Как проверяется пароль
Надёжность. Мы оцениваем пароль так, как его стал бы подбирать взломщик. Программа для подбора не перебирает символы вслепую: сначала она пробует самые частые пароли, слова из словарей, имена, даты рождения, клавиатурные ряды вроде qwerty и йцукен и русские слова, набранные в английской раскладке («ghbdtn» — это «привет»). Чем меньше в пароле таких кусков и чем он длиннее, тем дольше подбор. Время указано для одной игровой видеокарты, которая проверяет около 10 миллиардов вариантов в секунду по украденной базе.
Утечки. Пароль сверяется с базой Have I Been Pwned — это больше миллиарда паролей из реальных утечек сайтов. Если пароль там есть, его знают все, кто подбирает пароли: такие списки проверяют первыми, даже если сам пароль выглядит сложным.
Как работает проверка утечек без отправки пароля
Браузер вычисляет хэш SHA-1 пароля — строку из 40 символов — и отправляет нам только первые пять. Под это начало подходят сотни других паролей из базы. Мы возвращаем список всех хэшей с таким началом, и браузер сам ищет в нём ваш. Ни мы, ни база утечек не узнаём ни пароль, ни его полный хэш.
Что делать, если пароль слабый или утёк
- Смените его везде, где он используется, — начните с почты: через неё восстанавливают доступ ко всему остальному.
- Для каждого сайта заведите свой пароль. Случайный и длинный удобно создать в генераторе паролей.
- Включите вход с подтверждением по коду — тогда одного пароля для входа будет недостаточно.