40多年以來，IT界一直在密碼戰(zhàn)役中屢戰(zhàn)屢敗。前段時(shí)間的的明星iCloud帳號(hào)入侵事件只是我們眾多引人注目的失敗案例之一。因此，如密碼這樣看似簡(jiǎn)單的事情，為何卻如此困難?

[[121998]]

密碼安全的問題在于它是如此簡(jiǎn)單，事實(shí)上它又如此矛盾困難。在安全方面，世界上最危險(xiǎn)的事情是‘你認(rèn)為你知道’，因?yàn)檫@樣你就不會(huì)懷疑你的知識(shí)。如果你問一位典型的IT安全專家是否理解密碼，絕大多數(shù)會(huì)自信及堅(jiān)決地回答”是”。但如果真這么絕對(duì)的話，為何與密碼相關(guān)的數(shù)據(jù)泄密卻又如此普遍?

我們不是在討論保護(hù)密碼存儲(chǔ)的技術(shù)問題。相反，我們是在討論人為部分。人們繼續(xù)選擇糟糕的密碼。典型的例子，2013年最常見密碼是"123456"，第二位為"password"一詞，第三位"12345678"。是的，久負(fù)盛名、最受喜愛的"iloveyou"、"letmein"、"abc123"，以及"princess"每年也都在常用密碼名單內(nèi)。

那么為什么用戶很少關(guān)注他們的密碼呢?部分原因是人們(包括明星)認(rèn)為不會(huì)有人謀求他們的帳號(hào)。這是老舊的”這不會(huì)發(fā)生在我身上”的心態(tài)。且其原因也在于我們傳遞給用戶的密碼信息通常也有錯(cuò)誤。

IT安全界持續(xù)犯的最大錯(cuò)誤之一在于：推動(dòng)用戶執(zhí)行特別復(fù)雜的密碼，但并沒有就此真實(shí)含義提供實(shí)際的指導(dǎo)。如果我們使得用戶記住一個(gè)密碼過于困難，"123456"是必然的最終結(jié)果。在極少數(shù)情況下，用戶確實(shí)創(chuàng)建了一個(gè)復(fù)雜的密碼，但它通常太短且被用于他們所有的網(wǎng)站(在家或者工作中的)包括電子購物和網(wǎng)上銀行。這意味著任何一個(gè)站點(diǎn)上的數(shù)據(jù)泄露可能導(dǎo)致潛在的破壞性后果。

揭穿復(fù)雜密碼的真相

“復(fù)雜密碼”這一術(shù)語也許是IT界被誤解最深的術(shù)語，也是今天眾多密碼問題的原因所在。往往"復(fù)雜密碼"等同于"無法記住"。我們必須意識(shí)到復(fù)雜度僅僅是很小的一方面。不僅僅是復(fù)雜度的問題，還有不可預(yù)測(cè)性(密碼熵是一個(gè)有用的密碼可預(yù)測(cè)性衡量方法)。這正是一個(gè)好密碼的關(guān)鍵所在。

一個(gè)不可預(yù)測(cè)的密碼可能是用戶易于記住的。使用大小寫、數(shù)字及特殊字符(經(jīng)典復(fù)雜性規(guī)則)為佳，只要我們不只專注于那些規(guī)則。例如，采用字符串"Iwentfishing4timeslastmonth?"。這個(gè)密碼(或者更準(zhǔn)確是一個(gè)密碼短語)易于記憶且易于輸入。它不是可預(yù)測(cè)的，它還是一個(gè)復(fù)雜密碼，其中包含了我們一直建議的大寫/小寫/數(shù)字/特殊字符。

任何易于用戶記憶的簡(jiǎn)短句子或格言都可以作為密碼。采用格言且增加少許復(fù)雜性規(guī)則，你立刻會(huì)擁有極強(qiáng)的密碼，它將不會(huì)在黑客字典中被發(fā)現(xiàn)，且只能通過暴力方式被破解。根據(jù)Gibson研究公司暴力破解密碼計(jì)算器，暴力破解上述"Iwentfishing4timeslastmonth?" 例子，即使以每秒100萬億的猜測(cè)速率，也將需要花費(fèi)76.43*1030世紀(jì)。那是一個(gè)相當(dāng)強(qiáng)的密碼短語。

用戶可以遵循這種方式選取幾個(gè)字符串，并開發(fā)一個(gè)公式，通過修改字符串使其適用不同站點(diǎn)。例如， 設(shè)置一個(gè)Facebook密碼，可以添加"FB"和該用戶的畢業(yè)時(shí)間，這樣密碼就成了"FB89Iwentfishing4timeslastmonth?"等等。我會(huì)建議使用較這個(gè)簡(jiǎn)單例子更為復(fù)雜的公式，但原理相同。使用這種方法，用戶現(xiàn)在能擁有一個(gè)極強(qiáng)的、易于記憶和易于輸入的密碼，且在每個(gè)他們?cè)L問的站點(diǎn)使用不同的密碼。這樣就完美了嗎?當(dāng)然它還不是。但是它遠(yuǎn)勝于用"123456"這樣的密碼用于30個(gè)不同站點(diǎn)。

另一個(gè)技巧是盡可能創(chuàng)建唯一的用戶名。盡管許多站點(diǎn)要求用戶以電子郵件地址作為用戶名，但某些金融機(jī)構(gòu)會(huì)允許創(chuàng)建特殊的用戶名。如果用戶將他或她的電子郵件地址設(shè)置為所有站點(diǎn)的用戶名(尤其還有著相同密碼)，任何一個(gè)站點(diǎn)的用戶名信息被泄露，那么追蹤用戶的其他站點(diǎn)信息將變得簡(jiǎn)單。對(duì)于涉及錢的任何站點(diǎn)使用唯一用戶名將是一個(gè)好辦法，正如在這些關(guān)鍵站點(diǎn)使用不同密碼短語字符串。

作為一個(gè)安全社區(qū)，我們必須做好信息傳達(dá)，告訴用戶如何創(chuàng)建好的密碼。我們必須讓用戶了解"123456"并不是一個(gè)可行的密碼，而且難于記憶的密碼也是不必要的。要成功傳遞這條消息意味著，我們自身必須更好地理解密碼的不可預(yù)測(cè)性。只有到那時(shí)，我們才有希望向我們的用戶解釋這條信息。