Door Redactie: De ingevulde wachtwoorden worden vervolgens lokaal in de browser met het SHA-512 algoritme gehasht. De hashes worden daarna naar Hold Security gestuurd dat kijkt of de hashes overeenkomen met de hashes die het heeft. In het geval dit zo is ontvangen gebruikers een waarschuwing. https://identity.holdsecurity.com/ gebruikt momenteel een domain validated certificate, geen HSTS en geen forward secrecy. Verder hebben ze hun zaakjes redelijk op orde met een A- op https://www.ssllabs.com/ssltest/analyze.html?d=identity.holdsecurity.com. Een SHA-512 hash van een kort wachtwoord (van zeg max. 8 a 9 karakters) is zinloos, want daar kan Hold Security (of een aanvaller die hen weet te hacken) een rainbow table voor maken. Daardoor kunnen zij te weten komen welk wachtwoord jij gebruikt, OOK als dat nu nog niet in hun "collectie" voorkomt. Daarnaast schrijven ze (zie boven en http://www.holdsecurity.com/news/cybervor-breach/) dat jouw wachtwoord SHA-512 gehashed wordt in jouw webbrowser. Wellicht is dat ...