糟糕密码简史

密码策略不起作用,因为它们没有考虑到人们在现实生活中如何使用密码,但攻击者会考虑。
352 位读者喜欢这篇文章。
Data Privacy Day 2017: Solutions for everyday privacy

g4ll4is 在 Flickr 上。CC BY-SA 2.0

IT 部门强制执行的密码策略看起来是个好主意——毕竟,在包含至少一个大写字母、一个小写字母、两个数字和一个符号的八个字符的字符串中,攻击者从 7.82 亿个潜在组合中猜出您的确切密码的可能性有多大? 

这些几率对您不利,因为大多数 IT 密码策略没有考虑到人们在现实世界中如何选择和使用密码,Purism 首席安全官、《Linux Hardening in Hostile Networks》的作者 Kyle Rankin 说。密码策略不起作用,因为黑客确实会考虑人们的想法。

观看 Kyle 在第 16 届年度南加州 Linux 展 (SCALE) 上发表的闪电演讲《性、秘密和上帝:糟糕密码简史》,了解糟糕密码策略的历史以及我们必须采取哪些措施来保护我们的数据。

在 2018 年 3 月第 16 届年度南加州 Linux 展 (SCALE) 上由 Opensource.com 主办的 UpSCALE 闪电演讲中,八位演讲者快速分享了关于有趣的开源主题、项目和想法的见解。在 UpSCALE 闪电演讲 的 Opensource.com YouTube 频道 上观看所有演讲。

User profile image.
Opensource.com 发布关于创建、采用和分享开源解决方案的故事。在 Twitter 上关注我们 @opensourceway。

9 条评论

我在生成密码时首先考虑的是,并非您拥有的每个帐户都需要高安全性。考虑一下某人针对特定登录可能造成的损害或不损害。
对于重要的东西,我使用一个小型的 shell 脚本来生成我在某处找到然后稍微修改过的随机密码。这是脚本,然后是它的输出。我可能不一定逐字使用某些东西;我可能会做一些小的修改以更容易记住,或者在不存在符号的地方插入一个符号。

#!/usr/bin/env sh
echo '正在生成 12 个字符的密码'
for ((n=0;n<12;n++))
do dd if=/dev/urandom count=1 2> /dev/null | uuencode -m - | sed -ne 2p | cut -c-12
done

正在生成 12 个字符的密码
dYrEhmmN1e1/
7uMoO0bn1hBs
UWSyrryMNzB7
289jyQzR0NPz
GX6V0QvZUM5r
HRCUHoSD8TBT
5VLRgCbt8Lqu
GKLqXGnbekak
BC/2e9UnC7zy
pzD+Y7jnLMNl
qmm6AdMTs0V/
9L65jrVxOYRf

很棒的演讲。感谢分享。

Greg Pittman 写道 "generate random passwords"

您忘记了在 random 前面加上非常重要的前缀 “pseudo-” 。

当然。但肯定比您在脑海中设计的任何东西都更随机。

回复 by Mr Awkward (not verified)

我同意 Greg Pittman 的观点——并非每个帐户都需要超强密码。对于论坛、Twitter 和 Facebook,我使用一个非常简单且容易猜测的密码;如果有人想代表我发推文,我声明我在某个国家,我不会失眠。

我很久以前就发现化学式是非常好的密码。在我的测试中,John the Ripper 找不到它们,而且它们很容易记住。我在一所大学工作,我向一位化学老师提到我的密码是有机化合物。他说只有大约 450 万种,所以破解它应该不会花太长时间!

话虽如此,如果您正在使用密码管理器,那么使用强密码有什么坏处呢?

我还想提醒大家不要低估社交媒体网站(尤其是 Facebook 和 Twitter)上强密码的需求。这不仅仅是关于有人为您发推文。借助 OAuth 以及使用社交媒体网站的登录凭据验证帐户的能力,这些密码的重要性比您想象的要高得多。

回复 by MartyMonroe

Creative Commons License本作品根据知识共享署名-相同方式共享 4.0 国际许可协议获得许可。
© . All rights reserved.