीजे का यही हिस्सा सबसे ज़्यादा ग़लत समझा जाता है। इसका मतलब सिर्फ़ इतना है कि ठीक यह अक्षर-शृंखला उन लीक में नहीं है जिन्हें यह डेटाबेस अनुक्रमित करता है। वह कहीं ऐसी जगह लीक हुआ हो सकता है जो कभी सार्वजनिक नहीं हुई, और छोटा या अंदाज़ लगने लायक़ पासवर्ड बिना कभी लीक हुए ही अनुमान से तोड़ा जा सकता है।
ज़रूरी नहीं। यह गिनती बताती है कि वह पासवर्ड-शृंखला सभी अनुक्रमित लीक में कितनी बार दिखती है, दुनिया भर के किसी भी उपयोगकर्ता की तरफ़ से। कोई आम पासवर्ड आपसे बिना किसी संबंध के भी लाखों बार दिख सकता है — लेकिन वह हर हमलावर की शब्द-सूची में है, इसलिए जहाँ-जहाँ आप उसे इस्तेमाल करते हैं, बदल दीजिए।
Pwned Passwords से — सुरक्षा शोधकर्ता Troy Hunt द्वारा Have I Been Pwned के हिस्से के रूप में चलाई जाने वाली मुफ़्त सेवा। यह सार्वजनिक लीक से पासवर्ड इकट्ठा करती है और जैसे-जैसे नए लीक संसाधित होते हैं, बढ़ती जाती है, इसलिए कोई बिल्कुल हालिया लीक अभी उसमें न भी हो। आपके क्लिक करते ही जाँच लाइव चलती है।
Vai.la किसी भी URL को क्लिक आंकड़ों, QR Code और आपके अपने बायोलिंक के साथ एक शॉर्ट लिंक में बदल देता है।
टूल्स का इस्तेमाल कैसे होता है या उनके परिणामों के आधार पर लिए गए निर्णयों के लिए Vai.la ज़िम्मेदार नहीं है।