糟糕密码简史

密码策略不起作用,因为它们没有考虑到人们在现实生活中如何使用密码—但攻击者会考虑。
352 位读者喜欢这个。
Data Privacy Day 2017: Solutions for everyday privacy

g4ll4is 在 Flickr 上。CC BY-SA 2.0

IT 部门强制执行的密码策略似乎是个好主意——毕竟,在包含至少一个大写字母、一个小写字母、两个数字和一个符号的八字符字符串中,有 7.82 亿种可能的组合,攻击者猜中您的确切密码的可能性有多大? 

这些几率对您不利,因为大多数 IT 密码策略都没有考虑到人们在现实世界中如何选择和使用密码,Kyle Rankin 说,他是 Purism 的首席安全官,也是 Linux Hardening in Hostile Networks 的作者。密码策略不起作用,因为黑客会考虑人们的思维方式。

观看 Kyle 在第 16 届年度南加州 Linux 展会 (SCALE) 上的闪电演讲“性、秘密和上帝:糟糕密码简史”,了解糟糕密码策略的历史,以及我们必须采取哪些措施来保护我们的数据。

在 Opensource.com 在 2018 年 3 月举行的第 16 届年度南加州 Linux 展会 (SCALE) 上主办的 UpSCALE 闪电演讲中,八位演讲者分享了关于有趣的开源主题、项目和想法的快速见解。在 Opensource.com YouTube 频道 上观看所有 UpSCALE 闪电演讲

User profile image.
Opensource.com 发布关于创建、采用和共享开源解决方案的故事。在 Twitter 上关注我们 @opensourceway。

9 条评论

在生成密码时,我首先考虑的是并非您拥有的每个帐户都需要高安全性。考虑一下某人可能对特定登录造成的损害或缺乏损害。
对于重要的东西,我使用一个小的 shell 脚本来生成我在某处找到然后稍作修改的随机密码。这是它,然后是它的输出。我可能不一定逐字使用某些东西;我可能会做一些小的修改以更容易记住,或者在不存在符号的地方插入一个符号。

#!/usr/bin/env sh
echo '正在生成 12 个字符的密码'
for ((n=0;n<12;n++))
do dd if=/dev/urandom count=1 2> /dev/null | uuencode -m - | sed -ne 2p | cut -c-12
done

正在生成 12 个字符的密码
dYrEhmmN1e1/
7uMoO0bn1hBs
UWSyrryMNzB7
289jyQzR0NPz
GX6V0QvZUM5r
HRCUHoSD8TBT
5VLRgCbt8Lqu
GKLqXGnbekak
BC/2e9UnC7zy
pzD+Y7jnLMNl
qmm6AdMTs0V/
9L65jrVxOYRf

我使用 pwgen (https://sourceforge.net/projects/pwgen/ - 我刚刚发现它是 Theodore Ts'o 的项目!) 来生成 15 个字符的密码,但我也像您一样,删除一两个字符,并在其中添加一个符号。

虽然我这样做不是为了让它们更容易记住,因为我也使用密码管理器 :)

回复 作者:Greg P

精彩的演讲。感谢分享。

Greg Pittman 写道“生成随机密码”

您忘记了在 random 之前添加非常重要的前缀“伪-”。

当然。但肯定比您在脑海中设计的任何东西都更随机。

回复 作者:Mr Awkward (未验证)

我同意 Greg Pittman 的观点 - 并非每个帐户都需要超强密码。对于论坛、Twitter 和 Facebook,我使用非常简单且容易猜到的密码;如果有人想以我的名义发推文,我宣布我在某个国家,我不会失眠。

很久以前我就发现化学式是非常好的密码。在我的测试中,John the Ripper 找不到它们,而且它们很容易记住。我在一所大学工作,我向一位化学老师评论说我的密码是一种有机化合物。他说只有大约 450 万种,所以破解它应该不需要太长时间!

话虽如此,如果您正在使用密码管理器,那么使用强密码有什么坏处呢?

我还想提醒大家,不要低估社交媒体网站(尤其是 Facebook 和 Twitter)上强密码的需求。这不仅仅是有人为您发推文。借助 OAuth 以及使用社交媒体网站的登录凭据验证帐户的能力,这些密码的重要性远高于您可能认为的。

回复 作者:MartyMonroe

Creative Commons License本作品根据 Creative Commons Attribution-Share Alike 4.0 International License 获得许可。
© . All rights reserved.