Een Chrome-extensie van Google die controleert of wachtwoorden van gebruikers niet via verschillende datalekken op straat zijn beland is een groot succes, zo heeft de internetgigant bekendgemaakt. Password Checkup, zoals de extensie heet, werd begin februari gelanceerd.

In de eerste drie weken passeerde de extensie de 650.000 gebruikers en inmiddels hebben meer dan 820.000 mensen Password Checkup geïnstalleerd. De extensie is te vergelijken met de dienst Have I Been Pwned en waarschuwt gebruikers als hun gebruikersnaam en wachtwoord in een verzameling van meer dan 4 miljard gelekte inloggegevens voorkomen.

"Accounts die zijn blootgesteld via een datalek hebben 11,6 meer kans om te worden gecompromitteerd, met name omdat veel gebruikers hun wachtwoord voor meerdere websites hergebruiken", zegt Elie Bursztein van Google, die bij de ontwikkeling van de extensie betrokken was. Volgens Bursztein waren er twee belangrijke ontwerpprincipes. Namelijk dat Google niets over geteste inloggegevens leerde en dat criminelen de programmeerinterface (API) niet konden gebruiken om een database van gestolen inloggegevens te creëren. Dit moest daarnaast op zo'n manier worden gedaan dat het te bewijzen was.

Zodra Google een datalek ontdekt maakt het van de aanwezige gebruikersnamen en wachtwoorden een gehashte en versleutelde kopie, met een onversleutelde hash prefix van twee bytes. Wanneer gebruikers met Chrome ergens op een website inloggen verstuurt de extensie een gehashte en versleutelde kopie van de gebruikersnaam en het wachtwoord naar Google, waarbij de internetgigant alleen de hash prefix ziet.

Vervolgens wordt in de verzameling van meer dan 4 miljard gelekte gegevens gezocht naar elke onveilige gebruikersnaam en wachtwoord die dezelfde prefix hebben. Als laatste wordt lokaal op het systeem van de gebruiker gekeken of de ingevoerde inloggegevens in een datalek voorkomen. Wanneer dit het geval is krijgt de gebruiker een waarschuwing te zien met het advies om het gebruikte wachtwoord te resetten.

"Password Checkup is allesbehalve perfect en er valt nog veel te doen voordat het zijn volledige potentieel bereikt. Hopelijk zullen wachtwoorden ooit tot het verleden behoren, maar tot dan blijft het proactief resetten van gecompromitteerde inloggegevens een belangrijke verdedigingsmaatregel die gebruikers nodig hebben", merkt Bursztein op, die in deze blogposting de werking van de extensie in uitgebreid technisch detail bespreekt.