糟糕密码简史

密码策略不起作用,因为它们没有考虑到人们在现实生活中如何使用密码——但攻击者会考虑。
352 位读者喜欢这篇文章。
Data Privacy Day 2017: Solutions for everyday privacy

g4ll4is 在 Flickr 上发布。CC BY-SA 2.0

IT 部门强制执行的密码策略看起来是个好主意——毕竟,在包含至少一个大写字母、一个小写字母、两个数字和一个符号的八字符字符串中,攻击者猜出您的确切密码的可能性有多大? 

Purism 首席安全官兼《敌对网络中的 Linux 强化》一书的作者 Kyle Rankin 说,这些几率对您不利,因为大多数 IT 密码策略都没有考虑到人们在现实世界中如何选择和使用密码。密码策略不起作用,因为黑客会考虑人们的想法。

观看 Kyle 在第 16 届南加州 Linux 展 (SCALE) 上发表的闪电演讲“性、秘密和上帝:糟糕密码简史”(SCALE) ,了解糟糕密码策略的历史以及我们必须采取哪些措施来保护我们的数据。

在 Opensource.com 在第 16 届南加州 Linux 展 (SCALE) 上主办的 UpSCALE 闪电演讲中,八位演讲者快速介绍了有趣的开源主题、项目和想法。观看 UpSCALE 闪电演讲的全部内容,请访问 Opensource.com YouTube 频道

User profile image.
Opensource.com 发布关于创建、采用和分享开源解决方案的故事。在 Twitter 上关注我们 @opensourceway。

9 条评论

我生成密码时首先考虑的是,并非每个帐户都需要高安全性。考虑一下某人对特定登录可能造成的损害或不造成损害的情况。
对于重要的事项,我使用一个小型的 shell 脚本来生成随机密码,这是我在某个地方找到的,然后稍作修改。这是脚本,然后是它的输出。我可能不一定完全照搬使用;我可能会稍作修改,以便更容易记住,或者在不存在符号的地方插入一个符号。

#!/usr/bin/env sh
echo '正在生成 12 个字符的密码'
for ((n=0;n<12;n++))
do dd if=/dev/urandom count=1 2> /dev/null | uuencode -m - | sed -ne 2p | cut -c-12
done

正在生成 12 个字符的密码
dYrEhmmN1e1/
7uMoO0bn1hBs
UWSyrryMNzB7
289jyQzR0NPz
GX6V0QvZUM5r
HRCUHoSD8TBT
5VLRgCbt8Lqu
GKLqXGnbekak
BC/2e9UnC7zy
pzD+Y7jnLMNl
qmm6AdMTs0V/
9L65jrVxOYRf

我使用 pwgen (https://sourceforge.net/projects/pwgen/ - 我刚刚发现它竟然是 Theodore Ts'o 的项目!) 生成 15 个字符的密码,但我也像您一样,删除一两个字符,在这里或那里添加一个符号。

虽然我这样做不是为了让它们更容易记住,因为我也使用密码管理器 :)

回复 ,作者:Greg P

很棒的演讲。感谢分享。

Greg Pittman 写道“生成随机密码”

您忘记在“随机”之前加上最重要的前缀“伪”。

当然。但这肯定比您在脑海中想出的任何东西都更随机。

回复 ,作者:Mr Awkward (未验证)

我同意 Greg Pittman 的观点 - 并非每个帐户都需要超强密码。对于论坛、Twitter 和 Facebook,我使用非常简单且容易猜测的密码;如果有人想以我的名义发推文,声明我在某个国家/地区,我不会为此失眠。

很久以前我就发现化学式是相当不错的密码。在我的测试中,John the Ripper 无法找到它们,而且它们很容易记住。我在一所大学工作,我向一位化学老师提到我的密码是一种有机化合物。他说只有大约 450 万种,所以破解它应该不需要太长时间!

话虽如此,如果您正在使用密码管理器,那么使用强密码有什么坏处呢?

我还想提醒大家注意,不要低估社交媒体网站(尤其是 Facebook 和 Twitter)上强密码的需求。这不仅仅是关于某人为您发推文。借助 OAuth 以及使用社交媒体网站的登录凭据验证帐户的能力,这些密码的重要性远高于您可能认为的。

回复 ,作者:MartyMonroe

Creative Commons License本作品根据知识共享署名-相同方式共享 4.0 国际许可协议获得许可。
© . All rights reserved.