# 谁来拯救我们的密码

- 作者：陈一斌
- 发布时间：2013-01-20 11:39
- 分类：公司
- 原文：https://www.ifanr.com/237320

[![5893658292_9f76f4a546_z](https://s3.ifanr.com/wp-content/uploads/2013/01/5893658292_9f76f4a546_z.jpg)](https://s3.ifanr.com/wp-content/uploads/2013/01/5893658292_9f76f4a546_z.jpg)

有人还记得连线的编辑 Mat Honan 吗？去年 11 月，他的密码被黑客攻破，电脑、平板电脑、手机上的资料都被清洗。在事后反思的时候，他无不感慨的说，“密码和人类的文明历史一样古老。但由于它们的存在，人们无休止地破坏它。”

在新时代，个人信息四处流转，容易被人利用——国内“社会工程学”式的攻击已经令不少人蒙受损失。几个字母，电子邮件地址，一些安全提示的问题，已经无法保护我。现在计算机的性能在不断提高，暴力破解密码的方式也已成为可能。再复杂的密码，只要被人盯上，那就是不安全的。

网络的本质就是信息无边界的流转。如何才能超越“密码”，来抵挡互联网无孔不入的特性呢？其中一个方式是 Google 的“二步验证法，当你需要登录个人账户的时候，需要输入手机上的验证码。但 Google 还打算用一种更加安全的方式来保护个人信息，因为他们发现，一些“坏人”会用“钓鱼”的方式，骗到用户的密码。根据[连线的报道](http://www.wired.com/wiredenterprise/2013/01/google-password/all/)，Google 选择与安全厂商 Yubico 合作。

Yubico 的产品是 Yubikey，这是一个小型的 USB 设备，当插入电脑之后，设备上的绿环会亮起，表示已经成功地被电脑识别为 USB 键盘，并可以正常传输字符。说到这里，想必大家已经比较清楚，Yubikey 的作用是代替我们生成复杂的密码。

当用户按下 YubiKey 的按键之后，设备就生成一个由 44 个字符所组成的字符串，其中有 12 个字符是 Yubikey 的设备 ID，其余的 32 个字符则是由英文字母乱序组合的一次性密码——尽管字符范围有所限制，但由于是一次性密码，而且长度达 44 位，强度已经足够。而根据 [Tom Olzak 介绍](http://www.techrepublic.com/blog/security/yubikey-potential-and-possibilities/899)，Yubico 还提供了一个工具，让将 Yubikey 从一次性密码生成器变为静态密码库。 现在，Yubikey 还可以与密码管理服务 Lastpass 相结合起来，甚至支持 NFC 加密技术。

Google 打算让 Chrome 支持 Yubikey，当用户浏览网络的时候，只要按下 Yubikey，以及点击一次鼠标，就能完成注册。而下次登录网站的时候，也只需按下 Yubikey 便可输入密码。以往的密码保护方式是“以人脑为中心”的，而现在 Google 则提倡一种“以设备为中心”的保护方式。

之前，我们也曾总结[密码管理的](http://www.ifanr.com/68649)几种额外身份的验证工具中，令牌（动态密码）、短信验证码的安全性最强——但果然这个世界没有“最”，只有“更”。