मुफ़्त पासवर्ड और ईमेल ब्रीच चेकर
जानें कि आपका पासवर्ड ज्ञात डेटा ब्रीच में आया है या नहीं और आपका ईमेल हैक या लीक हुआ है या नहीं। दो जाँचें, दो अलग प्राइवेसी मॉडल — दोनों नीचे ईमानदारी से समझाए गए हैं।
1. पासवर्ड जाँच
आपका पासवर्ड आपके ब्राउज़र में ही हैश (SHA-1) होता है। केवल हैश के पहले 5 अक्षर ही आपके डिवाइस से बाहर जाते हैं — पासवर्ड कभी नेटवर्क पर नहीं जाता।
यह कैसे काम करता है (k-anonymity)
सबमिट करने पर आपका ब्राउज़र Web Crypto API से पासवर्ड का SHA-1 हैश लोकली बनाता है। फिर वह हैश के केवल पहले 5 अक्षर HaveIBeenPwned Pwned Passwords API को भेजता है, जो उसी प्रीफ़िक्स वाले सभी लीक हैश-सफ़िक्स लौटा देता है। आपका ब्राउज़र बाकी हैश लोकली मैच करता है। API को आपका पासवर्ड या पूरा हैश कभी पता नहीं चलता।
2. ईमेल जाँच
पासवर्ड जाँच के विपरीत, आपका ईमेल पता यह जाँच चलाने के लिए HTTPS पर XposedOrNot API को भेजा जाता है। यही इस जाँच का तरीका है — हम इसके बारे में साफ़-साफ़ बताते हैं।
ब्रीच डेटा: XposedOrNot (ईमेल जाँच) और HaveIBeenPwned (पासवर्ड जाँच)
डेटा ब्रीच क्या है, और आपको क्यों फ़र्क पड़ता है?
डेटा ब्रीच तब होता है जब किसी सिस्टम से बिना अनुमति के जानकारी ले ली जाती है — आमतौर पर किसी कंपनी का यूज़र डेटाबेस हैक होकर ऑनलाइन लीक कर दिया जाता है। पिछले दशक में ब्रीच में अरबों खाते उजागर हुए हैं: ईमेल पते, पासवर्ड (अक्सर खराब तरीके से हैश या सादे टेक्स्ट में), नाम, फ़ोन नंबर और कभी-कभी पेमेंट जानकारी भी। एक बार आपके क्रेडेंशियल ब्रीच में आ जाने पर वे ऐसी सूचियों में जुड़ जाते हैं जिन्हें हमलावर क्रेडेंशियल स्टफ़िंग में इस्तेमाल करते हैं — यानी आपका लीक हुआ ईमेल-पासवर्ड कॉम्बिनेशन सैकड़ों दूसरी साइटों पर अपने-आप आज़माया जाता है।
यह टूल आपकी एक्सपोज़र दो तरह से जाँचता है। पासवर्ड जाँच आपके पासवर्ड का SHA-1 हैश HaveIBeenPwned Pwned Passwords के 60 करोड़ से ज़्यादा असली ब्रीच से एकत्र पासवर्डों के संग्रह से तुलना करती है। ईमेल जाँच XposedOrNot से पूछती है कि आपका ईमेल पता किन ज्ञात ब्रीच डेटाबेस में है, ताकि आप देख सकें कि किन सेवाओं ने आपका डेटा लीक किया और उनके पासवर्ड सबसे पहले बदलें।
पासवर्ड जाँच k-anonymity नाम की प्राइवेसी तकनीक पर आधारित है: आपका ब्राउज़र पासवर्ड को हैश
करता है, उस हैश के केवल 5 अक्षरों का प्रीफ़िक्स भेजता है, और बाकी का मिलान API के जवाब के
विरुद्ध लोकली करता है। किसी भी प्रीफ़िक्स को हज़ारों हैश साझा करते हैं, इसलिए API यह नहीं
बता सकता कि आपने कौन-सा पासवर्ड जाँचा। आपका पासवर्ड आपके ब्राउज़र से बाहर नहीं जाता — यह
मार्केटिंग की बात नहीं है, कोड ऐसा ही काम करता है, और आप इसे अपने ब्राउज़र के नेटवर्क
टैब में खुद जाँच सकते हैं: आपको api.pwnedpasswords.com/range/XXXXX को एक
रिक्वेस्ट दिखेगी और आपका पासवर्ड कहीं नहीं।
एक ईमानदार बात: ये जाँचें केवल ज्ञात ब्रीच कवर करती हैं। "नहीं मिला" का मतलब है कि आपका पासवर्ड या ईमेल इन APIs के सार्वजनिक डेटासेट में नहीं है — यह सुरक्षा की गारंटी नहीं है। इस टूल का नतीजा जो भी हो, हर साइट के लिए अलग पासवर्ड और पासवर्ड मैनेजर इस्तेमाल करें।
अक्सर पूछे जाने वाले प्रश्न
क्या यहाँ अपना असली पासवर्ड लिखना सुरक्षित है?
पासवर्ड कुछ भी भेजे जाने से पहले आपके ब्राउज़र में हैश (SHA-1) हो जाता है, और API को केवल 5-अक्षरों का हैश प्रीफ़िक्स जाता है। API को सैकड़ों हैशों वाला एक प्रीफ़िक्स दिखता है और वह सारे मैच लौटा देता है; आपका ब्राउज़र आपका वाला लोकली ढूँढता है। फिर भी सतर्क रहना अच्छी आदत है — चाहें तो किसी नए पासवर्ड की जाँच करें, मास्टर पासवर्ड की नहीं।
"X ब्रीच में मिला" का असल में मतलब क्या है?
इसका मतलब है कि वह सटीक पासवर्ड HaveIBeenPwned के एकत्रित ब्रीच डेटाबेस में X बार आया है। संख्या जितनी ज़्यादा होगी, पासवर्ड उतना ही ज़्यादा जाना-पहचाना है और हमलावरों के ऑटोमेटेड हमलों में आज़माया जाने की संभावना उतनी ही ज़्यादा है। शून्य से ज़्यादा कोई भी संख्या उस पासवर्ड को छोड़ने का कारण है।
ईमेल जाँच मेरा ईमेल सर्वर को क्यों भेजती है?
यह जानने के लिए कि आपका पता ब्रीच सूचियों में है या नहीं, उन सूचियों में खोजना पड़ता है, और सटीक ईमेल लुकअप के लिए k-anonymity जैसा कोई तरीका उपलब्ध नहीं है। आपका पता HTTPS पर XposedOrNot को जाता है, जो जाँच चलाता है। अगर यह ठीक नहीं लगता तो ईमेल जाँच छोड़ दें।
मेरा ईमेल ऐसी सेवा में दिख रहा है जिसे मैंने कभी इस्तेमाल ही नहीं किया। कैसे?
ब्रीच डेटाबेस में अक्सर एग्रीगेटेड स्पैम लिस्ट, कॉम्बो लिस्ट या थर्ड-पार्टी लीक से एकत्र ईमेल होते हैं, केवल उस सेवा के अपने रिकॉर्ड नहीं। आपका पता खाता बनाए बिना भी सूची में आ सकता है। इसे इस बात का संकेत मानें कि पता घूम रहा है, और पासवर्ड दोबारा इस्तेमाल न करें।
अगर मेरा ईमेल ब्रीच में मिला तो क्या करें?
सूची में आई हर सेवा (और जहाँ आपने वही पासवर्ड दोबारा इस्तेमाल किया हो) का पासवर्ड बदलें, टू-फ़ैक्टर ऑथेंटिकेशन चालू करें, और पासवर्ड मैनेजर अपनाएँ ताकि हर खाते को अलग पासवर्ड मिले। सबसे पहले ब्रीच हुई सेवाओं पर काम करें — वही ज्ञात एक्सपोज़र पॉइंट हैं।