40多年以來，IT界一直在密碼戰役中屢戰屢敗。前段時間的的明星iCloud帳號入侵事件只是我們眾多引人注目的失敗案例之一。因此，如密碼這樣看似簡單的事情，為何卻如此困難?

[[121998]]

密碼安全的問題在于它是如此簡單，事實上它又如此矛盾困難。在安全方面，世界上最危險的事情是‘你認為你知道’，因為這樣你就不會懷疑你的知識。如果你問一位典型的IT安全專家是否理解密碼，絕大多數會自信及堅決地回答”是”。但如果真這么絕對的話，為何與密碼相關的數據泄密卻又如此普遍?

我們不是在討論保護密碼存儲的技術問題。相反，我們是在討論人為部分。人們繼續選擇糟糕的密碼。典型的例子，2013年最常見密碼是"123456"，第二位為"password"一詞，第三位"12345678"。是的，久負盛名、最受喜愛的"iloveyou"、"letmein"、"abc123"，以及"princess"每年也都在常用密碼名單內。

那么為什么用戶很少關注他們的密碼呢?部分原因是人們(包括明星)認為不會有人謀求他們的帳號。這是老舊的”這不會發生在我身上”的心態。且其原因也在于我們傳遞給用戶的密碼信息通常也有錯誤。

IT安全界持續犯的最大錯誤之一在于：推動用戶執行特別復雜的密碼，但并沒有就此真實含義提供實際的指導。如果我們使得用戶記住一個密碼過于困難，"123456"是必然的最終結果。在極少數情況下，用戶確實創建了一個復雜的密碼，但它通常太短且被用于他們所有的網站(在家或者工作中的)包括電子購物和網上銀行。這意味著任何一個站點上的數據泄露可能導致潛在的破壞性后果。

揭穿復雜密碼的真相

“復雜密碼”這一術語也許是IT界被誤解最深的術語，也是今天眾多密碼問題的原因所在。往往"復雜密碼"等同于"無法記住"。我們必須意識到復雜度僅僅是很小的一方面。不僅僅是復雜度的問題，還有不可預測性(密碼熵是一個有用的密碼可預測性衡量方法)。這正是一個好密碼的關鍵所在。

一個不可預測的密碼可能是用戶易于記住的。使用大小寫、數字及特殊字符(經典復雜性規則)為佳，只要我們不只專注于那些規則。例如，采用字符串"Iwentfishing4timeslastmonth?"。這個密碼(或者更準確是一個密碼短語)易于記憶且易于輸入。它不是可預測的，它還是一個復雜密碼，其中包含了我們一直建議的大寫/小寫/數字/特殊字符。

任何易于用戶記憶的簡短句子或格言都可以作為密碼。采用格言且增加少許復雜性規則，你立刻會擁有極強的密碼，它將不會在黑客字典中被發現，且只能通過暴力方式被破解。根據Gibson研究公司暴力破解密碼計算器，暴力破解上述"Iwentfishing4timeslastmonth?" 例子，即使以每秒100萬億的猜測速率，也將需要花費76.43*1030世紀。那是一個相當強的密碼短語。

用戶可以遵循這種方式選取幾個字符串，并開發一個公式，通過修改字符串使其適用不同站點。例如， 設置一個Facebook密碼，可以添加"FB"和該用戶的畢業時間，這樣密碼就成了"FB89Iwentfishing4timeslastmonth?"等等。我會建議使用較這個簡單例子更為復雜的公式，但原理相同。使用這種方法，用戶現在能擁有一個極強的、易于記憶和易于輸入的密碼，且在每個他們訪問的站點使用不同的密碼。這樣就完美了嗎?當然它還不是。但是它遠勝于用"123456"這樣的密碼用于30個不同站點。

另一個技巧是盡可能創建唯一的用戶名。盡管許多站點要求用戶以電子郵件地址作為用戶名，但某些金融機構會允許創建特殊的用戶名。如果用戶將他或她的電子郵件地址設置為所有站點的用戶名(尤其還有著相同密碼)，任何一個站點的用戶名信息被泄露，那么追蹤用戶的其他站點信息將變得簡單。對于涉及錢的任何站點使用唯一用戶名將是一個好辦法，正如在這些關鍵站點使用不同密碼短語字符串。

作為一個安全社區，我們必須做好信息傳達，告訴用戶如何創建好的密碼。我們必須讓用戶了解"123456"并不是一個可行的密碼，而且難于記憶的密碼也是不必要的。要成功傳遞這條消息意味著，我們自身必須更好地理解密碼的不可預測性。只有到那時，我們才有希望向我們的用戶解釋這條信息。