La password che usi per entrare nel router, nella posta o nella VPN è già finita in un elenco di password rubate? Scrivila qui sotto: il controllo la confronta con le centinaia di milioni di password raccolte da Have I Been Pwned nei furti di dati degli ultimi anni. Il controllo avviene nel tuo browser e la password non arriva né a me né a loro.
[dojo_pwned]No. Il browser trasforma la password in un'impronta (SHA-1, 40 caratteri) e manda al servizio solo i primi 5 caratteri dell'impronta. Have I Been Pwned risponde con tutte le impronte rubate che iniziano così (di solito qualche centinaio, più alcune finte aggiunte apposta perché la risposta abbia sempre la stessa dimensione) e il confronto si fa qui, sul tuo dispositivo. Il sistema si chiama k-anonymity: da 5 caratteri non si risale né alla password né all'impronta intera.
Questa pagina non manda niente al mio server e non registra niente: né la password, né l'impronta, né il risultato. Dopo il controllo il campo si svuota. Sotto il risultato vedi i 5 caratteri che sono stati inviati.
Chi bussa a WinBox, SSH, API o WebFig di un router esposto non inventa le password: le prova a raffica partendo proprio da questi elenchi, dalle più diffuse in giù. Una password che compare negli archivi è fra le prime a essere tentate, anche se ti sembra originale. Lo vedi ogni giorno nella mappa del Dojo sotto assedio: le porte di gestione sono fra le più cercate.
admin, i servizi di gestione chiusi verso Internet e raggiungibili solo dalla rete di gestione o via VPN. Trovi tutti i passi nell'howto Hardening di base del router MikroTik.È un buon segno, ma non una garanzia. Una password corta o prevedibile (un nome, una data, la parola «mikrotik» con un numero in fondo) si indovina anche se non è mai stata rubata. Il controllo dice solo se è già nelle liste di chi attacca.
Il database è Pwned Passwords di Have I Been Pwned, il progetto di Troy Hunt, usato anche da molti gestori di password e servizi online. I dati sono pubblicati con licenza CC BY 4.0. Io ho scritto solo questa pagina, che interroga il loro servizio direttamente dal tuo browser.
Sì, è fatto per questo: al servizio arrivano solo 5 caratteri dell'impronta. Se preferisci, controllala e poi cambiala comunque: una password nuova e unica è sempre la scelta migliore.
No. L'archivio delle password non è legato a indirizzi email o nomi: dice solo se quella password è comparsa in un furto di dati e quante volte. Per sapere se il tuo indirizzo email è in un furto di dati c'è la ricerca sul sito di Have I Been Pwned.