1Password integriert Passwort-Check via Pwned Passwords

1Password ist für viele Nutzer der Passwortmanager der Wahl, die nicht auf eine der kostenlosen Alternativen setzen. 1Password bietet auch immer wieder neue Funktionen, die entweder die Bedienung erleichtern oder die Sicherheit erhöhen. Genauso ist es auch im Fall des nun neu integrierten Passwort-Checks.

Passwörter sind an sich ein gut geeignetes Mittel, um sich Zugang zu etwas zu verschaffen. Damit man dies nur selbst kann, ist es umso wichtiger, dass ein Passwort auch sicher ist. Wie sicher kann aber ein Passwort sein, das schon einmal Bestandteil eines Datendiebstahls war? Nicht sehr sicher, so ein Passwort, egal ob man es selbst schon einmal verwendet hat oder nicht, reiht sich immerhin in die Liste „von Nutzern“ verwendeter Passwörter ein.

Hier kommt der Ersteller von haveibeenpwned.com ins Spiel, der Dienst, der über veröffentlichte Logininformationen informiert. Mit Pwned Passwords gibt es dort seit letztem Jahr einen Aufsatz, der auch checken kann, ob nur ein Passwort (also keine Kombination aus Logindaten) in einer der Listen auftaucht.

Diese Passwortliste wurde nun auf über 500 Millionen erweitert. 1Password greift nun auf diese Liste zurück und kann Passwörter hinsichtlich ihrer Sicherheit überprüfen. Das geht über die Stärke eines Passworts hinaus, wo man normalerweise angezeigt bekommt, wie die Nutzung von Sonderzeichen und so weiter Einfluss auf die Passwortstärke hat.

Man kann sich so einfach anzeigen lassen, ob ein gewähltes Passwort schon einmal Bestandteil eines Datendiebstahls war und sich im Falle einer Bestätigung vielleicht doch besser für ein anderes entscheiden. Das funktioniert natürlich auch mit bereits vorhandenen Passwörtern.

Interessant ist dabei auch die Funktionsweise, denn eigentlich ist es ja so, dass ein Passwort dann bekannt wäre, wenn es an den Server geschickt wird. Damit dies nicht der Fall ist, wird nur ein Teil des gehashten Passworts zum Check eingereicht, 1Password vergleicht dann bei den zurückbekommenen Ergebnissen, ob das eigene Passwort dabei ist. Der Check verrät das Passwort also nicht.

Um das Ganze nutzen zu können, muss es erst aktiviert werden. Dass geschieht über eine Tastenkombination, nachdem man sich in seinem 1Password-Account angemeldet hat:

Shift-Control-Option-C (Mac) und Shift+Ctrl+Alt+C (Windows) bringen den „Check Password“-Button zum Vorschein. So wie es eben auch im Video zu sehen ist, wird dann angezeigt, wie es um das jeweils gecheckte Passwort bestellt ist.

Details zur Funktionsweise könnt Ihr im Blog von Agilebits nachlesen, falls Euch die technische Seite des Ganzen genauer interessiert.