La password che usi per entrare nel router, nella posta o nella VPN è già finita in un elenco di password rubate? Scrivila qui sotto: il controllo la confronta con le centinaia di milioni di password raccolte da Have I Been Pwned nei furti di dati degli ultimi anni. Il controllo avviene nel tuo browser e la password non arriva né a me né a loro.
Ti serve una password nuova? Eccone una robusta
Generata nel tuo browser con il generatore casuale crittografico (crypto.getRandomValues): maiuscole, minuscole, cifre e simboli, senza i caratteri che nel terminale di RouterOS hanno un significato speciale ($ ? ; \ " '). Non passa da nessun server.
Dove la tengo? Non salvarla in chiaro in un foglio Excel, nel Blocco note, in una mail o in un post-it: chi entra nel tuo PC la trova subito. Usa un gestore di password, che la tiene cifrata e la compila al posto tuo. Uno valido e gratuito, open source, è Bitwarden: non sono affiliato, scegli quello che preferisci.
Dati: Pwned Passwords di Have I Been Pwned (Troy Hunt), licenza CC BY 4.0. Il servizio è loro: io ho scritto solo questa pagina, che non registra nulla.
La password lascia il mio computer?
No. Il browser trasforma la password in un’impronta (SHA-1, 40 caratteri) e manda al servizio solo i primi 5 caratteri dell’impronta. Have I Been Pwned risponde con tutte le impronte rubate che iniziano così (di solito qualche centinaio, più alcune finte aggiunte apposta perché la risposta abbia sempre la stessa dimensione) e il confronto si fa qui, sul tuo dispositivo. Il sistema si chiama k-anonymity: da 5 caratteri non si risale né alla password né all’impronta intera.
Questa pagina non manda niente al mio server e non registra niente: né la password, né l’impronta, né il risultato. Dopo il controllo il campo si svuota. Sotto il risultato vedi i 5 caratteri che sono stati inviati.
Perché conta anche per un router MikroTik?
Chi bussa a WinBox, SSH, API o WebFig di un router esposto non inventa le password: le prova a raffica partendo proprio da questi elenchi, dalle più diffuse in giù. Una password che compare negli archivi è fra le prime a essere tentate, anche se ti sembra originale. Lo vedi ogni giorno nella mappa del Dojo sotto assedio: le porte di gestione sono fra le più cercate.
Che cosa faccio se risulta compromessa?
- Non usarla più, da nessuna parte, e cambiala subito ovunque la usi: router, posta, VPN, siti esterni.
- Una password diversa per ogni servizio, lunga e casuale: un gestore di password la genera e la ricorda per te.
- Sul router, oltre alla password: un utente diverso da
admin, i servizi di gestione chiusi verso Internet e raggiungibili solo dalla rete di gestione o via VPN. Trovi tutti i passi nell’howto Hardening di base del router MikroTik.
E se non compare?
È un buon segno, ma non una garanzia. Una password corta o prevedibile (un nome, una data, la parola «mikrotik» con un numero in fondo) si indovina anche se non è mai stata rubata. Il controllo dice solo se è già nelle liste di chi attacca.
Domande frequenti
Chi gestisce il servizio?
Il database è Pwned Passwords di Have I Been Pwned, il progetto di Troy Hunt, usato anche da molti gestori di password e servizi online. I dati sono pubblicati con licenza CC BY 4.0. Io ho scritto solo questa pagina, che interroga il loro servizio direttamente dal tuo browser.
Posso controllare la password che uso davvero?
Sì, è fatto per questo: al servizio arrivano solo 5 caratteri dell’impronta. Se preferisci, controllala e poi cambiala comunque: una password nuova e unica è sempre la scelta migliore.
Il controllo dice dove è stata rubata la mia password?
No. L’archivio delle password non è legato a indirizzi email o nomi: dice solo se quella password è comparsa in un furto di dati e quante volte. Per sapere se il tuo indirizzo email è in un furto di dati c’è la ricerca sul sito di Have I Been Pwned.