Check op misbruikt wachtwoord simpeler

Afgelopen week publiceerde IT-beveiligingsonderzoeker Troy Hunt een API op zijn online tool dat de check kan uitvoeren. Hunt verzamelde meer dan 500 miljoen wachtwoorden die openbaar zijn geworden bij een datalek. AgileBits - de maker van de wachtwoordmanager 1Password - was na 27 uur de eerste die de API gebruikte om de controle te integreren in de eigen software, meldt Ars Technica.

Hoewel het nog om een proof of concept gaat, kunnen klanten van 1Password nu al gelijk het gereedschap gebruiken in de webversie van de wachtwoordmanager. Na een akkoord gegeven te hebben op het experimentele karakter van de extra functionaliteit, verschijnt er een knop naast elk wachtwoord met de optie 'Check Password'. Door er op te klikken wordt er een 'hash' gemaakt van het wachtwoord met behulp van SHA-1. Van de 40 karakter lange hash gaan de eerste 5 karakters naar de server van Hunters dienstverlening. Die stuurt een lijst van alle gelekte wachtwoorden die beginnen met dezelfde 5 hash-karakters. 1Password controleert vervolgens of het wachtwoord van de klant overeenkomt met een van de wachtwoorden in de toegestuurde lijst.

Straks geautomatiseerd checken

De bedoeling is dat de beveiligde check ook onderdeel uit gaat maken van de 1Password-app. Maar de integratie vergt iets meer tijd omdat met een native app niet zo makkelijk als in de webclient een prototype kan worden gebouwd en uitgerold. Op termijn streeft AgileBits er naar het gereedschap te integreren in het 'watchtower'-gedeelte van de app. Dan kan automatisch een groot aantal wachtwoorden worden gecheckt en wordt de gebruiker gewaarschuwd wanneer er mogelijk een slachtoffer is van een digitale inbraak.