Pwned Passwords

segurançaprivacidade

O acervo do Have I Been Pwned de senhas expostas em vazamentos de dados, com uma API gratuita que diz se uma senha está nele sem que a senha nem o seu hash completo saiam do seu dispositivo.

Os sites usam o serviço no cadastro e na troca de senha para recusar senhas que os criminosos já têm, a defesa que o credential stuffing pede. A consulta é uma busca por faixa: o cliente envia os cinco primeiros caracteres do hash SHA-1 da senha e compara ele mesmo os sufixos devolvidos.

O Pwned Passwords foi lançado em 3 de agosto de 2017 com 306 milhões de senhas vindas de vazamentos, liberadas para download para que qualquer sistema pudesse conferir senhas novas contra elas. A versão 2, em 22 de fevereiro de 2018, reunia 501.636.842 senhas únicas, que tinham aparecido 3.033.858.815 vezes em vazamentos, e acrescentou a busca por faixa desenhada com Junade Ali, da Cloudflare.

A busca aplica k-anonymity. O cliente calcula o hash da senha candidata, envia só os cinco primeiros caracteres hexadecimais do hash e recebe todos os sufixos do acervo que compartilham esse prefixo, cada um com o número de vezes em que foi visto; a correspondência, se houver, é encontrada no próprio cliente, então o serviço nunca fica sabendo qual senha ou hash foi verificado. A API aceita o prefixo de um hash SHA-1 ou NTLM, não exige autorização e pode completar cada resposta até ter entre 800 e 1.000 itens, para que quem observa o tráfego criptografado não deduza o prefixo pelo tamanho da resposta. O acervo inteiro também pode ser baixado com uma ferramenta open source e usado offline.

Em 28 de maio de 2021 o Pwned Passwords virou open source sob a .NET Foundation, e o FBI passou a enviar senhas comprometidas encontradas em suas investigações. A Cloudflare fornece a infraestrutura que serve o serviço.

Também conhecido como: pwnedpasswords, range api, breached password check

← Todos os verbetes do glossário