Controlla se una password compare in violazioni di dati note: la password stessa non lascia mai il tuo browser.
Gli aggressori non provano quasi mai le password una alla volta. Prendono i dump di credenziali dei siti violati e provano quelle stesse password su tutti gli altri servizi: e-mail, banca, account di lavoro. Questo è il credential stuffing, e funziona perché le password vengono riutilizzate. Questa pagina ti dice se una tua password è già in quei dump, interrogando Pwned Passwords, il database gestito da Have I Been Pwned, che indicizza miliardi di password provenienti da violazioni pubbliche e riporta quante volte distinte la tua password esatta vi compare.
Chiedere a un servizio informazioni su una password di solito significa consegnargliela — esattamente ciò che non si dovrebbe mai fare. Il modello k-anonymity elimina il problema. Il tuo browser calcola l'hash SHA-1 della password, un codice di 40 caratteri che non può essere riconvertito nel testo originale, e ne invia solo i primi cinque caratteri. Il database risponde con tutti gli hash trapelati che iniziano con quel prefisso — un paio di migliaia, appartenenti a password che non hanno nulla a che fare con la tua — e il confronto finale avviene nel tuo browser. Il servizio non può sapere quale di quelle migliaia ti interessava. La richiesta porta con sé anche un'intestazione di padding, così ogni risposta torna con una dimensione uniforme e nemmeno la sua lunghezza rivela qualcosa. A Vai.la non arriva niente: la richiesta va dal tuo browser direttamente al database delle password, e questa pagina non salva e non registra nulla.
Una password trovata anche una sola volta va considerata bruciata: cambiala ovunque l'hai usata, cominciando dall'e-mail — l'account che può reimpostare tutti gli altri — e da tutto ciò che riguarda i soldi. Un conteggio alto significa che non è solo trapelata ma anche comune, in cima a tutte le liste di parole usate dagli aggressori: "123456" compare decine di milioni di volte. Un conteggio pari a zero è una buona notizia, ma non un certificato di sicurezza: vuol dire che questa stringa esatta non è nella raccolta indicizzata da questo database, non che non sia mai trapelata e nemmeno che sia difficile da indovinare. Le violazioni impiegano mesi a diventare pubbliche, e le password corte cadono per forza bruta senza essere mai comparse in un dump. La soluzione duratura è una password casuale diversa per ogni sito, conservata in un password manager, con l'autenticazione a due fattori sugli account che contano.
SHA-1 produce 160 bit, scritti come 40 caratteri esadecimali. Il prefisso che viene inviato è formato dai primi 5 — 20 bit, cioè 1.048.576 prefissi possibili. Pwned Passwords indicizza miliardi di hash, quindi oggi un prefisso restituisce un paio di migliaia di risultati, esche comprese. Il servizio viene a conoscenza di un prefisso su 1.048.576 e non vede mai i restanti 140 bit; il numero esatto di hash restituiti viene mostrato insieme al risultato.
No. Il tuo browser ne calcola localmente l'hash con SHA-1 e invia solo i primi cinque caratteri di quell'hash, direttamente all'API di Pwned Passwords. La password e gli altri 35 caratteri non lasciano mai la pagina, e Vai.la non riceve nulla. Puoi verificarlo nella scheda di rete del tuo browser.
Risponde sul prefisso, non sulla tua password. Tutti gli hash trapelati che iniziano con quei cinque caratteri tornano in un'unica lista — un paio di migliaia di voci — e il confronto lo fa il tuo browser. Il servizio vede soltanto un prefisso condiviso da migliaia di password che non c'entrano nulla tra loro.
No, ed è la parte del risultato che viene fraintesa più spesso. Significa soltanto che quella stringa esatta non è nelle violazioni indicizzate da questo database. Potrebbe essere trapelata da qualche parte senza che sia mai diventato pubblico, e una password corta o prevedibile viene forzata per tentativi senza essere mai trapelata.
Non necessariamente. Il conteggio indica quante volte quella stringa compare in tutte le violazioni indicizzate, da qualsiasi utente e in qualsiasi luogo. Una password comune arriva a milioni di occorrenze senza alcun legame con te — ma è in tutte le liste di parole usate dagli aggressori, quindi cambiala ovunque la usi.
Da Pwned Passwords, il servizio gratuito gestito dal ricercatore di sicurezza Troy Hunt nell'ambito di Have I Been Pwned. Raccoglie password da violazioni pubbliche e cresce man mano che ne vengono elaborate di nuove, quindi una violazione molto recente potrebbe non comparire ancora. La verifica viene eseguita dal vivo quando clicchi.
Vai.la trasforma qualsiasi URL in un link breve con statistiche dei clic, QR Code e il tuo biolink personale.
Vai.la non è responsabile dell'uso degli strumenti né delle decisioni prese in base ai loro risultati.