فحص التسريبات

قيد التطوير

يعمل فحص تسريب كلمات المرور في خزنة الويب وإضافة المتصفح وتطبيقي سطح المكتب والهاتف. أما تنبيهات تسريب البريد الإلكتروني فقد بُنيت وهي متوقفة افتراضيًا؛ وتحتاج إلى مفتاح HIBP على الخادم.

كلمات المرور المسرَّبة

يستخدم Octa Pass واجهة النطاقات في خدمة Pwned Passwords من Have I Been Pwned مع k-anonymity:

1. يحسب جهازك تجزئة SHA-1 لكلمة المرور.
2. يرسل أول 5 محارف ست عشرية فقط من التجزئة، مع الترويسة Add-Padding: true حتى لا يكشف حجم الاستجابة أي شيء.
3. تتضمن الاستجابة مئات لواحق التجزئات التي تشترك في تلك البادئة، مع عدد مرات ظهور كل منها في التسريبات.
4. يتحقق جهازك مما إذا كانت لاحقته موجودة في القائمة.

لا تغادر كلمة المرور ولا تجزئتها الكاملة جهازك أبدًا. يذهب الطلب مباشرة من جهازك إلى api.pwnedpasswords.com، لذلك ترى HIBP عنوان IP الخاص بك والبادئة المكوّنة من 5 محارف، ولا شيء غير ذلك. ومن المخطط له تمرير الطلب عبر وكيل على خادم Octa Pass الخاص بك، حتى لا ترى HIBP عنوان IP الخاص بك.

تظهر النتائج في لوحة السلامة.

تنبيهات تسريب البريد الإلكتروني (اختيارية)

لا يوجد بحث عام بأسلوب k-anonymity لعناوين البريد الإلكتروني، لذلك لا يمكن أن يعمل هذا الفحص كما يعمل فحص كلمات المرور: يجب أن يغادر العنوان نفسه جهازك. ولهذا يبقى متوقفًا حتى تشغّله، ولهذا يوضح التطبيق ما سيرسله قبل أن تفعل. وتشغيله خيار يسري على الحساب كله، على كل أجهزتك.

ما دام مفعّلًا، مرة في اليوم على الأكثر أو عندما تطلب ذلك:

1. يرسل جهازك البريد الإلكتروني لحسابك وعناوين البريد المُقنَّع المستعارة إلى خادم Octa Pass الخاص بك، عنوانًا تلو الآخر، كلٌّ منها في جسم طلب مسجَّل الدخول (POST /v1/health/breach-email)، حتى تبقى خارج عناوين URL وسجلات الوصول.
2. يسأل الخادم واجهة التسريبات في Have I Been Pwned عن ذلك العنوان، بمفتاح API الخاص بالخادم.
3. يخزّن جهازك ما عاد إليه في خزنتك المشفَّرة، ويعرضه في لوحة السلامة.

من يرى ماذا:

• خادمك يرى كل عنوان أثناء معالجة الطلب. ولا يكتبه في قاعدة البيانات ولا في السجلات ولا في ذاكرة تخزين مؤقت. ولا يستطيع التحقق من أن عنوانًا مستعارًا يخصك، لكنه يعرف في تلك اللحظة أن حسابك سأل عنه. وهذه كلفة حقيقية بالنسبة إلى العناوين المستعارة، التي الغرض منها ألا يمكن ربطها بك.
• Have I Been Pwned ترى كل عنوان وعنوان IP الخاص بخادمك، لا عنوانك. ولا تستطيع معرفة الحساب الذي سأل.
• لا أحد غيرهما. نتائج التسريبات مشفَّرة في خزنتك. وإيقاف التنبيهات يحذفها.

يستطيع كل حساب إجراء 60 استعلامًا، يُضاف استعلام واحد إليها كل 30 دقيقة، ويرسل الفحص الواحد 50 عنوانًا على الأكثر. هذا يمنع استخدام الميزة للبحث عن عناوين أشخاص آخرين، وإن كان لا يستبعد ذلك لبضعة عناوين في اليوم.

لا تُرسل عناوين بريد الاسترداد التي ليست البريد الإلكتروني لحسابك ولا عنوانًا مستعارًا؛ راجع معلومات الاسترداد. بيانات التسريبات مصدرها Have I Been Pwned.