不管是個(gè)人用戶(hù)，還是企業(yè)，網(wǎng)絡(luò)安全都是一個(gè)不能忽視的話(huà)題，但是關(guān)于網(wǎng)絡(luò)安全的信息都有很強(qiáng)的時(shí)效性，今天采取的安全措施有用，明天可能就不起作用了。

在互聯(lián)網(wǎng)上，充斥著許多關(guān)于網(wǎng)絡(luò)安全、保護(hù)隱私的“野知識(shí)”，這些知識(shí)可能是從遠(yuǎn)古時(shí)代的書(shū)籍上被上傳到網(wǎng)絡(luò)上，也可能是來(lái)源于個(gè)人經(jīng)驗(yàn)吸取的一些錯(cuò)誤教訓(xùn)。

一些普通大眾沉迷于這些方法，他們認(rèn)為這些方法有效，可以保護(hù)自己的賬號(hào)不被竊取盜用，有一些保護(hù)網(wǎng)絡(luò)安全的知識(shí)，甚至已經(jīng)成為了某一些公司的制度。

誤區(qū)一：定期修改密碼

1960年，著名計(jì)算機(jī)科學(xué)家費(fèi)爾南多·科爾巴托將“密碼”部署到相容分時(shí)系統(tǒng)后，正如他本人所承認(rèn)的那樣，密碼安全成了網(wǎng)民的噩夢(mèng)，但我們也不得不承認(rèn)，這是一項(xiàng)偉大的進(jìn)步。

[[435925]]

從那時(shí)起，關(guān)于如何使用、保管以及更改網(wǎng)絡(luò)密碼的各種建議，或者關(guān)于密碼相關(guān)的公司制度一直在傳播。

技術(shù)水平的限制，決定了我們?cè)撊绾喂芾碜约旱拿艽a。比如互聯(lián)網(wǎng)早期，密碼系統(tǒng)限制了字符的數(shù)量和類(lèi)型，密碼不能包含各種各樣的符號(hào)，用戶(hù)為了記憶方便，使用短密碼的現(xiàn)象非常普遍，這才出現(xiàn)了很多平臺(tái)要求用戶(hù)“定期修改密碼”的現(xiàn)象。

現(xiàn)代操作系統(tǒng)和安全系統(tǒng)，已經(jīng)讓設(shè)置短密碼和定期修改密碼過(guò)時(shí)了。不過(guò)個(gè)人用戶(hù)設(shè)置電腦的登錄密碼，可能會(huì)使用短密碼。一些銀行、電子商務(wù)網(wǎng)站的服務(wù)系統(tǒng)，也會(huì)使用短密碼，這些安全系統(tǒng)可能因?yàn)樵愀獾能浖O(shè)計(jì)，或者出于對(duì)跨站腳本攻擊、SQL注入的恐懼，不得不對(duì)密碼的設(shè)置進(jìn)行限制。

這種限制無(wú)疑會(huì)降低密碼的復(fù)雜性，削弱其安全性。

如果密碼系統(tǒng)沒(méi)有限制，我們應(yīng)該設(shè)置一個(gè)足夠長(zhǎng)、復(fù)雜且對(duì)自己來(lái)說(shuō)容易記住的密碼，而不是設(shè)置一個(gè)短密碼，定期去更改它，這樣只會(huì)讓密碼更難記住。

誤區(qū)二：不使用雙因子驗(yàn)證

一般來(lái)說(shuō)，有三種不同類(lèi)型的證明，可以證明一個(gè)人的身份：

• 只有自己知道，別人都不知道的信息，比如密碼
• 自己的私人物品，比如手機(jī)號(hào)碼、身份證
• 個(gè)人生物信息，比如指紋、人臉、虹膜

雙因子驗(yàn)證指的是，同時(shí)需要兩個(gè)因素滿(mǎn)足，請(qǐng)求才能被通過(guò)的方法。最常見(jiàn)的雙因子驗(yàn)證比如網(wǎng)上銀行的U盾，用戶(hù)只有插上U盾，同時(shí)輸入密碼才能登錄網(wǎng)上銀行。

再比如在不常用的手機(jī)上登錄微信時(shí)，輸入手機(jī)驗(yàn)證碼的同時(shí)，還可能需要好友輔助驗(yàn)證，或者用舊手機(jī)的微信掃碼。

國(guó)內(nèi)許多網(wǎng)站在輸入密碼的時(shí)候，也會(huì)要求用戶(hù)提供短信驗(yàn)證碼，這些都是雙因子驗(yàn)證的例子。

很多人認(rèn)為雙因子驗(yàn)證不安全，比如易受中間人攻擊、會(huì)被釣魚(yú)等等，礙于成本、用戶(hù)體驗(yàn)等因素，不使用或不強(qiáng)制用戶(hù)使用雙因子驗(yàn)證，這種做法是十分錯(cuò)誤的。

實(shí)際上不采用雙因子驗(yàn)證所帶來(lái)的隱含成本遠(yuǎn)遠(yuǎn)比采用雙因子驗(yàn)證所需要的成本高得多。對(duì)于黑客對(duì)常見(jiàn)云服務(wù)進(jìn)行暴力破解，雙因子驗(yàn)證可以使90%的嘗試失敗，另外10%只會(huì)導(dǎo)致潛在的可恢復(fù)的拒絕服務(wù)。

除了以上這兩種，你還見(jiàn)過(guò)哪些看似安全的做法，其實(shí)沒(méi)什么用呢?