日期：2013-01-06 03:48 /人气：446 /来源：互联网
IT时报记者 李栋 林斐
暗码、暗码、仍是暗码……今日的现代人，离得开暗码吗?信用卡要暗码、上彀购物要暗码、刷微博要暗码、登录OA系统要暗码、翻开邮箱还要暗码……当你的人生由一串串的账号和暗码组成时，烦恼和危险也随之而来。该如何维护你们呢?我的暗码。
No.1 现代人的暗码烦恼
由于总忧虑个人记不住，家庭主妇牟女士将日子中的一切暗码都记录在一个小簿本上，但是一天她外出购物回来后发现暗码本丢了，当街便昏厥了曩昔。相似的暗码烦恼还有许多。
长江、黄河、苏州河轮流上
高女士是一家大型国营公司的职工，登录公司内部的OA系统，检查公司重要新闻、作业流程进展是她每天都有必要做的作业。出于安全思考，这家公司的OA系统需求职工每3个月有必要替换一次暗码，暗码不只需求有必定的杂乱程度，并且不能与前三次的暗码一样。
高女士对此较为烦恼，每隔三个月，系统提示修正暗码时，她就要苦思冥想，找一个和之前不一样的暗码，可设置暗码不就是那几个数字吗?个人生日、儿子生日、老公生日、门牌号码……换的次数多了，还真杂乱了。有几回，她都由于输错暗码致使账户被锁，不得不托付IT部的搭档处置。后来，搭档教了她一个诀窍，暗码的数字设置为固定常用的几位，后边则把“长江、黄河、黑龙江、苏州河”轮流跟上，每三个月换一条“河”，就算记不清，最多试错三次，就搞定了。
丢一个暗码 丢一串网站
“7月末的时分我在某家电子商务网站的账户暗码就走漏了，直到如今才发现，时刻没有任何提示。并且手机和邮箱还被他人绑定了密保。”网友“心岸”比来比拟抑郁，他在某个电商渠道里预存的350元被盗号人花得精光，网站里的信息显现，其时买了一双李宁鞋、一个移动电源和一张4G的存储卡，上面的收货地址填的是广东北部某农场，连门牌号都没有。
至今“心岸”依然不晓得，个人的暗码究竟是被这家电商走漏了呢，仍是由于个人在其他网站的暗码账号被盗致使的连锁反应。由于在不少网站上，他都用同一个邮箱和暗码登录。一旦其间某一个账号暗码被盗，相当于这些网站的个人信息悉数走漏。
No.2 暗码中隐藏的危险
不久前，一家名为“365社工库”的网站揭露贩卖用户隐私信息，500元可以买到100万条个人信息。为了表现网站的“才能”，“365社工库”乃至供给反向验证效劳，让购买者验证个人的邮箱暗码究竟有没有被走漏。这种肆无忌惮的“黑客”行动，引发咱们对网站账号暗码维护的沉思。
社工库破解技能高明
所谓社工库，是指社会工程学库，它运用现已获取的用户信息，对账户进行针对性破解。一旦黑客晓得一个账户后，就可以得到其他更有价值的账号。即便暗码不尽一样，黑客运用该暗码作为关键词进行暴力破解，也会大大提高破解率。
“社工库扫描与惯例破解不一样的是，它会故意搜集某个用户的一切个人信息，比方手机号码、生日、买车、公司注册等，将这些信息汇总到一同后，黑客会运用东西进行归纳处置，经过排列组合各种信息的方法来破解账户暗码。”为网站供给暗码安全效劳的北京明朝万达科技有限公司董事长王志海通知《IT时报》记者，这种社工库扫描破解的方法，成功率高的惊人，“破解率往往在20%以上，曾经有个事例，在每五张信用卡中，就有一张能被破解。”
网站口令维护处于初级水平
事实上，国内各类网站在维护用户账户暗码安全性方面都存在着各种疑问。
本年5月，中国软件评测中间联合北京大学互联网安全技能北京市要点实验室发布了《网站用户口令处置安全性外部测评陈述》，在抽取了门户、邮箱、电子商务、招聘类、婚恋类、游戏类、论坛、博客、微博共9大类100个网站，对其用户口令处置进行了安全性测评后发现，仅有8个网站采取了充沛的安全措施对用户口令做处置，更有85个网站直接拿到用户的口令原文。
测评负责人之一，北京大学互联网安全技能北京市要点实验室高级工程师龚晓跃表明，“全体上看，我国网站在用户口令维护方面还处于一个很初级的水平，亟待晋升。”
中小网站成泄密高发区
“如今许多中小网站都是用开源渠道来做的网站架构，安全方面存在着许多缝隙。黑客只需捉住一个缝隙就能对其破解，乃至几分钟内就能爆库。”王志海对记者剖析道。国内的大多数中小网站受硬件和软件资源的本钱约束，对防火墙、安全编码等安全投入都不够大，这使得黑客垂手可得就能破解网站的数据库和存储的用户暗码，即圈子里所说的“爆库”。
游侠安全网站长张百川通知记者，“如今许多大网站都在树立分站，频道栏目也越来越多，有些频道，比方邮箱登录时安全措施做得比拟好，但有些频道做得比拟差，用同一个账号暗码登录这些频道时，就会有可以带来安全疑问。”
一起，在暗码的存储和维护上，许多网站也漫不经心，致使被爆库后黑客可以简单获取暗码。王志海指出，虽然如今许多网站虽然都选用了MD5这种盛行算法进行加密，但做得十分简略，没有参加随机值等维护方法，很简单被破解。赛门铁克诺顿工程师张扬则表明，从以往的暗码走漏疑问来看，有许多是由于管理员将暗码以明文方法存放在数据库里边，当黑客进犯网站获取数据库权限之后，对用户暗码是一览无遗。
内鬼做乱也是重要危险
“除了外部进犯之外，业界许多网站泄密仍是内鬼所为。”王志海在承受记者采访时，语出惊人。他表明，在一些竞赛剧烈的职业界，公司内部人员流动性频频，有时出于职业间的相互竞赛，某些从业人员会将把握的数据库信息倒卖给其他公司。而有些网站的内部人员为了牟利，会将信息倒卖给做信息收费效劳公司，致运用户信息外流。
张百川知道的状况是，有时分内鬼并不必定就是公司的内部人员，而是为这些公司做外包的公司。
张百川叙述了这样一个事例，陕西某家运营商将计费系统项目有些外包给了一家当地的IT公司。效果施行该OA项目的IT公司某职工心怀不轨，白日正常上班，晚上运用个人取得的拜访权限，将运营商的用户数据库下载到个人的电脑中，“结尾这人拿到了陕西7个地市1394万手机用户信息，卖了3万元，而买家靠这个数据库群发短信，结尾赚了一百多万。”
N 0.3 暗码的挑选题：快捷or 安全
高女士的烦恼是，为什么暗码总是要改?“心岸”的烦恼则是，同一个暗码为什么不安全?在两个人的烦恼背面，是现代人的暗码人生中，在快捷性和安全性之间的挑选难题。当前有不少处置这种暗码难题的方法，但相同存在两种挑选的纠结。
联合登录的利与弊
如今网民在登录一些网站时，往往可以直接运用微博、QQ的账号暗码登录，这被业界称为“联合登录”。京东商城的技能负责人向《IT时报》记者表明，联合登录选用的是一种称为oAuth的技能，第三方网站并不能触及到用户的账号信息，“当外部联合登录网站发作泄密状况时，可以第一时刻封闭该泄密网站的联合登入方法来保证用户的安全。”
张百川则以为联合登录利害参半。“优点是简化了用户注册的进程，有些安全技能才能不强的中小型网站，经过联合登录的方法，相当于将个人的用户暗码安全保管给了微博、QQ，然后避免从个人这里走漏了用户暗码的可以。但别的一方面，若是一旦微博、QQ的暗码走漏后，也会形成连锁反应。”而上海世人网络信息科技CEO谈剑锋十分对立这种方法，他相同忧虑泄密后发生连锁反应。
新的暗码认证方法或可行
事实上，虽然高女士的暗码维护方法略显繁琐，但在当前的技能水平下，还算是个不错的维护方法。据记者知道，除了强迫定时更改暗码之外，不少大型外资公司都给职工装备了动态令牌，让其在登录公司内网时运用。
安全宝是一家供给安全检测效劳的公司，该公司联合产物副总裁吴翰清则以为，双要素认证(双因子认证)是一个相对较好的方法。双要素认证在登录时除了需求输入用户名和暗码之外，还会需求用户输入移动终端所收到确实认信息，“Google和facebook前些时都加强了这方面的功用。经过数据剖析来保证登录安全也是一个方面，但这个方面咱们做得还都不够好。” 吴翰清通知《IT时报》记者。
本年IT新锐之一谈剑锋的世人网络供给的就是一种选用时刻同步技能的双要素认证系统，由动态暗码令牌和认证软件系统组成，“在用户登录验证时，要输入咱们的动态令牌上随机改变的动态口令数字。用户的密钥安全存储，可以避免用户信息的走漏。而动态暗码改变无次序、无规律，可以处置由暗码泄密致使的侵略疑问。”京东商城技能负责人表明，正在逐渐盛行的二维码和生物辨认技能，将会是愈加快捷和领先的身份认证技能。
国内将树立网站安全规范
中国软件评测中间副主任、北京赛迪信息技能评测有限公司履行总裁高炽扬表明，由中国软件评测中间牵头承当的信息系统个人信息维护规范系统建造作业，将会触及关联规范和规范的树立。
中国软件评测中间的作业人员通知《IT时报》记者，该作业有了开始效果，总纲性的指导性规范现已获批，12月底将正式发布，下一年2月1日起正式履行。
该作业人员还表明，依照这个规范，他们经过第三方组织对网站的安全性和用户个人信息维护进行评价，“评价打分后会公布出来，由此让用户知道网站的安全性和个人用户维护状况，让用户知道、挑选运用愈加安全的网站。”
更多信息请参考：http://www.11ml.cn
作者：
