Enpass 泄露监测 — 本地检查 Have I Been Pwned 的安全实现

泄露监测是什么

泄露监测是 Enpass 安全功能中的重要一环——它会在后台持续检查你存的账号密码是否出现在过已知的公开数据泄露事件中。

比如：

• 2022 年 LastPass 泄露事件中，1.4 亿用户数据被曝光
• 如果你在 LastPass 用的邮箱 + 密码和其他某些网站的一样，那些网站的账号也有风险
• Enpass 的泄露监测能检测出这种情况并提醒你改密码

Enpass 泄露监测的独特安全设计

和其他密码管理器可能不同的是，Enpass 的泄露检查完全在本地进行、密码不上传。具体实现：

k-anonymity 协议

1. Enpass 对本地 Vault 里的每个密码计算一个 SHA-1 哈希
2. 哈希值很长（40 个十六进制字符），但 Enpass 只截取前 5 个字符（比如 7C4A8F...）
3. Enpass 把这 5 个字符的前缀发送到 Have I Been Pwned 的 API 服务器
4. HIBP 服务器返回所有以这 5 个字符开头的哈希值（这一批通常有几百到几千个）
5. Enpass 在本地完成完整哈希的对比——看看你的完整哈希是否在返回列表里
6. 如果在 → 这个密码曾在某场数据泄露中出现过

这个设计的关键意义

简单说：Enpass 只告诉 HIBP "我在检查一个哈希以 7C4A8F 开头的密码"，然后 HIBP 返回所有以这个前缀开头的已知泄露哈希（几百上千个），Enpass 在本地完成精确匹配——这个过程中没有任何一方能反推出你的完整密码是什么。

如何启用泄露监测

桌面端

1. 解锁 Enpass
2. 进入 设置 → 高级 / Advanced
3. 找到 检查泄露密码 / Check Compromised Passwords
4. 开关打开

移动端

1. 解锁 Enpass
2. 进入 设置 → 安全 / Security
3. 找到泄露监测相关选项
4. 开关打开

启用后，Enpass 会在后台定期检查（不是每次打开应用都发请求——会有节流）。

泄露监测结果怎么看

在审计仪表盘里：

• Breached / Compromised 卡片 → 点击展开 → 列出所有检测到泄露的条目
• 每个泄露条目会告诉你：
• 泄露的网站名称
• 泄露事件发生日期
• 泄露的数据类型（密码、邮箱、信用卡号等）
• 官方建议的行动（立即改密码、开启 2FA 等）
• HIBP 上关于这次泄露的详细说明（包括攻击方式、受影响用户数量等）

发现泄露后怎么办

Enpass 提供了泄露恢复的建议步骤：

第一步：改密码

• 打开泄露的条目 → 用 Enpass 生成器生成新的强密码 → 保存
• 然后去网站后台手动更新密码（Enpass 不会自动改网站密码）

第二步：开启 Passkey 或 2FA

• 如果该网站支持 Passkey → 优先开启 Passkey（比密码更安全，参见 Passkey 技术解析）
• 如果只支持 2FA → 用 Enpass 内置身份验证器生成 TOTP 码（参见 内置 2FA 身份验证器）

第三步：检查其他密码

• 打开审计仪表盘 → 看看是否有重复密码（如果这个泄露密码和其他某些账号一样，那些账号也需要一起改）
• 检查弱密码（用泄露密码事件做触发，把所有弱密码一起升级）

第四步：持续关注

• 泄露事件可能有后续（比如攻击者二次售卖数据）
• 把这个网站标记为"高风险"，定期检查

泄露监测的局限性

Have I Been Pwned 是什么

Have I Been Pwned 是由澳大利亚安全研究员 Troy Hunt 创建并维护的免费公开服务。它聚合了全球已知的重大数据泄露事件中的邮箱和密码哈希数据，供个人用户免费查询自己的信息是否在某个泄露事件中出现过。

HIBP 是一个非营利性质的公共安全服务，不做商业化，广泛受到安全行业认可。Enpass 选择和 HIBP 合作，为用户提供无成本的泄露监测能力。

下一步

泄露监测告诉你哪些密码需要改，而密码生成器帮你生成新的强密码——两者配合是日常安全维护的核心循环。关于泄露监测的审计面板入口，参见 密码健康审计。