【世界密码日】这些年，大家一起用的弱密码 – 作者:softnext守内安

您知道每年五月的第一个星期四是世界密码日吗？现代人生活节奏快，每天忙忙碌碌，您关心过自己的密码是否安全吗？在世界密码日，了解一下那些容易被忽视的密码问题吧。

根据splashdata的统计，2019 年的十大弱密码仍是那几个熟悉的面孔，和 2018 年的榜单做个比较，上榜的密码大同小异，虽然“sunshine”跌出 Top 10 榜单，但也仍位居第30名，新进榜的还有更弱的“123123”。 “123456”依然稳稳拿下弱密码冠军的宝座。

什么是弱密码呢？容易被人或计算机轻易猜出的密码，容易被暴力破解的密码，遭到外泄后、经统计使用率高的密码，以及默认固定且未经修改的密码，例如设备或软件的出厂密码；比如简单的数字组合、与账号相同的数字组合、键盘上的临近键或常见姓名，例如“123456”、“abc123”、“Michael”等。

根据最新美国标准与科技研究院（NIST）所提出的建议，高强度的密码设定原则，最好包括15个字符以上，并由几个不相干的名词或数字组成：例如，VisonExamAttention2020YouLove，这样超长的密码可套用自己才知道的逻辑进行组合，比随机数形成的密码方便记忆，也不容易被破解。另外，若无任何证据显示密码有外流的情况，频率过高的更换密码，为难的不是入侵者，而是密码的用户！

密码的保护，除了应避免使用弱密码外，也必须考虑外来的尝试与破解！当系统遭遇错误率过高的外来的密码尝试时，应直接封锁尝试的来源，而非将该账号封锁，这样才能在避免“暴力破解(Brute-force attack)”、“字典文件攻击(Dictionaryattack)”与“密码喷洒(Password Spraying)”的时候，不至于困扰拥有正确密码的主人。

最后，也是大家最容易疏忽的事：千万不要在多个服务平台都使用同一组密码！一旦任一服务平台发生密码外泄事件时，使用相同密码的其他服务平台也会跟着一起泄露！

ASRC 研究中心的安全提醒

l  选择用户保护较严谨的系统服务，例如一定要有密码防猜的机制。

l  切记，不要一组密码走天下。不同的服务平台间使用相同的密码，只要一个服务平台的密码外泄，很容易牵连其他服务平台的账户，尤其网络银行登入密码更要避免重复使用。

l  避免使用公开在外或社群网站可见的生日、姓名、手机等数据作为密码。

l  双因子验证的搭配使用，比定期更换密码更有用。

来源：freebuf.com 2020-05-07 15:48:54 by: softnext守内安