El nuevo funcionamiento de protección de contraseñas en Google Chrome

Cuando Google se entera de una lista de ID/contraseñas filtrados en otras empresas, hace hash de esa información, la cifra con una clave que solo Google conoce y la guarda en el servidor. Cuando un usuario de Chrome inicia sesión en un sitio web, la información hasheada se cifra con una clave que solo Chrome conoce (Google tampoco puede averiguar el ID/la contraseña) y luego se envía al servidor, donde se compara con la lista anterior para informarle al usuario si ese ID/contraseña ha quedado expuesto.

Además, con la función de verificación de phishing en tiempo real, se envían los primeros 32 bits del hash SHA-256 del URL que está viendo el usuario para comprobar si ese URL es de phishing (Google no puede conocer el URL completo).