什么密碼才不易被黑客破解

宋明成

密碼最佳實踐是眾所周知的，但它們真的是最好的嗎？在過去的幾十年中，大多數公司已經實施了他們認為是基本密碼標準的內容。

這些通常包括：

確保由數字，字母（大寫和小寫）字符以及特殊符號和類似字符組成的復雜密碼；

強制用戶定期更改密碼；

要求用戶先前未使用的新密碼。

這些準則已被廣泛接受，因此我們看到支付卡行業數據安全標準（PCI DSS）中的要求規定密碼應每90天更換一次。

但是，像所有成熟的技術政策一樣，重要的是不時停下思考，并評估該政策在不斷變化的環境中是否有意義。這正是美國國家標準與技術研究院（NIST）為密碼準則所做的。我們應該忘記幾十年來我們已經習以為常的最佳實踐，并將新常態應用于密碼管理實踐。讓我們來看看一些常用的密碼安全實踐，并與NIST的更新建議進行比較。

情結不一定強

我們似乎永遠不得不選擇包含數字字符，大小寫字母和特殊字符變體的密碼，以使密碼復雜化。但是，NIST已經聲明這不會導致更強的密碼，并且這種做法應該被替代為對密碼選擇更加動態的支持。NIST建議組織通過檢查選擇的密碼來防止已知泄露的泄露數據和已知的弱密碼，從而支持用戶選擇更好的密碼。很難說這個練習是不可能的，因為互聯網上有大量諸如HashCat和類似的密碼測試工具等工具的可用性使得密碼選擇的質量檢查相當容易。

越長越好，并允許剪切和粘貼

我們都遇到過例子，你的密碼長度不能超過8或10個字符。這可以在全球一些較大的組織中看到，毫無疑問，因為遺留系統的限制。NIST對密碼長度的建議很明確。它表明應該允許至少64個字符的密碼。此外，應確保用戶可以粘貼到密碼數據輸入字段中，鼓勵和支持使用密碼管理器。奇怪的是，一些網站目前阻止用戶將他們的密碼粘貼到表單字段中，從而破壞了密碼管理器的自動使用。

密碼提示

恢復忘記密碼的流行趨勢是允許用戶重置密碼，如果他們成功回答提示問題，如他們的第一輛汽車或他們最喜歡的老師的問題。提示問題的質量通常可能會令人滿意。低水平的問題加上現在在社交媒體上分享的個人信息削弱了密碼提示的使用。NIST建議我們停止使用提示問題作為幫助用戶恢復帳戶訪問的手段。

定期更改

除了NIST的建議之外，國內黑客安全組織東方聯盟研究人員也曾表示：不建議常改密碼，即在黑客擁有您不知情的情況下獲得信息的情況下，定期更改您的密碼。反對這種做法的論點在于選擇密碼序列或模式的人性特征，以減輕記憶密碼的工作量。因此，用戶傾向于在當前密碼末尾添加數字或其他增量字符，并在每次被迫更改密碼時增加該字符數。這使得密碼較弱，不推薦這種做法。

執行密碼測試

如果您不能在用戶生成或更改其密碼時執行內嵌密碼檢查，請務必提供非常規密碼強度檢查。運行Hashcat等工具并識別弱密碼，并為用戶更改所有弱密碼。停止強制定期更改密碼，當用戶懷疑自己的密碼不再是秘密時，應該更改密碼。但在正常情況下，密碼不應經常更改。