Sequência crescente
- Entrada
- 123456, 1234567, 12345678
- Saída esperada
- Todas entre as senhas mais vazadas já registradas
Variações de comprimento não ajudam, o padrão continua óbvio.
Carregando ferramenta… / Loading tool…
123456 é uma senha vazada
"123456" é, ano após ano, a senha mais comum do mundo. Veja abaixo o resultado real da consulta à base de vazamentos, calculado inteiramente no seu navegador, sem que a senha nem o hash completo cheguem a sair do seu dispositivo.
Variações de comprimento não ajudam, o padrão continua óbvio.
Use o Gerador de Senhas para criar uma de verdade.
210.461.208 é o número de vezes que essa senha exata já apareceu em vazamentos catalogados pelo HIBP.
Não. A senha inteira nunca sai do seu navegador. Ela é transformada em um hash SHA-1 localmente, e apenas os 5 primeiros caracteres desse hash (de 40 no total) são enviados à API do Have I Been Pwned. É matematicamente impossível reconstruir a senha original a partir desse prefixo.
Porque "123456" é uma sequência pública e universalmente conhecida como a senha mais comum do mundo, não é o segredo de ninguém específico. Ela serve aqui só para demonstrar como a ferramenta funciona com um exemplo que qualquer pessoa reconhece.
Não. Ataques automatizados testam variações óbvias (123456!, 123456a, Senha123456) como parte padrão de listas de senhas comuns. O problema não é o número em si, é a previsibilidade.
É a soma de todas as vezes que esse hash apareceu em qualquer um dos vazamentos que o Have I Been Pwned já processou, então inclui tanto pessoas diferentes quanto a mesma conta reaproveitada em bases distintas, o número não distingue entre as duas coisas.
Porque aqui SHA-1 não protege segredo nenhum, ele só serve para indexar rapidamente uma base gigante de senhas já públicas e permitir que o navegador calcule o hash em milissegundos sem travar a página; a fraqueza de SHA-1 contra colisões deliberadas é irrelevante nesse uso específico.
A verificação usa a base Pwned Passwords do Have I Been Pwned, com bilhões de senhas de vazamentos reais. Sua senha é transformada em hash aqui mesmo, no seu navegador, e só um pedacinho do hash é consultado.
A senha é transformada em hash SHA-1 aqui mesmo, no seu dispositivo, usando a Web Crypto API do navegador. Só os 5 primeiros caracteres desse hash (não a senha, não o hash completo) são enviados à API. A API devolve todos os hashes que começam com esse prefixo, e a comparação com o hash completo acontece localmente, no seu navegador. Esse método é chamado k-anonimato e é o mesmo usado pelo site oficial do Have I Been Pwned.
Nenhuma senha ou hash completo é enviado, armazenado ou registrado pelo J-Kit. A consulta usa a API pública Pwned Passwords do Have I Been Pwned diretamente do seu navegador.