聊聊密碼方面的那些事兒

■夏宏利

防火墻

聊聊密碼方面的那些事兒

■夏宏利

對于密碼的由來，一度被認為最早源于古希臘，用于為戰爭中信息交換提供的保密措施。事實上在公元前3000年前古埃及就出現了具有密碼功能的符號。當時在墓碑上的象形文字已經開始用特殊加密過的內容表示。直到今天，密碼幾乎和每個人都有著緊密的聯系，一個人每天不知道要輸入多少個密碼。而隨著科技的發展，代替密碼的方法也越來越多，我們將圍繞密碼安全介紹一些和密碼相關的趣事。

為什么總會出現密碼安全問題？

這是一個看似簡單但卻很難回答的問題。簡單來講首先是密碼本身沒有價值，而是密碼保護的內容具備價值。其次是密碼具有非常強的通用性，誰拿到密碼基本就可以獲得附加價值。最后是——我們的密碼普遍太弱了。

近日鬧的沸沸揚揚的蘋果公司icloud帳戶信息泄露一事，外界普遍給出的結果是蘋果本身的系統漏洞，而蘋果公司與執法機關展開相關合作后聲明：“我們并未發現一例是由于icloud或findmyiphone系統遭到了入侵所致。黑客對某些名人賬號進行了專門針對其用戶名、密碼等的攻擊，而這些攻擊在互聯網上十分常見。”自此，勞倫斯這場從《饑餓游戲》向《饑渴游戲》的轉型已經無法找到最后的吐槽對象，個人也完成了一次華麗轉身。

那么問題來了，安全密碼哪樣強？先給各位看官看幾個有趣的例子。

某年某月某日，國內某著名社區幾百萬高精尖技術從業者的用戶數據庫被洗劫，賬號密碼一時間告示天下。而在這里面有很多匪夷所思的密碼經過“二度破解”，讓我們了解到人民群眾的智慧才是最讓人汗顏的。

前半部分是密碼，括號內為密碼注釋，排名不分先后：

ppnn13%dkstfeb.1st（源自“娉娉裊裊十三余，豆蔻梢頭二月初”）

flzx3000cy4yhx9day(飛流直下三千尺，疑似銀河下九天）

hanshansi.location()!∈[gusucity]（姑蘇城外寒山寺）

hold fish:palm（魚和熊掌不可兼得）

for_$n(@rensheng)_$n+="die"（人生自古誰無死，典型的技術派）

山巔一寺一壺酒（圓周率）

0oo00ooo0o0o0oo0（寫出來也難抄）

nishengri（如果別人問就放心大膽的告訴別人，一樣答不對）

???????（很好的偽裝）

nicai（有被揍風險）

meimima（早晚被揍）

如何提升密碼安全？

這絕對是一個老生常談的話題，但這里還是要談一下，大家可以按照以下規則及時修改自己的密碼。

1.長度：8位以上（含8位），目前很多場合下，要求用戶密碼的長度要在8位以上；

2.混合度：要求包含大小寫數字符號等；

3.減少弱口令關鍵詞：如生日、名字、常見單詞等。

如果我們采用的密碼是弱口令，各位可以想想在10年前就已經大行其道的溯雪會給你一個完美的combo。其實剛才列舉的一些密碼算是很安全的，但關鍵問題是：如果按照這種方式設置密碼，必然會大大提升記憶難度，所以才會有那些神奇的注釋來幫助用戶記住密碼。

在幾年前，因為某些原因需要一個朋友的密碼，他發給我的是1qaz0p;/。當時本人就佩服的五體投地，這密碼夠長、夠復雜，該有的都有了，但也夠難記。但當輸入之后恍然大悟，原來是按下大寫鍵輸入鍵盤1開頭的縱向四個按鍵內容，然后關閉大寫鍵輸入0開頭的縱向四個按鍵內容。這種又復雜又好記的密碼真真是不多了。

密碼未來會被取代？

密碼本身有很多天生的缺陷，比如不具有獨占性、難以管理記憶、表現形式單一等。所以目前隨著信息技術的發展，越來越多新的驗證方式出現，逐步替代了密碼在一些場景中的應用，最典型的例子就是蘋果的touchid指紋識別，在用戶體驗上是一次巨大的提升，如今蘋果最新發布的平板產品也加入了touchid指紋識別功能，進一步證明了該項業務的成功。

此外，人臉識別（已成熟應用在門禁、軟件等領域）、聲紋識別（信息、金融領域）、指紋識別（廣泛的領域應用）都在快速發展。新的驗證機制帶有極強的生物屬性，難以復制、驗證方便，是未來信息安全發展verisign的方向。而基于密碼另一形態的數字證書也發展迅猛，在通訊、金融領域也已廣泛應用。

帶有生物信息的密碼在具有更可靠的保證。世界著名黑客凱文·米特尼克當初為了獲取某個口令，曾電話謊稱自己是xx的工作人員，結果對方直接將密碼和盤托出。美劇《越獄》中，主角麥克也不止一次通過“詐騙”方式獲得重要信息，可見在這種陷阱面前，單純的密碼復雜已經沒有任何意義，但生物密碼則可以最大限度避免這些問題。看起來網絡威脅風聲鶴唳，今天明星泄個私照，明天老百姓銀行賬戶被盜，讓很多用戶心有余悸，在提示密碼錯誤時緊張萬分。

其實現實情況遠沒有那么糟，對于密碼管理，建議大家采取分級方式：

1.涉及到個人財產信息方面，盡量使用外置數字證書；

2.重要個人信息保護，采取雙口令驗證，最好的方法是綁定手機，安全系數大大提升；

3.諸如日常使用的郵箱、im等密碼，根據上文采取強口令，并設置全面的密碼找回信息；

4.臨時需要設置密碼，請保持一個通用口令，并與以上密碼保持零相關性，這樣以后再用也不至于想不到。

從未來發展的趨勢看，會有越來越多的場景通過人體的面容、指紋、聲紋等方式進行驗證，所以我們一定要相信，需要單純密碼的場合會越來越少，重要的是從現在開始，保養好我們的嗓子、手指和臉才是王道。