是否有一种方法可以使用haibeenned (HIBP)而不用明文发送电子邮件?



由于法律原因,我们不能以明文形式发送电子邮件给HIBP。

关于"域搜索"功能方面,没有API(据我所知)。它的工作原理是向你发送多封电子邮件,没有API,所以很难自动处理这个问题。

我还读了Troy的一篇旧博客文章,关于他为一个特定的案例设置的域搜索回调系统:https://www.troyhunt.com/have-i-been-pwned-goes-little-bit/看起来不错,但没有公开可用(这是我的理解)。

所以,如果HIBP不允许我这样做,我想到了基于它的其他解决方案:

Firefox Monitor和1pwd:他们使用k-匿名原则(https://blog.mozilla.org/security/2018/06/25/scanning-breached-accounts-k-anonymity/),该原则包括只发送搜索电子邮件的散列。不幸的是,该功能保留给1pwd &firefox的班长。

我是否错过了与HIBP交互而不发送明确电子邮件的方法?

谢谢

简短的回答:no.

Mozilla和1Password使用这里描述的k-匿名模型:https://www.troyhunt.com/were-baking-have-i-been-pwned-into-firefox-and-1password/

我没有让它普遍可用的原因是,每一个k-匿名搜索都会返回多个结果,这将使恶意方更容易滥用它。域搜索需要在搜索时验证控制;一个不需要验证的API也会被误用。

如果你想看到新的功能,建议他们在这里(或投票,如果他们已经存在):https://haveibeenpwned.uservoice.com/

相关内容

  • 没有找到相关文章

最新更新