密碼是否走到了終點？

劉曉雯

你是否認為自己的密碼是原創的、獨特的，不可能被別人猜到的？如果你這樣認為的話，那么你該冷靜一下，再好好想想。破解字母組合而成的密碼輕而易舉，只是耗時長短的問題而已。專家們認為，現在人們常使用的密碼已經走入了死胡同。

你是黑客的最佳助手

2015年10月19日，美國中央情報局時任局長約翰·布倫南怒火中燒。他瀏覽著政策文件、秘密檔案、通訊錄以及妻子的個人信息，讓他生氣的并不是這些材料內容，而是看到這些應當被保密的信息竟然放在維基解密的網站上供人瀏覽。這是誰干的呢？毫無疑問，黑客。他們通過某種方式破解了布倫南的郵件賬戶。布倫南同大部分人一樣，將用戶名和密碼當作打開虛擬網絡賬號的唯一通道，以為它們能夠保障信息安全。事實證明，這些看起來有效的身份認證方式似乎并沒那么可靠。

你為某個賬號設立密碼會花多長時間？10秒鐘？2秒鐘？還是說你像1/3的互聯網用戶一樣，將各種賬號的密碼設置得完全一樣？2015年7月，世界上最大的婚外情網站Ashley Madison被黑客攻破，3700萬用戶的信息被悉數公布出來，包括他們一些十分隱秘的私人信息，這些令人感到羞恥的記錄成為別人茶余飯后的八卦談資。被泄露信息的用戶不管是婚姻還是工作都受到嚴重影響，有些人甚至迫于所受的壓力而選擇自殺。盡管這些用戶自己“玩火自焚”，但是令人感到悚然的是這么多用戶信息竟然一下子就被攻破了。該網站用戶同大部分網民一樣，采用的密碼非常簡單，簡直到了荒唐的程度。最常用的密碼組合包括“123456”、“password”（“密碼”的英文翻譯）。據統計，98.8%的用戶所用的密碼總數還不到1萬個。

為什么明知這樣不安全，絕大部分人還是會選擇使用簡單的密碼呢？因為我們很多時候把方便看得比抽象的安全還重要。畢竟，要想到一個復雜的密碼自己可能記不住，別人無法登陸自己的賬號固然不錯，可是自己也無法登陸就很麻煩了。而且如果已經出現了一次忘記密碼的情況，在重置密碼的時候就自然地會設置一個更簡單也更容易記的新密碼。

黑客們的“暴力”破譯

有時我們自認為把密碼用字母和數字的組合設計得比較復雜就安全了，可黑客們還是屢次得手密碼數據庫。因為人們在設置密碼的時候，思路大同小異，比如把字母O用數字0代替，加入符號或數字，這都是老把戲了。或者用一些自己喜歡的歌詞、藝術家名字、寵物名、足球運動員和他們的隊服號碼來做密碼。那些你覺得完美的無序組合，比如科幻小說里的某些代碼（“ncc1701”或“thx1138”），也沒有你想的那么獨特，其實很多人在用。黑客們只需要利用程序軟件分析幾十億個密碼組合，就能夠推測出幾乎所有人使用的密碼。

這幾十億個密碼組合如何快速分析破解呢？一種被稱為“暴力破解攻擊”的密碼攻擊使用軟件完成，一臺計算機每秒鐘可以嘗試80億種密碼組合。所以，用這種方式對付我們那些“小兒科”的密碼簡直輕而易舉。

一些服務商設置了密碼字符數的上限，這使破解密碼變得更加容易。名為CynoSure Prime的密碼破解組織保持著世界最快密碼破解記錄：他們能夠用一個計算機集群以每秒鐘3500億密碼的速率驗證密碼。這意味著使用超級計算機的話，5.5小時之內就可以試完所有8個字符以內的密碼。而8個字符的密碼是大部分服務商和公司所要求的密碼字符數。破解了這個就基本上等同于破解了賬號信息。

后知后覺的攻擊

黑客來得如此迅速，悄無聲息，而我們總是后知后覺，忽略了他們的存在。許多用戶沉浸在虛假的安全感中，根本注意不到自己的賬號已經被盜取了。據英國信息安全保護機構統計，1/4的英國電腦可能會受到惡意軟件的攻擊，被網絡犯罪分子利用，成為僵尸電腦。

德國議會的網絡被認為是歐洲最安全的網絡之一，然而，他們也遭遇過奇恥大辱。2015年，德國議會網絡被黑客入侵，而系統在受到入侵6個月之后因發現可疑服務器才意識到自己被“黑”了。政府系統的網絡尚且這樣，個人用戶就更容易給黑客留下可乘之機了。

即使密碼并不像我們想象中那樣能夠有效保障我們的信息，但是我們仍然會長期堅持采用密碼系統。因為更安全的替代方式需要額外的硬件，比如虹膜掃描儀，這太麻煩，而傳統的密碼系統便捷、成本低，對普通用戶來說更加實用。所以，從這個意義上來說，密碼還會在我們身邊持續存在著，沒有邁入終點。

原則上來說，開鎖匠能夠打開的門，盜賊也能夠打開，門鎖能夠帶給我們的保護是有限的，但是我們仍舊會使用門鎖。使用更復雜的門鎖形態，充分利用好鎖的功能，延長小偷撬鎖的時間，就能夠增加他們畏難放棄的幾率。同樣的，不管傳統密碼多么不堪一擊，我們仍然需要它，而設置更復雜的密碼，至少可以免除被一些低級的攻擊方式所影響。因此，無論如何，讓我們都盡量把網絡密碼設置得更復雜一些吧！