Google Adgangskodetjek: Sådan fungerer det, og dets begrænsninger

Stillet over for et stadig mere kompliceret og risikabelt scenarie, Beskyt adgangskoderne til vores onlinekonti Det er ikke længere valgfrit eller kun "for computereksperter". Google er klar over dette, og for at give en hånd med, har de skabt Password CheckupEn funktion, der giver dig mulighed for at kontrollere, om dine adgangskoder har optrådt i kendte databrud, og om de er sikre nok.

I denne artikel vil vi se præcis på, hvad det er, hvordan det fungerer, hvad det kontrollerer, og hvad du kan gøre, hvis det registrerer, at dine adgangskoder er i fare. Målet: at forhindre, at dine loginoplysninger ender i omløb på det mørke web, en sand undergrundsmarkedsplads, hvor brugernavne og adgangskoder købes og sælges i massivt omfang.

Hvad er Google Password Checkup, og hvad bruges det til?

Adgangskodetjek er et Google-sikkerhedsværktøj Designet til at advare dig, når en af ​​dine adgangskoder er blevet kompromitteret i et databrud eller ikke opfylder minimumssikkerhedsstandarderne. Den blev oprindeligt lanceret som en gratis Chrome-udvidelse og er med tiden blevet integreret i Chrome-browseren. Googles adgangskodeadministrator og i sikkerhedsgennemgangen fra din konto.

Ideen er enkel: hver gang du logger ind eller tjekker dine gemte adgangskoder, sammenligner systemet dem med en gigantisk database med lækkede legitimationsoplysninger som Google holder opdateret. Hvis den registrerer, at din brugernavn- og adgangskodekombination matcher en, der allerede er offentliggjort, vil den give dig besked om at ændre den hurtigst muligt, og hvis du har genbrugt den, også at ændre den på resten af ​​dine tjenester.

Den advarer dig ikke kun om lækager. Adgangskodetjek evaluerer også, om dine adgangskoder er for svag, let at gætte eller gentagende på forskellige sider. Dette beskytter dig ikke kun mod tidligere lækager, men hjælper også med at forhindre fremtidige angreb i at finde dem.

Google udviklede dette værktøj i samarbejde med kryptografiforskere ved Stanford UniversityMålet er at tilbyde massekontrol af adgangskoder uden at afsløre, hvad du skriver, eller dine rigtige loginoplysninger, hvilket er afgørende for, at systemet giver mening og opbygger tillid.

Sådan fungerer adgangskodekontrol internt

Et af de mest interessante aspekter ved adgangskodetjek er, at Det fungerer med en database med milliarder af lækkede legitimationsoplysninger Dette betyder dog ikke, at Google kan se dine adgangskoder i almindelig tekst. Virksomheden hævder at administrere en samling af mere end 4.000 milliarder kompromitterede loginoplysninger, indhentet fra kendte sikkerhedsbrud og angreb, der er blevet offentliggjort.

For at undgå risici gemmer Google disse loginoplysninger i en krypteret og "hashet" versionKort sagt, i stedet for at gemme din adgangskode præcis som du skriver den, bruger Google kryptografiske funktioner til at omdanne den til uigenkaldelige strenge. Når du forsøger at logge ind, eller når der udføres en gennemgang, sendes der ikke din rigtige adgangskode til Googles servere, men en anden krypteret streng genereret ud fra den.

Dette design gør det muligt for systemet at Sammenlign dine legitimationsoplysninger med de filtrerede uden at se dem tydeligt.Hvis den krypterede hash, der produceres af din adgangskode, matcher en post i den eksponerede legitimationsdatabase, forstår Password Checkup, at denne kombination er kompromitteret, og udløser en advarsel.

Derudover angiver Google, at systemet er designet til kun at sende advarsler, når matchet er virkelig signifikant. Med andre ord, Den vil ikke bombardere dig med advarsler ikke kun fordi du bruger en meget almindelig nøgle som "123456" eller "adgangskode", selvom den nøgle findes millioner af gange i databasen, men også når den registrerer, at den specifikke adgangskode, der er knyttet til dit brugernavn eller din e-mail, er optrådt som en del af en specifik lækage.

Virksomheden oplyser også, at den ud over disse kontroller kun indsamler aggregerede og anonymiserede data om hvor mange usikre loginoplysninger der registreres, uden at forbinde dem med din identitet eller registrere, hvilke specifikke konti du har gennemgået, eller hvilke websteder du besøger.

Hvor finder man Googles adgangskodeanalyseværktøj

I øjeblikket tilbyder Google adgangskodetjek på to måder: som Chrome-udvidelse (måden det blev født på) og som en del af Adgangskodeadministrator og sikkerhedsgennemgang fra din Google-konto. På denne måde kan den nå ud til både dem, der bruger udvidelser, og dem, der foretrækker at administrere alt fra kontoindstillingerne.

Hvis du bruger Chrome, mens du er logget ind på din Google-konto, kan du få adgang til adgangskodeadministrator Fra dine browserindstillinger eller direkte fra din Google-konto på nettet. Der vil du se en liste over alle de websteder og applikationer, hvis loginoplysninger er gemt: websteder, tjenester, du bruger på Android, apps, du logger ind på med din Google-konto. autofuldførelse i Chromeosv.

I dette panel vises en mulighed for at Gennemgang af adgangskode eller "Adgangskodekontrol". Hvis du ser en meddelelse, der advarer om, at "nogle adgangskoder er blevet kompromitteret", eller at du har brug for at gennemgå dine loginoplysninger hurtigst muligt, betyder det, at systemet allerede har registreret potentielle problemer og beder dig om at undersøge dem.

For at starte den manuelle analyse skal du trykke på knappen af ​​typen "Gå til adgangskodegennemgang"Google viser dig en skærm, der forklarer, hvad der vil blive kontrolleret: om dine loginoplysninger har været anvendt i forbindelse med databrud, om du genbruger dem på tværs af flere tjenester, og om de er stærke nok. Ved at klikke på "Tjek adgangskoder"Du vil blive bedt om at indtaste din Google-kontoadgangskode for at godkende anmeldelsen.

Når identiteten er bekræftet, tager systemet sig af det analyser alle gemte adgangskoder i din konto og klassificer potentielle problemer i tre hovedkategorier, så du kan handle organiseret.

Hvilke typer problemer registrerer Adgangskodetjek?

Efter at have kørt kontrollen, viser Google Password Checkup dig en oversigt over din adgangskodestatus. Du vil generelt se tre forskellige grupper: kompromitterede adgangskoder, genbrugte adgangskoder og usikre adgangskoderHver blok indeholder en liste over berørte tjenester eller websteder, som du kan gennemgå én efter én:

• Adgangskoder kompromitteret De viste loginoplysninger er dem, der ifølge Googles database er blevet afsløret i et sikkerhedsbrud. Med andre ord er de blevet lækket på et tidspunkt sammen med millioner af andre konti. I disse tilfælde er anbefalingen klar: Du skal straks ændre din adgangskode på den pågældende tjeneste.
• Genbrugte eller ikke-unikke adgangskoder Gruppér alle de konti, hvor du bruger præcis den samme adgangskode (og normalt den samme e-mailadresse). Selvom de ikke er opstået i forbindelse med nogen databrud, er denne praksis meget risikabel, fordi en enkelt sårbarhed på et relativt ubetydeligt websted kan kompromittere dine andre, mere følsomme profiler.
• Svage eller usikre adgangskoder Den identificerer adgangskoder, der ikke opfylder minimumskravene til kompleksitet. De er normalt for korte eller for forudsigelige. Adgangskodetjek anbefaler at erstatte dem med stærkere adgangskoder, der blander store og små bogstaver, tal og specialtegn.

Ideelt set bør du tage dig den nødvendige tid til at gå løser hver gruppeStart med de mest sårbare konti, gå derefter videre til dem med gentagne sårbarheder, og til sidst til de svageste. Det kan være lidt besværligt, hvis du har mange konti, men det er en sikkerhedsinvestering, der vil spare dig for ubehagelige overraskelser senere hen.

Integration med din Google-konto og Chrome

Da Google først introducerede Password Checkup, gjorde de det i form af Gratis Chrome-udvidelseUdnyttelse af Safer Internet Day 2019. Den første version kunne installeres fra Chrome Web Store og fungerede ret direkte: hver gang du loggede ind på et websted, kontrollerede udvidelsen i baggrunden, om de indtastede loginoplysninger optrådte i kendte lækager.

Selvom tjenesten oprindeligt kun fokuserede på at advare om lækkede loginoplysninger, er den blevet integreret i Googles sikkerhedsøkosystem og har fået funktioner relateret til at detektere gentagne eller svage adgangskoder og tilbyde et mere omfattende overblik over status for dine adgangskoder.

Med tiden besluttede Google, at det gav mere mening end adgangskodetjek ikke bare en isoleret udvidelsemen snarere som en del af den samlede sikkerhedsoplevelse for brugerkonti. Derfor blev det først integreret i dashboardet for Sikkerhedsgennemgang fra Google og senere indarbejdet i selve Chrome-browseren.

Fra dette sikkerhedsdashboard, som er tilgængeligt for enhver Google-konto, kan du gennemgå forskellige aspekter: tilsluttede enheder, seneste aktivitet, totrinsbekræftelsesmetoder og selvfølgelig adgangskodestatus. Adgangskodetjek er nu et afsnit i denne anmeldelse, så du kan tjekke alt på én gang.

Senere annoncerede Google, at adgangskodekontrol ville blive yderligere integreret i Chrome, så browseren kunne for at advare dig, selvom du ikke var logget ind med din Google-konto. Ideen er at udvide beskyttelsen til så mange brugere som muligt, selvom ikke alle bruger den synkroniserede adgangskodeadministrator.

Al denne indsats er en del af en bredere Google-strategi, som omfatter en integreret adgangskodeadministrator I Chrome, robuste automatiske adgangskodeforslag, når du tilmelder dig nye sider, og den konstante promovering af brugen af totrinsbekræftelse (2FA) for yderligere at styrke kontosikkerheden.

Hvad skal man gøre, hvis en adgangskode er blevet hacket

Hvis Adgangskodetjek advarer dig om, at En af dine adgangskoder er blevet kompromitteretDet første er at bevare roen, og det andet er at handle med det samme. Den konto bør betragtes som kompromitteret, selvom du endnu ikke har bemærket noget usædvanligt i din aktivitet.

Det umiddelbare skridt er at logge ind på den berørte tjeneste og Start processen med at ændre adgangskodenOpret en helt ny adgangskode; skift ikke bare et enkelt tegn eller tilføj et tal til slutningen af ​​den gamle. Lad Googles adgangskodeadministrator eller et andet sikkert system generere en tilfældig og stærk kombination for dig.

Dernæst er det værd at kontrollere, om den samme brugernavn- og adgangskodekombination var genbrugt på andre webstederHvis det er tilfældet, skal du gå til hver enkelt og ændre adgangskoden der også. Det er lidt besværligt, men det er den eneste måde helt at stoppe ethvert forsøg på at få adgang til systemet ved hjælp af de lækkede data.

Parallelt hermed er det tilrådeligt at aktivere totrinsgodkendelse på tværs af alle større tjenester, der tilbyder det: e-mail, sociale medier, bank, cloud-lagring osv. På denne måde skal nogen, selvom de får fat i adgangskoden, også bruge en midlertidig kode (via SMS, en godkendelsesapp eller en fysisk nøgle) for at logge ind.

Hvis du har mistanke om, at nogen allerede har adgang til din konto (sendte beskeder, som du ikke genkender, mærkelige konfigurationsændringer, adgang fra usædvanlige steder), skal du kontrollere seneste aktivitetLuk åbne sessioner på andre enheder, og kontakt om nødvendigt servicesupport for at rapportere et muligt kontotyveri.

Værktøjer som f.eks. Er jeg blevet pwnet? De kan også hjælpe dig med at bekræfte, om din e-mailadresse optræder i kendte databrud, og supplere de oplysninger, der gives af Password Checkup. Jo flere indikatorer du har, jo bedre kan du vurdere problemet og træffe passende foranstaltninger.

Yderligere bedste fremgangsmåder til at styrke din sikkerhed

Udover at understøtte adgangskodetjek er der en række Bedste praksis for cybersikkerhed Dette er fremgangsmåder, der bør implementeres dagligt, både personligt og i virksomheder og organisationer. Ingen enkeltstående foranstaltning er idiotsikker, men kombinationen øger beskyttelsesniveauet mod masseangreb og svindel betydeligt.

• Brug sikre e-mailcertifikater der krypterer kommunikation og digitale signaturer. Dette reducerer risikoen for, at følsomme beskeder bliver opsnappet, eller at en angriber udgiver sig for at være dig med en tilsyneladende legitim e-mail.
• Undervis alle familiemedlemmer om phishing og almindelige svindelnumre. Vi henviser til e-mails eller beskeder, der forsøger at narre dig til at give din adgangskode væk på falske websteder, ondsindede downloads, der stjæler loginoplysninger, opkald, der udgiver sig for at være teknisk support, og så videre. En stærk adgangskode er til ringe nytte, hvis du ender med frivilligt at give den væk på det forkerte websted.
• Vedligeholdelse af operativsystem, browser og applikationer altid opdateret. Brug pålidelige sikkerhedsløsninger (antivirus, antimalware-systemer), kontroller at Din router er konfigureret sikkert og undgå at logge ind på følsomme konti fra offentlige Wi-Fi-netværk uden yderligere beskyttelse, såsom en VPN.
• Skab en vane med regelmæssigt at tjekke dine konti. Kør lejlighedsvis Googles sikkerhedstjek, tjek åbne sessioner, gennemgå tilsluttede enheder, og gennemgå dine gemte adgangskoder for at se, om noget virker forkert, eller om du ikke har opdateret bestemte kritiske nøgler i for lang tid.

Med alt dette bliver Adgangskodetjek endnu en del af en bredere sikkerhedstilgang: det advarer dig, når der sker et databrud, der påvirker dig, hjælper dig med at opdage dårlig adgangskodepraksis og opfordrer dig til at opretholde et minimum af digital disciplin så dine personlige data, dine penge og din identitet er langt bedre beskyttet mod stadig hyppigere cyberangreb.