怎样不被别人猜中你的密码？

一项最近的研究表明，1%的密码可以在4次之内猜中。


　　怎么可能？简单！尝试四个最常见密码。password，123456，12345678，和qwerty，这就打开了1%的大门。


　　好吧，你是那99%的人之一，但你还要考虑到而今黑客软件的速度。John the Ripper是一款免费的黑客软件，每秒钟能测试数百万密码。还有一款商业软件本来是用在刑侦领域里（在查封的电脑中寻找儿童色情或者恐怖分子的信息），号称每秒能测试28亿密码。


　　一开始，破解软件会运行一套穷举式的、时常更新的流行密码表，然后再是整个字典，包括所有的常见人名，昵称和宠物名。而今我们这些用户，在反复羞辱和威胁之下，大多学会了往我们的密码里加数字、标点和奇怪的大小写，这叫“重整”（mangling）。理论上，这能让密码变得难猜许多——实际上，效果远没有那么好。几乎所有人的思维都会遵循那些早已被踏平的熟门熟路。如果网站要求你的密码里必须有数字，那password变成password1或者password123的频率会让你吃惊的。而要求你必须大小写同时出现的密码就会产生Password或PaSsWoRd。必须有特殊符号的结果则是password!和p@ssword。你以为$pider_Man1这种密码真的有看起来那么安全？每个人都觉得自己很机智，最后都机智到一块去了。


　　而且我们还有理由担心，因为网站强制采取重整，会逼迫用户去使用那些简单好记的密码作为重整的“底子”——因为重整本身很难记。它带来的安全感是虚假的。


　　密码面对的三种威胁
　　
　　   


　　在现实中密码会受到来自以下三个方面的威胁：日常、群体和定向。


　　“日常威胁”指的是你认识的人。爱管闲事的同事或者亲人可能想要登录你的账号。他们会通过自己对你的了解来猜测你的密码（而不是靠暴力破解软件）。日常的打探者也许会知道你的高中球队是野猫队（Wildcats）然后尝试这个密码，不过wildCatz1很可能足以打败他。


　　“群体威胁”就像垃圾邮件一样，不针对个人。职业身份窃贼并不是在专门针对你的账号搞破解，他对你的个人情况一无所知，他的目的是汇集一套破解过的账号密码清单，通常是拿去再卖钱。密码窃贼则使用破解工具，会先从安全防护措施较低的网站下手——通常是那些允许你猜很多次的网站。这也许是没有什么经济价值的网站，比如游戏网站。等软件猜对了之后，它再用同样的密码及其变体去猜你的更加安全的账号，比如银行。


　　“定向威胁”意味着使用软件的私家侦探或警探。假如一个训练有素的人想黑进你的账号，假如金钱、时间（甚至法律）都站在他那边，那他很可能会成功。唯一的反制手段就是使用随机密码，长到足以保证其搜索时间抵得上你的预期寿命，甚至更久。


　　不要觉得你不会成为这种目标，哪怕是小企业的竞争对手也可能愿意花费资源去偷一台笔记本电脑。离婚案件里身价颇高的另一半也可能这样做。黑客可能会讨厌某个人的企业或者政治立场。推特的全站，就曾经陷落过，注意不是某个用户而是全站，原因只是一位管理员傻乎乎地选择了happiness作为密码。2009年一位黑客在字典攻击中发现了这个密码，把它贴在了Digital Gangster上面，结果是巴拉克？奥巴马，布兰妮？斯皮尔斯，脸书和福克斯新闻等等大账户的推特都被盗用了。


　　 怎样的密码才算安全？


　　   


　　创造一个安全密码简直是世界上最简单的事情：一串完全随机的字符就是了。靠自己的脑子是无法达成完美随机的，但你也不需要这样苛求自己：许多网站和应用可以拿环境噪声的数据给你提供完全随机的密码。


　　问题解决？对于那些有迫害妄想的记忆狂人，或者那些用指纹识别来保障密码管理软件安全的人来说，确实如此。剩下所有人都甭指望能记住这堆字母汤。他们还说每个账户要有不同的密码！


　　 一个强密码


　　推荐使用的“一个强密码”的原则。考虑到密码在我们的生活中的重要性，记住一个随机字符串还是很值得的。你能记住你的电话号码，为什么不再记一个密码？


　　一旦你找到了你的强密码，“拼你的老命保护它，”用安全专家尼克？贝里（Nick Berry）的话说。尽一切力量让你的电脑远离恶意软件，只在值得信任和重要的网站用这个密码。至于游戏网站和其他不重要的网站，我会用和这个密码完全不同的一个简单密码。


　　偷走密码的办法实在太多，这有理由让我们在不同的网站使用不同的密码。一种定制方案是，取网站名字的最后一个字母，然后把这个字母放在你的密码的开头。比如在Facebook，你就把k放在密码的开头，这样就变成了kRPM8t4ka。尽管这种办法不是绝对的安全，但也不错了。这样即便别人看见你在登陆Facebook时输入的是kRPM8t4ka，他也对如何获得你的银行密码一无所知。群体攻击者会收集成千上万的密码，只要其中有一部分原样也能在别的网站用就成了，剩下那些他很可能不会在乎。


　　总结：怎样不被别人猜中你的密码？


　　做好准备，记住一个好用的强密码。绝对值得。


　　去网站上找真正随机生成的密码，列出五到十个备选密码。


　　只在事关金钱的重要网站使用它。