Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
中文
Entry № 884

已泄露密码

已泄露密码 是什么?

已泄露密码已出现在已知数据泄露中的密码,因此绝不应再被允许作为用户口令,典型来源是 Troy Hunt 的 Have I Been Pwned 服务。

已泄露密码(pwned password)是指已经出现在公开泄露语料中的密码,因此会被攻击者用于撞库和喷洒等工具中的字典。最权威的来源是 Troy Hunt 运营的 Have I Been Pwned(HIBP)Pwned Passwords 数据集,目前公开超过十亿个唯一 SHA-1 散列。其 k-匿名 API 仅接收散列前 5 位十六进制字符,并返回该前缀下的完整后缀列表,因此候选密码不会离开客户端。NIST SP 800-63B 第 5.1.1.2 节明确要求将新设置或修改的密码与此类语料对比。Cloudflare、1Password、Okta 等厂商已将 HIBP API 集成到注册和改密流程中。

● 示例

  1. 01

    用户设置 'P@ssw0rd123' 作为密码,注册表单因其在 HIBP 中出现 300 万次以上而拒绝。

  2. 02

    Active Directory 模块定期将所有账户的 NTLM 散列与离线 Pwned Passwords 语料进行比对。

● 常见问题

已泄露密码 是什么?

已出现在已知数据泄露中的密码,因此绝不应再被允许作为用户口令,典型来源是 Troy Hunt 的 Have I Been Pwned 服务。 它属于网络安全的 身份与访问 分类。

已泄露密码 是什么意思?

已出现在已知数据泄露中的密码,因此绝不应再被允许作为用户口令,典型来源是 Troy Hunt 的 Have I Been Pwned 服务。

已泄露密码 是如何工作的?

已泄露密码(pwned password)是指已经出现在公开泄露语料中的密码,因此会被攻击者用于撞库和喷洒等工具中的字典。最权威的来源是 Troy Hunt 运营的 Have I Been Pwned(HIBP)Pwned Passwords 数据集,目前公开超过十亿个唯一 SHA-1 散列。其 k-匿名 API 仅接收散列前 5 位十六进制字符,并返回该前缀下的完整后缀列表,因此候选密码不会离开客户端。NIST SP 800-63B 第 5.1.1.2 节明确要求将新设置或修改的密码与此类语料对比。Cloudflare、1Password、Okta 等厂商已将 HIBP API 集成到注册和改密流程中。

如何防御 已泄露密码?

针对 已泄露密码 的防御通常结合技术控制与运营实践,详见上方完整定义。

已泄露密码 还有哪些其他名称?

常见的别称包括: 已泄漏密码, 被攻陷的密码, HIBP 密码。

● 相关术语

● 参见