谷歌的任務是阻止你重複使用密碼

“密碼是網際網路上最糟糕的事情之一，”谷歌負責賬戶安全、身份和濫用的高階主管馬克里舍（markrisher）告訴《邊緣報》（Verge）。儘管它們對於安全和幫助人們登入許多應用程式和網站至關重要，“但它們是人們最終受到危害的主要方式之一，如果不是主要方式的話。”...

“密碼是網際網路上最糟糕的事情之一，”谷歌負責賬戶安全、身份和濫用的高階主管馬克里舍（markrisher）告訴《邊緣報》（Verge）。儘管它們對於安全和幫助人們登入許多應用程式和網站至關重要，“但它們是人們最終受到危害的主要方式之一，如果不是主要方式的話。”

它’對於谷歌安全主管來說，這是一件奇怪的事情，因為上次你登入Gmail時，你可能輸入了密碼。但該公司多年來一直在試圖將使用者從該模式中推離，或者至少將損害降到最低。在接下來的幾周裡，谷歌’這是那場戰鬥中最安靜的工具— 密碼檢查功能— 將獲得更高的知名度，因為它加入了每個谷歌帳戶內建的安全檢查儀表板。

瑞舍擔心是對的。雖然你可以使用一個像密碼管理器這樣的工具來幫助跟蹤你的登入資訊，但是很多人最終只是重複使用了許多帳戶的密碼。谷歌和調查公司哈里斯（Harris）2019年2月公佈的一項民意調查結果顯示，52%的人對多個賬戶重複使用同一密碼。調查發現，13%的人在所有賬戶上都重複使用這個密碼。而微軟在2019年表示，4400萬個微軟賬戶使用了網上洩露的登入資訊。

雖然重複使用密碼可能是記住複雜單詞、短語或字母、數字和符號組合的一種方法，但這種做法可能會使您的個人資訊處於危險之中。如果重複使用的密碼作為資料洩露的一部分被洩露，那麼駭客就有可能擁有你許多其他線上賬戶的金鑰——不管這個短語有多複雜。

谷歌反濫用和安全研究團隊成員庫爾特·托馬斯說：“我們從過去所做的其他研究中知道，那些資料被洩露的人被劫持的可能性是沒有被洩露的人的10倍。”。

一段時間以來，谷歌一直在努力幫助使用者建立更好的密碼習慣，雖然速度緩慢，但確實如此。多年來，谷歌在Chrome和Android上提供了一個內建的密碼管理器，可以儲存你的密碼，並在網站和應用程式上自動填充密碼。

但在過去一年左右的時間裡，谷歌也一直致力於幫助人們主動透過密碼檢查來**更好的密碼。該工具檢查登入資料庫的40億洩漏憑據，看看你輸入的密碼是否匹配一個已經洩漏。它於2019年2月首次作為Chrome擴充套件推出，谷歌於10月將其打入谷歌賬戶，並於12月將其打入Chrome。

它’這並不是一個新的想法，但谷歌在提供密碼檢查之類的服務方面有著獨特的優勢。該公司可以訪問數十億個密碼，並透過與許多人已經依賴的帳戶安全工具整合的方式，向數十億使用者推出密碼檢查。

弄清楚如何讓密碼檢查以尊重隱私的方式標記洩露的憑證是一個棘手的技術問題，需要谷歌和斯坦福共同努力。這兩個組織的研究人員告訴我，面臨的挑戰是找到一種方法，在不向谷歌透露資訊或讓使用者訪問整個資料庫的情況下，根據違規登入的資料庫自動檢查使用者的憑據，同時將解決方案擴充套件到谷歌龐大的使用者群。

為了做到這一點，谷歌儲存了一個雜湊和加密版本的每個已知的使用者名稱和密碼暴露的資料洩露。每當你登入到一個帳戶，谷歌會發送一個雜湊和加密版本的登入資訊對該資料庫。這樣，Google就看不到你的密碼，也看不到Google已知的洩露登入列表。如果Google檢測到匹配，Google將顯示一個警告，建議您更改該站點的密碼。

托馬斯說，谷歌從“多個不同的來源和值得信任的合作伙伴”那裡獲得了洩露的登入資訊，包括公開共享密碼轉儲的地下論壇。“我們有一個道德政策，我們將永遠不會支付罪犯的被盜資料，”他繼續說。“但僅僅憑藉這些市場的運作方式，（被盜資料）往往會出現泡沫並變得可用。”他說，利用谷歌在這些市場上的人物形象，谷歌可以獲得這些資料。

托馬斯稱，密碼檢查從一開始到出現在許多谷歌產品中大約需要2到3年時間。接下來，谷歌希望在檢測到一個儲存的登入名在資料洩露中被洩露時，給你傳送一封安全檢查郵件，該公司計劃在未來幾個月內推出這項服務。今年晚些時候，谷歌的目標是讓人們在Chrome中使用密碼檢查，即使他們沒有登入到谷歌帳戶。

谷歌並不是唯一一家提供某種密碼檢查功能的公司。Paid password manager 1Password建議更改弱密碼或重複密碼，還提供了Watchtower，它可以根據Troy Hunt的Have I Been Pwned資料庫檢查您的登入，該資料庫包含超過90億個洩露帳戶，並標記任何匹配項。蘋果公司昨天宣佈，其下一版本的Safari將有一個密碼監控工具，其工作原理似乎類似於密碼檢查。

但由於規模龐大，谷歌在幫助人們使用密碼方面有優勢。而像密碼檢查和內建密碼管理器這樣的工具可以幫助使用者實現更廣泛的目標，使線上安全更容易實現。

“我喜歡的安全性——我認為（密碼檢查）就是一個很好的例子——是，‘如何讓普通人更容易做正確的事情？谷歌安全工程副總裁羅亞爾·漢森告訴《邊緣報》。他說：“這不是提醒你越來越多的問題。“坦白說，這是為了讓你更容易做最基本的一步。”

更新6月23日下午4:06東部時間：增加了密碼檢查已經可用的上下文。