密碼：如何使用才安全

我們的密碼安全嗎？如果希望知道比較客觀準(zhǔn)確的答案，那么我們可以通過網(wǎng)站“howsecureismypassword.net”進(jìn)行測試。當(dāng)然，我們不必輸入自己真正使用的密碼，例如，如果我們使用自己孩子的名字作為密碼，那么可以輸入一個位數(shù)相同的虛構(gòu)名字進(jìn)行測試，網(wǎng)站將顯示在一個普通的個人電腦上運行黑客工具，采用暴力攻擊法破解這一密碼所需要的時間。如果我們使用一個名字作為密碼，那么破解的過程通常只是一瞬間。如果將出生日期也加入密碼中，例如“karin2401”，那么破解這一密碼會需要點時間，大概7h左右。然而，類似“！sKdfj4/ asl230 D_A%”這樣的密碼通常是很難破解的，但是這樣的密碼雖然安全，卻沒有人能夠記住，特別是現(xiàn)如今Windows、郵件、網(wǎng)上銀行、網(wǎng)上商店、Dropbox、社交網(wǎng)絡(luò)等幾乎每一項服務(wù)都需要密碼。

日常生活中面臨的挑戰(zhàn)

設(shè)置和管理密碼并不容易，使用簡單的密碼已經(jīng)被證明是不可行的，但是我們雖然可以為每一項服務(wù)設(shè)置一個安全的密碼，但卻未必能夠記住它們。我們可以將密碼存儲為一個數(shù)據(jù)庫，但是如何保護(hù)這個數(shù)據(jù)庫以及如何隨時隨地訪問這個數(shù)據(jù)庫又是一個問題。因而，我們需要一整套完善的密碼策略，確定自己應(yīng)該如何設(shè)置和管理密碼。

完美密碼

1、不使用相同密碼

聽起來這一規(guī)則微不足道，似乎也是眾所周知的密碼安全常識，但不幸的是它經(jīng)常被忽視。為每一個服務(wù)使用單獨的密碼，即使一個賬戶的密碼被盜，也只有一個賬戶會受到影響，可以將損失降到最低。

2、正確的組成部分

一個安全的密碼至少包含8個字符，密碼越長，安全性越高，而10～12個字符的長度通常已經(jīng)足夠。當(dāng)然，這10～12個字符中，應(yīng)該包含大寫和小寫字母的組合，且包含數(shù)字和特殊字符效果更佳。Web服務(wù)“http：//gaijin.at/en/olspwgen.php”可以根據(jù)我們選擇的組成部分，自動生成指定長度的安全密碼。

3、用圖案代替文字

密碼卡的工作原理類似于密碼，但它在提供足夠安全密碼的同時，用戶不需要記憶整個密碼，只需要記住自己在密碼卡取密碼的習(xí)慣或者規(guī)律即可。例如在如圖所示的密碼卡中，我們通過一個簡單的圖案取密碼，這樣就可以獲得一個高強(qiáng)度的9位數(shù)密碼“Au8S4s7tP”，然后我們通過類似“7E 11A”的坐標(biāo)即可查找到該密碼。我們可以根據(jù)自己的喜好制作密碼卡，然后將它打印出來使用。

4、個性化密碼策略

我們可以根據(jù)自己腦海中特殊的密碼策略為每一項服務(wù)創(chuàng)建密碼，例如我們的策略以服務(wù)網(wǎng)站的名稱為基礎(chǔ)，取Facebook其中4位獲得密碼的基礎(chǔ)“Fcbo”，接下來，我們將加入一個日期，我們將日子放前面，月份放后面，然后插入到網(wǎng)站的4位字符中，加入日期5月3日將產(chǎn)生密碼“0F3cb0o5”。最后，在每一個數(shù)字后面加入一個與其相關(guān)聯(lián)的特殊字符，現(xiàn)在密碼變成“0）F3#cb0）O5%”。這是一個非常安全的密碼，并且我們需要記憶的只是創(chuàng)建密碼的規(guī)則，不過，仍然需要注意，從安全角度出發(fā)，我們應(yīng)該每年改變一次自己的規(guī)則，避免所有的密碼因規(guī)則被破解而全部泄漏。

5、軟件的解決方案

使用密碼管理器是另一個不錯的選擇，它可以幫助我們記憶所有的密碼，甚至能夠自動填寫密碼，我們唯一需要記憶的只是密碼管理器的保護(hù)密碼。此類軟件很多，而免費軟件KeePass（keepass.info）就是一個很好的選擇。

6、隨機(jī)生成的密碼

類似KeePass密碼管理器之類的軟件還可以幫助我們生成隨機(jī)密碼，我們需要做的只是簡單地單擊“工具|生成密碼”。

密碼提示

1、在其他設(shè)備上使用

如果我們需要多臺電腦，那么可以使用便攜版的KeePass密碼管理器（Portable KeePass），將其存儲到閃存盤上，即可在不同的電腦上訪問密碼數(shù)據(jù)庫，輕松地使用和管理密碼。而KeePass密碼管理器的保護(hù)密碼，我們可以結(jié)合上一頁介紹的技巧，使用密碼卡等方法創(chuàng)建一個安全而又不擔(dān)心會忘記的密碼。

2、在設(shè)備之間同步

我們也可以考慮通過在不同的設(shè)備之間同步密碼數(shù)據(jù)庫的方式，確保自己總能隨時隨地訪問自己的密碼數(shù)據(jù)庫。LastPass（lastpass.com）和1Password（agilebits.com/onepassword）之類的商業(yè)軟件可以同步它們的密碼數(shù)據(jù)庫，使用非常方便，但是商業(yè)軟件是需要收費的。如果我們在電腦上使用KeePass密碼管理器，那么也可以考慮再使用MiniKeePass（iOS）或者KeePas Droid（Android）讓自己能夠在智能手機(jī)和平板電腦上使用和管理自己的密碼。不過，我們需要自己想辦法同步KeePass的密碼數(shù)據(jù)庫，例如使用Dropbox之類的在線存儲服務(wù)中轉(zhuǎn)，但是需要注意避免將數(shù)據(jù)庫一直存儲于在線存儲空間，應(yīng)該在同步完成之后將其刪除。

3、使用一次性密碼

對于只是想嘗試一下的Web服務(wù)，使用一個類似“123ABC”的一次性密碼注冊登錄是不錯的選擇。即使網(wǎng)站支持使用QQ、支付寶、Facebook或Twitter等聯(lián)合登錄方式，可以不需要注冊直接使用聯(lián)合登錄站點的賬戶登錄，使用一次性密碼也仍然是個更好的選擇，這樣一方面能夠避免泄漏聯(lián)合登錄站點上的賬戶信息，另一方面下一次如果突然又需要訪問該網(wǎng)站，則也可以繼續(xù)使用注冊的賬戶，但是需要注意，一旦我們要開始更多地使用該服務(wù)，那么一定要及時再切換到一個強(qiáng)密碼。

4、兩步驗證的雙重安全

兩步驗證能夠通過兩種不同的途徑驗證身份，比僅用密碼更安全：使用兩步驗證，登錄過程中驗證密碼通過后，還需要通過注冊服務(wù)或者開通兩步驗證功能時預(yù)留號碼的手機(jī)接收一個代碼，鍵入正確的代碼之后，才能夠成功登錄。對于Google等支持兩步驗證的Web服務(wù)，CHIP強(qiáng)烈建議開通兩步驗證，確保賬戶的安全。

5、快速重置密碼

雖然我們的密碼很安全，但Web服務(wù)商密碼被盜已經(jīng)成了司空見慣的事情，因而我們需要經(jīng)常修改一下密碼。在KeePass密碼管理器中，右擊相關(guān)的Web服務(wù)密碼記錄，選擇“網(wǎng)址（URL）| 打開”，即可訪問Web服務(wù)登錄頁面，快速修改密碼。