搜索

[16885] 2021-06-09_“安全运营”的实践之道，到底要不要复杂密码？

文档创建者：s7ckTeam
浏览次数：23
最后更新：2025-01-18
2021-06-09_“安全运营”的实践之道，到底要不要复杂密码？ “ 安 全 运 营 ” 的 实 践 之 道   ， 到 底 要 不 要 复 杂 密 码 ？ A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 6 - 0 9 以 最 常 见 的 网 络 安 全 问 题 弱 密 码 这 个 话 题 而 展 开 一 下 。 相 信 到 目 前 为 止 ， 大 部 分 企 业 所 采 用 的 一 个 最 佳 I T 实 践 必 定 是 采 用 复 杂 密 码 ， 不 管 是 哪 篇 文 章 ， 哪 本 书 籍 ， 不 管 是 C I S S P 还 是 C I S P ， 要 求 用 户 使 用 强 密 码 是 必 然 存 在 的 一 个 准 则 。 而 每 次 攻 防 演 练 中 ， 用 户 弱 密 码 或 者 缺 省 密 码 往 往 成 为 了 攻 击 的 最 优 解 。 由 弱 口 令 导 致 的 攻 击 事 件 实 令 人 心 惊 胆 战 ， 弱 密 码 ， 空 密 码 ， 缺 省 密 码 以 及 明 文 密 码 等 逐 一 被 挖 掘 出 来 ， 涉 及 由 弱 口 令 导 致 的 攻 击 事 件 实 令 人 心 惊 胆 战 ， 弱 密 码 ， 空 密 码 ， 缺 省 密 码 以 及 明 文 密 码 等 逐 一 被 挖 掘 出 来 ， 涉 及 不 乏 有 企 业 重 要 业 务 系 统 和 核 心 基 础 设 施 的 账 号 安 全 问 题 不 乏 有 企 业 重 要 业 务 系 统 和 核 心 基 础 设 施 的 账 号 安 全 问 题 。 为 了 解 决 这 种 问 题 ， 有 些 企 业 重 刀 下 要 求 ， 要 求 员 工 使 用 1 2 位 甚 至 1 6 位 以 上 的 密 码 ， 设 定 密 码 策 略 ， 必 须 符 合 大 小 写 ， 数 字 ， 特 殊 符 号 齐 全 的 强 密 码 策 略 。 我 们 今 天 就 该 问 题 进 行 一 些 讨 论 。 美 国 国 家 标 准 与 技 术 研 究 院 （ N a t i o n a l   I n s t i t u t e   o f   S t a n d a r d s   a n d   T e c h n o l o g y ， N I S T ） 发 表 了 一 篇 文 章 ， 名 为 “ D i g i t a l I d e n t i t y   G u i d e l i n e s “ 挺 有 意 思 ， 大 家 有 兴 趣 的 可 以 去 看 看 原 文 ， 地 址 后 面 附 上 ， 这 篇 文 章 讲 了 一 些 身 份 标 识 的 使 用 准 则 ， 我 这 里 简 单 给 大 家 讲 讲 。 这 些 准 则 为 实 施 数 字 身 份 服 务 的 联 邦 机 构 提 供 技 术 要 求 ， 并 不 打 算 在 此 目 的 之 外 限 制 标 准 的 制 定 或 使 用 。 这 些 准 则 的 重 点 是 对 通 过 开 放 网 络 与 政 府 系 统 进 行 互 动 的 主 体 进 行 认 证 ， 确 定 某 位 申 请 者 是 先 前 已 被 认 证 的 用 户 。 认 证 过 程 的 结 果 可 以 由 执 行 认 证 的 系 统 在 本 地 使 用 ， 也 可 以 在 联 合 身 份 系 统 的 其 他 地 方 宣 称 。 该 文 件 定 义 了 三 个 认 证 器 保 证 级 别 中 每 个 级 别 的 技 术 要 求 。 （ A A L 1 ， A A L 2 ， A A L 3 ， 详 情 见 文 内 表 格 ） 该 出 版 物 取 代 了 N I S T 特 别 出 版 物 （ S P ） 8 0 0 - 6 3 - 2 的 相 应 部 分 。 这 篇 文 章 噼 里 啪 啦 地 讲 了 一 大 堆 ， 我 们 主 要 看 5 . 1 . 1 . 2   M e m o r i z e d   S e c r e t   V e r i f i e r s ， 中 文 不 太 好 翻 译 ， 但 意 思 应 该 容 易 理 解 ， 我 直 译 了 一 下 ， 密 码 验 证 器 ， 文 中 指 出 几 点 ： 密 码 长 度 需 为 8 位 以 上 ， 并 允 许 最 大 长 度 为 6 4 位 的 可 见 字 符 （ 参 考 R F C 2 0 标 准 ） P I N 码 必 须 是 6 位 以 上 密 码 必 须 无 任 何 “ 提 示 ” 信 息 ， 且 不 应 提 示 任 何 特 殊 类 型 的 信 息 ， 比 如 “ 你 家 的 第 一 只 宠 物 猫 的 名 字 是 什 么 ？ ” 在 处 理 新 增 或 变 更 密 码 请 求 时 ， 将 根 据 如 下 列 表 且 不 限 于 如 下 列 表 进 行 验 证 并 排 除 该 密 码 的 变 更 请 求 被 列 名 的 已 知 弱 密 码 ， 比 如 q w e r t y 常 见 字 典 词 ， 比 如 p a s s w o r d 等
重 复 的 或 连 续 的 字 符 ， 比 如 a a a a a a ， 1 2 3 4 ， a b c d 等 特 定 背 景 的 词 ， 比 如 服 务 的 名 称 ， 用 户 名 ， 以 及 其 他 衍 生 品 应 向 用 户 提 供 指 导 ， 如 密 码 强 度 表 ， 帮 助 用 户 选 择 一 个 容 易 记 的 强 密 码 应 施 行 密 码 错 误 锁 定 策 略 应 允 许 使 用 粘 贴 选 项 ， 这 是 为 了 方 便 使 用 密 码 管 理 器 进 行 密 码 粘 贴 ， 密 码 管 理 器 在 许 多 情 况 下 增 加 了 用 户 选 择 更 强 密 码 的 可 能 性 应 允 许 用 户 在 输 入 密 码 的 时 候 短 暂 显 示 每 个 输 入 的 字 符 ， 以 验 证 正 确 的 输 入 ， 尤 其 适 用 于 移 动 设 备 。 一 系 列 的 点 或 星 号 输 入 经 常 导 致 密 码 输 入 错 误 ， 而 在 最 后 使 用 V i e w 查 看 输 入 的 密 码 却 又 会 带 来 其 他 风 险 不 应 该 对 该 密 码 强 加 其 他 组 合 规 则 （ 例 如 ， 要 求 不 同 字 符 类 型 的 混 合 或 禁 止 连 续 重 复 字 符 ） 服 务 存 储 密 码 必 须 保 证 能 对 抗 高 强 度 的 离 线 破 解 ， 必 须 采 用 适 当 的 单 向 密 钥 加 密 函 数 并 采 用 加 盐 散 列 提 供 ， 其 中 盐 值 必 须 为 至 少 3 2 位 长 度 请 求 密 码 时 必 须 使 用 经 过 批 准 的 加 密 和 认 证 的 受 保 护 通 道 ， 以 避 免 窃 听 和 中 间 人 攻 击 使 用 多 因 素 认 证 ， 并 规 定 了 软 硬 件 单 、 多 因 素 认 证 的 标 准 尽 管 从 可 用 性 和 安 全 性 的 角 度 来 看 ， 密 码 的 使 用 普 遍 令 人 沮 丧 ， 但 它 们 仍 然 是 一 种 广 泛 使 用 的 身 份 验 证 形 式 。 然 而 ， 在 日 常 生 活 中 ， 我 们 需 要 记 忆 的 密 码 太 多 ， 线 下 的 ， 线 上 的 ， 社 交 的 ， 企 业 的 ， 各 种 各 样 的 都 需 要 密 码 ， 所 以 我 们 往 往 选 择 容 易 被 猜 中 的 密 码 ， 或 者 弱 密 码 。 为 了 解 决 由 此 产 生 的 安 全 问 题 ， 各 种 在 线 服 务 均 已 经 出 台 了 一 些 规 则 ， 以 增 加 这 些 密 码 的 复 杂 性 。 其 中 最 值 得 注 意 的 是 密 码 组 合 规 则 ， 它 要 求 用 户 选 择 使 用 混 合 字 符 类 型 ( 例 如 至 少 一 个 数 字 、 大 写 字 母 和 符 号 ) 构 造 的 密 码 。 然 而 ， 对 被 破 解 的 密 码 数 据 库 的 分 析 显 示 ， 尽 管 对 可 用 性 和 可 记 忆 性 的 影 响 非 常 严 重 ， 但 此 类 规 则 的 好 处 并 不 像 最 初 认 为 的 那 么 重 大 。 用 户 选 择 密 码 的 复 杂 性 经 常 使 用 信 息 论 中 的 熵 概 念 来 表 征 。 虽 然 对 于 具 有 确 定 性 分 布 函 数 的 数 据 ， 熵 值 可 以 很 容 易 地 计 算 出 来 ， 但 是 对 用 户 选 择 的 密 码 的 熵 值 进 行 估 计 是 困 难 的 ， 而 且 过 去 的 努 力 并 不 是 特 别 准 确 。 出 于 这 个 原 因 ， 本 文 提 出 了 一 种 不 同 的 、 稍 微 简 单 一 些 的 方 法 ， 主 要 基 于 密 码 长 度 。 许 多 与 使 用 密 码 相 关 的 攻 击 不 受 密 码 复 杂 度 和 长 度 的 影 响 。 键 盘 记 录 器 、 网 络 钓 鱼 和 社 会 工 程 攻 击 对 冗 长 、 复 杂 的 密 码 和 简 单 的 密 码 同 样 有 效 。 这 些 攻 击 不 在 本 文 讨 论 的 范 围 之 内 。 长 度 长 度 口 令 长 度 是 描 述 口 令 强 度 的 主 要 因 素 。 太 短 的 密 码 会 导 致 暴 力 攻 击 以 及 使 用 单 词 和 常 用 密 码 的 字 典 攻 击 太 短 的 密 码 会 导 致 暴 力 攻 击 以 及 使 用 单 词 和 常 用 密 码 的 字 典 攻 击 。 所 需 的 最 小 密 码 长 度 在 很 大 程 度 上 取 决 于 所 处 理 的 威 胁 模 型 。 通 过 限 制 允 许 的 登 录 尝 试 的 速 率 ， 可 以 减 轻 攻 击 者 试 图 通 过 猜 测 密 码 登 录 的 在 线 攻 击 。 为 了 防 止 攻 击 者 ( 或 老 打 错 字 的 ) 通 过 多 次 错 误 的 猜 测 ， 轻 易 地 对 用 户 实 施 拒 绝 服 务 攻 击 ， 密 码 需 要 足 够 复 杂 ， 以 便 在 多 次 错 误 尝 试 后 不 会 出 现 速 率 限 制 ， 但 确 需 要 实 施 限 制 当 发 现 有 成 功 猜 测 的 情 况 。 当 攻 击 者 通 过 数 据 库 漏 洞 获 得 一 个 或 多 个 散 列 密 码 时 ， 有 时 可 能 发 生 离 线 攻 击 。 攻 击 者 确 定 一 个 或 多 个 用 户 密 码 的 能 力 取 决 于 密 码 的 存 储 方 式 。 通 常 ， 密 码 是 用 一 个 随 机 值 和 散 列 处 理 的 ， 最 好 使 用 一 种 计 算 代 价 昂 贵 的 算 法 。 即 使 有 了 这 些 措 施 ， 目 前 攻 击 者 每 秒 计 算 数 十 亿 哈 希 的 能 力 ， 而 且 没 有 速 率 限 制 ， 这 要 求 抵 御 此 类 离 线 攻 击 的 密 码 比 预 计 只 能 抵 御 在 线 攻 击 的 密 码 要 复 杂 几 个 数 量 级 。 应 该 鼓 励 用 户 在 合 理 范 围 内 设 置 自 己 想 要 的 密 码 长 度 。 由 于 哈 希 密 码 的 大 小 与 它 的 长 度 无 关 ， 如 果 用 户 希 望 的 话 ， 没 有 理 由 不 允 许 使 用 冗 长 的 密 码 ( 或 短 语 ) 。 但 过 长 的 密 码 ( 长 度 可 能 为 兆 字 节 ) 可 能 需 要 过 多 的 散 列 处 理 时 间 ， 因 此 有 一 些 限 制 是 合 理 的 。
复 杂 度 复 杂 度 如 上 所 述 ， 密 码 的 组 合 规 则 通 常 用 于 试 图 增 加 猜 测 用 户 选 择 的 密 码 的 难 度 。 然 而 ， 研 究 表 明 ， 用 户 以 非 常 可 预 测 的 方 式 响 应 组 合 规 则 强 加 的 需 求 。 例 如 ， 一 个 用 户 可 能 选 择 了 “ p a s s w o r d ” 作 为 他 们 的 密 码 ， 如 果 要 求 包 含 大 写 字 母 和 数 字 ， 那 么 相 对 来 说 ， 他 可 能 会 选 择 “ P a s s w o r d 1 ” ， 或 者 “ P a s s w o r d 1 ! ” 如 果 还 需 要 一 个 符 号 的 话 ， 我 想 这 点 很 多 人 都 干 过 。 当 用 户 创 建 的 复 杂 密 码 的 尝 试 被 拒 绝 时 ， 用 户 一 般 会 说 “ 靠 ， 这 都 不 行 ， 真 烦 “ ？ 许 多 应 用 拒 绝 使 用 空 格 和 各 种 特 殊 字 符 的 密 码 。 在 某 些 情 况 下 ， 不 接 受 特 殊 字 符 可 能 是 为 了 避 免 依 赖 于 这 些 字 符 的 不 接 受 特 殊 字 符 可 能 是 为 了 避 免 依 赖 于 这 些 字 符 的 S Q L 注 入 之 类 的 攻 击 。 注 入 之 类 的 攻 击 。 但 在 任 何 情 况 下 ， 正 确 散 列 的 密 码 都 不 会 完 好 无 损 地 发 送 到 数 据 库 ， 因 此 这 种 预 防 措 施 是 不 必 要 的 。 用 户 还 应 该 能 够 包 括 空 格 字 符 ， 以 允 许 使 用 短 语 。 然 而 ， 空 格 本 身 并 没 有 增 加 密 码 的 复 杂 性 ， 而 且 可 能 引 入 可 用 性 问 题 ( 例 如 ， 未 被 发 现 使 用 两 个 空 格 而 不 是 一 个 ) ， 所 以 在 验 证 之 前 删 除 输 入 的 密 码 中 重 复 的 空 格 可 能 是 有 益 的 。 用 户 的 密 码 选 择 非 常 容 易 预 测 ， 所 以 攻 击 者 很 可 能 猜 测 过 去 成 功 使 用 过 的 密 码 。 这 些 密 码 包 括 字 典 中 的 单 词 和 以 前 的 密 码 ， 比 如 “ P a s s w o r d 1 ! ” 。 出 于 这 个 原 因 ， 建 议 将 用 户 选 择 的 密 码 与 不 可 接 受 的 密 码 的 “ 黑 名 单 ” 进 行 比 较 。 这 个 列 表 应 该 包 括 来 自 以 前 的 入 侵 泄 露 过 的 密 码 、 字 典 词 汇 和 用 户 可 能 选 择 的 特 定 词 汇 ( 如 服 务 本 身 的 名 称 ) 。 由 于 用 户 对 密 码 的 选 择 也 将 受 最 小 长 度 要 求 的 约 束 ， 因 此 该 字 典 只 需 要 包 含 满 足 该 要 求 的 条 目 。 高 度 复 杂 的 密 码 引 入 了 一 个 新 的 潜 在 的 弱 点 ： 太 复 杂 ， 记 不 住 。 而 且 更 有 可 能 被 以 不 安 全 的 方 式 记 录 下 来 ， 比 如 写 到 纸 上 ， 或 者 用 E x c e l 记 录 。 虽 然 这 些 做 法 不 一 定 容 易 受 到 攻 击 ， 但 从 统 计 学 上 讲 ， 一 些 记 录 此 类 秘 密 的 方 法 将 会 受 到 攻 击 。 反 过 来 讲 ， 这 也 是 一 个 不 需 要 太 长 或 太 复 杂 的 密 码 的 另 外 一 种 考 虑 。 随 机 随 机 P I N 密 码 密 码 文 中 还 提 到 6 位 数 的 随 机 生 成 的 P I N 码 已 经 足 够 强 壮 ， 可 以 作 为 密 码 使 用 的 一 个 考 虑 。 总 结 总 结 如 果 对 密 码 的 长 度 和 复 杂 度 要 求 超 过 了 这 里 推 荐 的 程 度 ， 将 显 著 增 加 密 码 记 忆 的 难 度 ， 并 降 低 用 户 的 易 用 性 。 因 此 ， 用 户 经 常 以 适 得 其 反 的 方 式 绕 过 这 些 限 制 。 此 外 ， 其 他 的 密 码 缓 解 措 施 ， 如 黑 名 单 、 安 全 散 列 存 储 和 速 率 限 制 ， 在 防 止 现 代 暴 力 攻 击 方 面 更 有 效 。 因 此 ， 当 密 码 验 证 框 架 完 善 ， 对 该 类 密 码 而 言 ， 其 实 并 不 需 要 附 加 复 杂 性 要 求 。 参 考 ： 参 考 ： 1 .   N I S T   S p e c i a l   P u b l i c a t i o n   8 0 0 - 6 3 B 2 .   P a s s w o r d   p o l i c y   r e c o m m e n d a t i o n s   -   M i c r o s o f t   3 6 5   a d m i n   |   M i c r o s o f t   D o c s 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理