密码弱口令简史

密码策略不起作用,因为它们没有考虑到人们在现实生活中如何使用密码——但攻击者会考虑。
352 位读者喜欢这篇文章。
Data Privacy Day 2017: Solutions for everyday privacy

g4ll4is 在 Flickr 上。CC BY-SA 2.0

IT 部门强制要求的密码策略看起来是个好主意——毕竟,在一个包含至少一个大写字母、一个小写字母、两个数字和一个符号的八字符字符串中,攻击者从 7.82 亿个潜在组合中猜出你的确切密码的可能性有多大?

这些几率对你不利,因为大多数 IT 密码策略没有考虑到人们在现实世界中如何选择和使用密码,Purism 首席安全官、《Linux Hardening in Hostile Networks》的作者 Kyle Rankin 说。密码策略不起作用,因为黑客会考虑人们的想法。

观看 Kyle 在第 16 届年度南加州 Linux 展 (SCALE) 上发表的闪电演讲“性、秘密和上帝:密码弱口令简史”,了解密码弱口令策略的历史,以及我们必须采取哪些措施来保护我们的数据。

在 2018 年 3 月举行的第 16 届年度南加州 Linux 展 (SCALE) 上,Opensource.com 主办了 UpSCALE 闪电演讲,八位演讲者快速分享了有趣的开源主题、项目和想法。在 Opensource.com YouTube 频道上观看所有 UpSCALE 闪电演讲 在 Opensource.com YouTube 频道上。

User profile image.
Opensource.com 发布关于创建、采用和共享开源解决方案的故事。在 Twitter 上关注我们 @opensourceway。

9 条评论

我在生成密码时首先考虑的是,并非你拥有的每个帐户都需要高安全性。考虑一下某人可能因特定登录而造成的损害或没有造成的损害。
对于重要的东西,我使用一个小型的 shell 脚本来生成我在某处找到然后稍微修改过的随机密码。 这是脚本,然后是它的输出。 而且我可能不一定逐字使用某些东西; 我可能会稍作修改以更容易记住,或者在不存在符号的地方插入一个符号。

#!/usr/bin/env sh
echo '正在生成 12 个字符的密码'
for ((n=0;n<12;n++))
do dd if=/dev/urandom count=1 2> /dev/null | uuencode -m - | sed -ne 2p | cut -c-12
done

正在生成 12 个字符的密码
dYrEhmmN1e1/
7uMoO0bn1hBs
UWSyrryMNzB7
289jyQzR0NPz
GX6V0QvZUM5r
HRCUHoSD8TBT
5VLRgCbt8Lqu
GKLqXGnbekak
BC/2e9UnC7zy
pzD+Y7jnLMNl
qmm6AdMTs0V/
9L65jrVxOYRf

精彩的演讲。 谢谢分享。

Greg Pittman 写道 “生成随机密码”

你忘记在 random 之前加上非常重要的前缀 “pseudo-”。

我同意 Greg Pittman 的观点 - 并非每个帐户都需要超强密码。 对于论坛、Twitter 和 Facebook,我使用非常简单且容易猜测的密码; 如果有人想代表我发推文,我声明我在某个国家,我不会失眠。

我很久以前就发现化学式是非常好的密码。 在我的测试中,John the Ripper 找不到它们,而且它们很容易记住。 我在大学工作,我向一位化学老师说我的密码是有机化合物。 他说只有大约 450 万种,所以破解它应该不需要太长时间!

话虽如此,如果你正在使用密码管理器,使用强密码有什么坏处呢?

我还要提醒大家不要低估社交媒体网站(尤其是 Facebook 和 Twitter)上强密码的必要性。 这不仅仅是关于有人为你发推文。 借助 OAuth 以及使用社交媒体网站的登录凭据验证帐户的能力,这些密码的重要性远高于你想象的。

回复 作者 MartyMonroe

Creative Commons License本作品根据 Creative Commons Attribution-Share Alike 4.0 International License 获得许可。
© . All rights reserved.