رمزهای عبور تصادفی از حروف، ارقام و نمادها با crypto.getRandomValues.
بررسی رمز عبور هک‌شده
شبکه: HIBPجدید
خود ابزار به زبان انگلیسی است؛ این صفحه آن را به زبان شما توضیح میدهد.
از بررسی رمز عبور هک‌شده استفاده کنید
کارکرد
یک رمز عبور را بدون ارسال آن، با فهرست Pwned Passwords در Have I Been Pwned بررسی کنید: مرورگر شما آن را با SHA-1 هش میکند و تنها پیشوند پنجکاراکتری آن هش را درخواست میکند.
فقط پنج کاراکتر اول هَش SHA-1 رمز عبور به Have I Been Pwned (api.pwnedpasswords.com) ارسال میشود؛ خود رمز عبور هرگز از مرورگر خارج نمی‌شود.
چگونه از بررسی رمز عبور هک‌شده استفاده کنیم
- انتخاب کنید چه چیزی را بررسی کنید. در بخش «چه چیزی را بررسی کنید»، «یک رمز عبور» را انتخاب کنید، یا «هَش SHA-1 آن» را اگر فقط هَش هگزادسیم ۴۰ کاراکتری را دارید.
- آن را تایپ کن. رمز عبور را در فیلد مخفی‌شده وارد کنید؛ Show آن را آشکار میکند. این کار را روی دستگاهی انجام دهید که به آن اعتماد دارید.
- بررسی را اجرا کنید. Enter را فشار دهید یا بررسی را انجام دهید. مرورگر شما رمز عبور را با SHA-1 هش میکند و از api.pwnedpasswords.com تنها برای پنج کاراکتر اول آن هش سؤال میکند.
- نتیجه را بخوانید. جعبه‌ی رنگی وضعیت را با عبارت «یافته‌شده با تعداد» یا «یافته‌نشده» نشان میدهد. سه فیلد زیر آن نشان می‌دهند چه چیزی ارسال شده، چند پسوند بازگردانده شده و آیا هش شما مطابقت داشته است.
- عمل کن و پاک کن. اگر رمز عبور پیدا شد، آن را در همه جا که استفاده می‌کنید تغییر دهید و احراز هویت دو عاملی را فعال کنید. دکمه Clear را فشار دهید تا فیلد و نتیجه خالی شوند.
مثال
یک رمز عبور از هر فهرست نقض
passwordFound 52,372,427 times in the Pwned Passwords breach corpus. Do not use this password. Change it wherever you use it, give every account its own password (a password manager makes that practical) and turn on two-factor authentication.
SENT TO THE SERVICE
5BAA6 (5 of 40 characters)
SUFFIXES RETURNED
1,978 + 135 padding rows
MATCHED IN YOUR BROWSER
yesبیش از ۵۰ میلیون بار یافت شده است. تنها داده‌ای که ارسال میشود پیشوند هش 5BAA6 است؛ هش کامل SHA-1 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 در مرورگر مطابقت داده میشود.
آنچه بررسی میکند
| سیگنال | معنای آن |
|---|---|
| N بار یافت شد | هَش دقیق شما در مجموعه دادههای نقض Pwned Passwords، N بار یافت شده است. مهاجمان ابتدا چنین رمزهایی را امتحان میکنند، پس از استفاده از آن در همه‌جا خودداری کنید. |
| یافت نشد | هَش در مجموعه داده وجود ندارد. یک رمز عبور کوتاه یا قابل پیش‌بینی هنوز هم قابل حدس است. |
| ارسال شده به سرویس | پیشوند ۵ کاراکتری: تنها بخشی از هَش که از مرورگر شما خارج میشود. درخواست هیچ کوکی و هیچ مرجعی ندارد، اما سرویس مانند هر درخواست وب دیگری آدرس آی‌پی شما را می‌بیند. |
| پسوندهای بازگشتی | چند تا پسوند هش واقعی آن پیشوند را مشترکاً دارند، به‌علاوه ردیف‌های پدینگ با تعداد صفر که ابزار درخواست میکند تا اندازه پاسخ هیچ چیزی را فاش نکند. |
| در مرورگر شما مطابقت داده شد | بله یا نه: بقیه هش شما با لیست بازگشتی روی دستگاه شما مقایسه شد. |
| هَش SHA-1 دقیقاً ۴۰ کاراکتر هگزادسیمال (۰ تا ۹، A تا F) دارد. | حالت هش ورودی را رد کرد و هیچ چیزی ارسال نشد. استفاده از حروف بزرگ یا کوچک و فاصله‌ها اطراف علامت # مشکلی ندارد. |
| امکان دسترسی به api.pwnedpasswords.com وجود ندارد | شما آفلاین هستید یا یک افزونه یا فیلتر شبکه درخواست را مسدود میکند. هیچ‌چیز بررسی نشد. |
| درخواست‌های بیش از حد به Pwned Passwords | سرویس پاسخ HTTP 429 را داد. چند ثانیه صبر کنید و دوباره امتحان کنید. |
نمونه‌های بیشتر
یک رمز عبور برتر در فهرست نقض‌ها
123456۲۱۰٬۴۶۱٬۲۰۸ بار یافت شد (بررسی‌شده در ۲۲ اکتبر ۲۰۲۶). ارسال‌شده به سرویس: 7C4A8. در مرورگر شما مطابقت یافت: بله.
یک عبارت رمز عبور نمونهٔ مشهور
correct horse battery staple۳۹۱ بار یافت شد (بررسی‌شده در ۲۲ اکتبر ۲۰۲۶). فقط ABF7A ارسال شد. یک عبارت طولانی که منتشر شده است هنوز در فهرستهای نقض قرار دارد.
هش یک کاراکتر کم
Its SHA-1 hash: 7c4a8d09ca3762af61e59520943dc26494f8941هَش SHA-1 دقیقاً ۴۰ کاراکتر هگزادسیمال (۰ تا ۹، A تا F) دارد. هیچ چیزی ارسال نمی‌شود.
سوالات متداول
دقیقاً چه چیزی به Have I Been Pwned ارسال میشود؟
فقط پنج کاراکتر هگزادسیمال اول هش SHA-1 رمز عبور، برای مثال 5BAA6. سرویس با تمام پسوندهای هشی که با آنها شروع می‌شوند پاسخ میدهد، به‌علاوه ردیف‌های پد که اندازه واقعی پاسخ را پنهان میکنند، و مرورگر شما بقیه هش را در آن فهرست جستوجو میکند.
یافت نشد به این معنی است که رمز عبور امن است؟
خیر. این فقط به این معنی است که رمز عبور در مجموعه دادههای نقض امنیتی که Pwned Passwords در اختیار دارد وجود ندارد؛ یک رمز کوتاه یا قابل حدس هنوز هم میتواند به سرعت حدس زده شود. یک نتیجه یافتشده قابل اعتماد است، زیرا مهاجمان ابتدا رمزها را از فهرستهای نقض امنیتی امتحان میکنند.
آیا می‌توانم به جای رمز عبور، هش را بررسی کنم؟
بله. هَش SHA-1 آن را انتخاب کنید و هَش هگزادسیم ۴۰ کاراکتری را پیست کنید؛ پیشوند ۵ کاراکتری یکسان ارسال میشود. این صفحه رمز عبور یا هَش را ذخیره نمی‌کند و Clear فیلد و نتیجه را خالی میکند.
آیا ابزار Have I Been Pwned میتواند از پیشوند، رمز عبور من را استخراج کند؟
خیر. هر پیشوند پنجکاراکتری بین چندین هش مشترک است و پاسخ همیشه شامل همهٔ آنها بهعلاوهٔ پدینگ است، بنابراین سرویس نمیتواند تشخیص دهد کدام هش (اگر اصلاً هشی متعلق به شما باشد) متعلق به شماست.
چرا SHA-1، در حالی که SHA-1 ضعیف محسوب میشود؟
سرویس محدودهٔ Pwned Passwords بر اساس هَش SHA-1 سازماندهی شده است، بنابراین جستوجو باید از آن استفاده کند. در اینجا هَش تنها کلید جستوجو است؛ حریم خصوصی از طریق ارسال پنج تا از چهل کاراکتر آن تأمین میشود.
چرا تعداد برای برخی رمزها اینقدر بالا است؟
این شمارش نشان میدهد که گذرواژه در کل نقضهای موجود در مجموعه دادهها چند بار ظاهر شده است، و انتخابهای رایجی مانند 123456 توسط میلیونها حساب مجزا استفاده شدهاند. هر عددی بالاتر از صفر به این معنی است که آن گذرواژه از قبل در فهرست مهاجمان وجود دارد.
آیا این بررسی میکند که آیا آدرس ایمیل من دچار نقض امنیتی شده است؟
خیر. این فقط رمزهای عبور را بررسی میکند. برای اینکه ببینید آیا یک آدرس ایمیل در یک نقض امنیتی شناختهشده وجود دارد یا خیر، از خود وبسایت Have I Been Pwned استفاده کنید.