你用的密码安全吗？新版密码强度检测工具Pwned Passwords出炉

澳洲安全专家Troy Hunt在上周发表了Pwned Passwords 2.0版，它搜集了更多外泄的账号与密码，可让使用者检查自己所设定的密码是否安全，密码管理服务1Password本周即宣布将整合Pwned Passwords 2.0。

Pwned Passwords为Have I Been Pwned（HIBP）服务的功能之一，HIBP服务可让使用者检查自己的个人账号是否在外泄名单中，Pwned Passwords即是该服务所使用的外泄密码数据库，去年发表的Pwned Passwords 1.0含有逾3.2亿笔外泄密码，最新的Pwned Passwords 2.0则增加到逾5亿笔。

此外，Pwned Passwords 2.0含有一新功能，会在每一笔外泄密码之后显示该密码总计出现多少次，例如在该数据库中，abc123总计出现超过260万次。

虽然这些密码都已经曝光了，但此一密码数据库具有重要的参考价值，可让使用者检验自己所使用的密码安全性，例如Hunt建议使用者采用出现次数低于20次的密码。

1Password本周即宣布在自家网站上整合Pwned Passwords 2.0，使用者登入1Password后，即可选择各个账号的密码来检视密码强度，系统会呼叫Pwned Passwords 2.0进行比对，亦计划将该功能整合至1Password行动程式中。

为了顾全隐私与安全性，在1Password与Pwned Passwords 2.0数据库进行比对的过程中，1Password会先以SHA-1加密使用者密码，但只传送当中的前5个字元到Pwned Passwords 2.0，Pwned Passwords 2.0即会回传符合前5个字元的所有密码，再于1Password端进行比对。

1Password表示，在Pwned Passwords 2.0数据库中发现自己的密码并不代表使用者的账号被骇了，可能只是那些被骇账号采用了同样的密码，但仍然建议使用者变更密码。