Online Şifre Sızıntı Kontrolü
Have I Been Pwned k-anonimlik API’si üzerine kurulu bir sızıntı denetleyicisi — 1Password Watchtower, Bitwarden Reports, Firefox Monitor ve Chrome’un yerleşik ele geçirilmiş şifre uyarısının arkasındaki protokolün aynısı. Şifreniz tarayıcıda karmalanır ve bu karmanın yalnızca 5 karakterlik öneki HIBP’ye gönderilir. Sunucu bu öneki taşıyan yaklaşık 500 aday karma döndürür, eşleştirmeyi ise tarayıcınız yapar. HIBP, LinkedIn, Adobe, Collection #1 ve yüzlerce başka sızıntıdan gelen 850 milyondan fazla benzersiz ele geçirilmiş şifreyi dizinler.
Nasıl kullanılır
4 adımAlana tıklayın, şifreyi yazın veya yapıştırın. Kontrol her tuş vuruşunda değil, gönderdiğinizde çalışır.
Tarayıcınız şifreyi yerelde karmalar ve karmanın yalnızca ilk 5 karakterini HIBP’ye gönderir; HIBP eşleştirme için yaklaşık 500 aday döndürür.
Sonuç “bulunamadı” ya da “N kez görüldü” olur. Bulunduysa şifreyi yeniden kullanıldığı her yerde değiştirin.
Benzersiz ve güçlü bir yedek için şifre oluşturucumuzu veya parola cümlesi oluşturucumuzu kullanın.
Şifrenizi k-anonimlik protokolüyle Have I Been Pwned sızıntı veritabanında sorgulayın
Özellikler
SSS
HIBP’ye tam olarak ne gönderiliyor?
Yalnızca şifrenizin karmasının 5 karakterlik öneki, başka hiçbir şey değil. Bu önek yaklaşık 500 farklı şifreyle çakışır, bu yüzden HIBP hangisini kontrol ettiğinizi anlayamaz. Çerez yok, hesap yok.
k-anonimlik nedir?
Sorgunuzun, birbirinden ayırt edilemeyen k adet başka sorguyla karıştırıldığı bir gizlilik modelidir. 5 karakterlik bir karma öneki göndermek, aramanızın yaklaşık 500 sorgudan biri olması demektir — sunucu neyi aradığınızı kesin olarak belirleyemez.
Neden kırıldığı bilinen bir karma fonksiyonu kullanılıyor?
SHA-1’e yönelik asıl saldırı çakışma bulmadır (aynı karmaya sahip iki farklı dosya üretmek). k-anonimlik protokolü buna bağlı değildir — yalnızca fonksiyonun şifreleri önek kovalarına eşit dağıtmasına ihtiyaç duyar, SHA-1 bunu gayet iyi yapar. HIBP, 1Password ve Firefox Monitor’ün bu özel sorgu için hâlâ onu kullanmasının nedeni de bu.
Sızdırılmış şifre listesi kimin listesi?
Have I Been Pwned: Troy Hunt’ın 850’den fazla açıklanmış sızıntıdan ve derlenmiş listelerden oluşturduğu külliyat. 850 milyondan fazla farklı ele geçirilmiş şifre içerir ve şifre yöneticilerinin ile giriş sistemlerinin fiilî referansıdır. Liste size bir şifrenin bir yerde sızıntıda göründüğünü söyler; onu bırakmak için bu yeterlidir, çünkü saldırganlar ilk olarak tam da bu dizeleri dener. Hangi hizmetin ne zaman sızdırdığını söyleyemez; çalınmış ama hiç yayımlanmamış bir şifre hakkında da bir şey bilmez. Bulunamaması “bu külliyatta yok” demektir, “güvenli” demek değil.
Şifrem veritabanında yok — güçlü müdür?
Mutlaka değil. Yalnızca henüz yayımlanmış bir sızıntıda görünmediği anlamına gelir. Kısa veya tahmin edilebilir bir şifre kaba kuvvetle yine saniyeler içinde kırılabilir. Şifreyi güç denetleyicisinden de geçirin.
Sızıntıda çıkarsa ne yapmalıyım?
Hemen kullanmayı bırakın. Kimlik bilgisi doldurma botları sızdırılmış her şifreyi bulabildikleri her giriş formunda dener — hesapların ele geçirilmesine yol açan şey şifrenin yeniden kullanılmasıdır. Her site için benzersiz bir şifre oluşturun, bir şifre yöneticisine (Bitwarden, 1Password, KeePass) geçin ve mümkün olan her yerde iki adımlı doğrulamayı açın.
Şifre yöneticim zaten sızıntıları denetliyorsa bunu neden kullanayım?
Tek seferlik kontroller için — bir sızıntı yazısında gördüğünüz bir şifre, bir iş arkadaşınızın “bu güvenli mi?” sorusu ya da henüz bir yöneticiye eklemediğiniz bir şifre. Tüm kasanız için zaten 1Password Watchtower veya Bitwarden Reports kullanıyorsanız, bunlar için buna ihtiyacınız yok.
Elbette yapabiliriz! Fikrinizle birlikte kısa bir mesaj gönderin. Ayrıntılı konuşmak istiyorsanız e-posta adresinizi bırakın, size geri döneceğiz. Anonim kalabilirsiniz.