HIBP Verification — Understanding k-anonymity
Time2Crack utiliza API He estado Pwned (HIBP) para comprobar si su contraseña ha sido comprometida en una fuga de datos. Para proteger su privacidad, No mandamos Nunca tu contraseña completa. k-anonymity Sólo se envían los primeros 5 caracteres del hash SHA-1 de la contraseña.
SECCIÓN DE EXPLANATORIALo que puedes ver
Su contraseña sigue siempre en su navegadorNada se envía al servidor.
Sólo hash SHA-1 de tu contraseña se calcula localmente (en JavaScript).
Entonces sólo el Primero 5 caracteres de este hash son enviados a HIBP.
Lo que HIBP no puede ver
HIBP no ve no tu contraseña completa.
HIBP no ve no el hash SHA-1 completo.
HiBP recibe sólo 5 caracteres y devuelve Todos los hachís correspondiente a este prefijo (k-anonimato).
k-anonymity es una técnica de confidencialidad que hace un registro inaceptable entre los registros k. En este caso, al enviar 5 caracteres de un hash SHA-1, HIBP devuelve todos los hashs comenzando con estos 5 caracteres (generalmente 400-500 resultados). Tu verdadero hash está escondido entre todos los demás. Incluso HIBP no sabe qué hash es tuyo.
- Demostración interactiva
Introduzca una contraseña a continuación y ver exactamente lo que se envía a HiBP.
Contraseña (en su navegador)
Su contraseña Siempre te quedas localNunca enviado.
Full Hash SHA-1 (calculado localmente)
El hash SHA-1 se calcula en su navegador en JavaScript. HIBP nunca lo ve completo.
Prefijo SHA-1 (5 primeros caracteres)
Sólo estos 5 caracteres son enviados a HiBP a través de HTTPS seguro.
Respuesta de HiBP (todas las precipitaciones)
HIBP regresa Todos los hachís Tu verdadero hash está escondido entre ellos.
Incluso si el prefijo "55D97" coincide con la contraseña123, HIBP no sabe no Sólo sabes cuál es el tuyo.
Cómo Time2Crack utiliza HiBP
Usted escribe una contraseña
Su contraseña se queda en su navegador. Nada se envía en cualquier lugar.
Time2Crack calcula SHA-1
En JavaScript calculamos el hash SHA-1 de la contraseña. Esto es cálculo local, sin transmisión.
Enviar prefijo a HIBP
Sólo los primeros 5 caracteres del hash se envían a HIBP a través de una solicitud HTTPS cifrada.
HIBP devuelve todos los resultados
HIBP devuelve todos los hashs (generalmente 400-500) comenzando con este prefijo.
Verificación local
Time2Crack compara su hash completa con todos los resultados de HiBP en su navegadorSi se encuentra, la contraseña está comprometida.
Preguntas frecuentes
RECURSOSRecursos
¿He sido Pwned (HIBP): haveibeenpwned.com - Base de datos de contraseñas integrada.
DIBP API Documentación: haveibeenpwned.com/API/v3 — Documentación técnica de la API de anonimato k.
k-anonymity: Wikipedia — k-anonymity - Concepto de confidencialidad de datos.
Seguridad de la contraseña: OWASP Password Storage Cheat Sheet - Buenas prácticas de almacenamiento.