密码管理的几个建议

最近的密码泄露风波让大家对密码安全有了更深一层的认识。不仅如此，密码安全更是全世界人们都必须重视的东西。根据英国卫报消息，美国战略预测公司网站遭到黑客攻击，85万注册用户信息遭泄密。其中221名英国国防部军官和242名北约官员邮件地址遭泄露，密码均可轻易破解。更多美国军方人士个人信息也遭泄密。美国前副总统丹-奎尔以及前国务卿基辛格的个人信息竟然也在其中。密码安全好似相处已久的恋人，平时虽无特别的感受，但等到不得不分手时才感到追悔莫及。

通常来说，密码安全性受个人技术能力，社会工程学知识，管理习惯等因素影响。不过好的密码管理习惯可以有效的增强密码安全性强度，甚至在密码发生泄露之后最大程度的减少损失。这里我们就来谈谈如何养成好的密码管理习惯。

密码创建

密码的创建非常重要，他是有效保护账户安全的第一步。强密码应该使用由数字和大小写英文字符组成，长度应该至少在 8 位以上，如此一来，该密码的可能组合至少为 10^6×26^2×7×8 种，使用暴力破解的方式代价极大。除此之外，密码字符应该尽可能多，甚至参杂标点符号。同时密码中不能出现有意义的单词，与个人生日、姓名有关的字符或者各类电话号码，总之不能是其他人能够轻易获取到的任何个人信息，密码应该只对你自己有意义。遗憾的是，通过分析 CSDN 泄露出的密码数据库，使用 123456789 作为密码的用户居然有 23 万之多，可见的密码安全在很多人心中的地位并不重要。

创建了强密码之后是否就意味着一劳永逸呢？当然不是的，你密码不应该是唯一的，理想情况下，每个账户都应该使用不同的密码。不过遗憾的是人类的大脑并不如电子记忆体一般，能够一次保存，永久读写，因此建议采取分级密码管理的方式为重要程度不同的账户创建不同的密码。比如，普通论坛账户对于安全性的需求较低，对于黑客来说也不会有特别大的价值，因此可以采用较为简单密码。而银行账户、电子支付账户和重要联系工具，比如电子邮箱、即时通讯账户则应该使用强度非常高的密码进行保护。在最近的 CSDN 密码泄露事件中，有不少用户的在注册邮箱中使用的密码和 CSDN 密码完全相同，导致了不可估量的后果。由于邮箱和大量 ID 绑定，各种 ID 都可以通过邮箱找回，因此一旦邮箱丢失，相当于丢失了所有采用此邮箱注册的 ID 。

密码使用

临时使用了旅馆的计算机之后，我朋友的 QQ 遭到盗窃，并向所有好友借钱。这是现在仍然流行的一种诈骗方式。由此可见，哪怕你有长达 18 位的标点，数字与字母混合密码，正确的使用方式仍然十分重要。密码使用时的第一个要点就是不要在不熟悉的计算机上输入密码。这些计算机可能安装有特殊的键盘记录程序，可以记录每一次击键输入。即便不得不使用密码，也可以采取以下措施：

使用屏幕键盘
不要记住登录状态且使用完毕后完全退出
回到自己的计算机上修改密码

密码在使用时还需要考虑到一些其他因素。除了老生常谈的“不要将密码泄露给他人”之外，有些用户的密码泄露居然是因为遭到了旁窥。在实际操作中，也应该使用额外的安全措施降低密码在使用中泄露的机会。除了为自己的计算机安装安全软件，用户还应该谨慎分辨要求输入密码的场合是否有异常，以免被钓鱼网站利用。有些网站提供了密码输入控件和额外的验证服务，比如短信验证码等，都是不错的安全加强手段，我们稍后会仔细谈一谈。

密码维护

除了日常使用以外，密码也需要定期的维护。维护密码最常见的一个目的就是防止遗忘。这个 ID 我已经多久没有使用了？我还记得他的密码吗？这个 ID 是在哪个网站注册的？他还有效吗？这些都是密码维护过程中需要注意的问题。除此之外，密码维护也包含了对密码的定期更换。谁都无法保证在密码使用过程中的绝对安全，因此定期对关键密码进行更换也是十分重要的。通常来说，新更换的密码应该从未在任何地方被使用过，且无法从已有的密码中被类推出来。密码维护还包含一个非常重要的步骤，就是检查已有的密码是否已经发生泄露。常见的检查方式就是通过网站的账户记录检查工具查看账户是否有异常的登录信息或者操作记录，依此确认密码是否发生了泄露。

密码维护能够使得密码安全性得到显著加强，是必不可少却常被人们忽视的一个步骤。

特殊密码（身份凭据）

QQ 令牌，淘宝手机密令， Google 身份验证工具，以及魔兽密保卡/安全令牌和各大银行的短信登录验证码/ USB Key 都是强度很高的额外身份验证工具，通常来说，他们的安全性强度排列如下：

令牌（动态密码，安全性最强）=短信验证码> USB Key > 密保卡

各类手机令牌/实体电子令牌是目前安全性最佳的身份验证工具，强烈建议每位用户使用，尤其是手机令牌并不会给智能手机用户带来额外的费用，却能够显著增强安全性，非常值得推荐。这类令牌在绑定后，会给用户提供一个额外验证码。网站会在用户进行登录操作时要求用户输入这个验证码，否则便无法登陆。验证码每几分钟就会改变一次，且每个验证码只能使用一次，因此即便有人获取了其中一个，也无法登陆用户的账户。使用令牌几乎不会降低安全性，除非网站服务器中的根证书被盗，导致所有令牌被破解。此外，即便实体电子令牌/手机被盗，账户仍有密码保护，黑客无法仅凭借令牌登录。目前也没有任何已知的黑客技术能够从用户的智能手机上直接获取动态密码。

短信验证码是手机服务运营商和网银常见的的一种验证手段，但由于智能手机的普及，已经有很多已知的黑客技术能够从用户的手机上取得短信，因此其安全性不如手机令牌要高。不过作为一种额外的身份验证手段，它并不会因此降低密码安全性。如果黑客没有同时取得用户的密码，也无法凭借短信验证码登录。在两台不同的计算机上申请所取得的验证码也完全不同。因此短信验证码仍是一种不错的额外身份验证服务。

各类银行的 USB Key 实际上是一个内置了加密证书的只读存储器，用户在安装了特殊的应用软件之后，能够通过该证书进行身份验证并进行加密通讯。 USB Key 通常由银行颁发，作为用户在登录网银时的身份验证。 USB Key 的强度取决于网银配套软件的安全性强度，如果黑客能够破解网银应用软件的安全防护，当然也就能够伪造各种交易指令了。因此， USB Key 最好也仅在自己信任的计算机上使用，且在不使用时从计算机上拔出。

密保卡是动态密码的一种原始版本，通常动态密码是一张 10 × 10 的表格，每个格子里填写有一位数字或字母，登录网站时，用户会被要求依次输入几个格子内的字符，这些格子的位置都是随机选出的，因此即便黑客能够取得其中几个格子中的字符，也无法获取整张密保卡的内容，从而登录用户帐户。不过，许多用户为了方便，将密保卡扫描到计算机中，给了黑客可乘之机。此外，黑客如果持续监视某一账户，在用户多次执行登录操作之后，就能够大致得到整张密保卡的内容，因此密保卡是一种不完美的动态密码，其动态的范围是有限的，并不能够真正实现一次一秘。

其他密码管理

移动设备，诸如运行 iOS 和 Android 系统的智能手机已经承载了太多功能，大到各类金融交易，小到各类私人事务的处理都可以在上面完成。因此，智能手机上的密码安全性也应该予以重视。智能手机除了应该和个人计算机一样，不要安装来路不明的软件之外，还有一些值得注意的安全性漏洞：

手机锁屏界面通常是一个四位数字的 PIN 码或者九宫格的图案锁，由于手机屏幕表面常常覆盖着一层污垢，因此经常点击的位置会变得十分明显。如果不怀好意的人盗取了你的智能手机，他们能够通过观察屏幕表面得到作为密码的图案或者数字，这是十分危险的，为了避免这种情况的产生，建议用户在设置 PIN 码时重复一位数字，使得黑客无法确认哪一位是被重复的数字，以提高安全性。在设置九宫格图案锁时重复一个路径点，也能够混淆图案的真实画法。此外，在 iOS 和 Android 设备上都有一些提供远程锁定，资料清除和设备追踪的服务，用户也可以启用它们来给设备提供额外的安全性加强。