关于“用户密码”的一些原理和设置建议

目的：

          提高一下身边人的密码安全意识。

前言：

          最近爱奇艺账号充了个会员，某天突然发现头像被改（十分非主流），一查登录记录，被吓了一跳（见图1.1）。跟客服反馈，各种槽点就不吐了，今天就主要说说从自身的角度如何提高密码安全性。

如有说得不准确，欢迎指出。 第一部分从几个方面讲原理，觉得乏味的可以跳过这一部分，直接看 第二部分设置一个较为安全密码的步骤。

      

         图1.1

第一部分：

1、好的密码是如何定义的?

      安全、易用。

     密码应该是 安全的。我设置的密码只能是我自己知道、我想要知道的人知道，除此之外，我不希望再有任何人知道。从原则上来说，负责验证该密码的平台也不应该知道该密码（的明文，什么是明文在下文会说到）。

     密码应该是 易用的。存储关键的密码我不信任任何一款在线或离线的文本记录工具，我只信任我的大脑，But the brain is not a machine，我容易忘记密码。

     好的密码应该是 兼顾这两方面的。    

2、容易存在的密码安全隐患有哪些？

     I、密码 过于简单。

          密码仅由少数位的字母或数字组成，容易被穷举暴力破解。

     II、密码通 用性过强。

          多个平台的账号使用同一密码，这些平台又有邮箱或者手机号码等常用于平台登录的信息，一个密码被破解，连着的一系列用户密码都如同虚设。

3、密码实际上是如何存储和校验的？

     首先解释一下 明文与 密文。

     明文指的就是用户所知道的密码，比如我想登录一个网站，把密码设置为“shaochengcheng123456”，“shaochengcheng123456”就是明文。

     密文如这样“ sha1 : c29debbb80c7074aa335c5ae51ae73816c638b29”，由一长串16进制的字符所组成，提交的明文密码最后经由一系列的加密、传输和加密之后会与明文进行比对，当两者一致时，方可通过用户认证。

     密码用密文存储和验证主要是考虑到当密码发生泄漏时，控制密码的原文不被泄漏，缩小密码泄漏的影响，保护用户的密码隐私。不同的平台原则上应该采用不同的加密方式，对密码进行不同的加盐处理等，让获取密码密文者 不能推出密码原文。

     

     请注意我的用词，我说的是不同的平台 原则性会维护用户的密码安全，但不排除有安全意识不够或不负责的公司在这一方面并没有进行周详的考虑，他们也许采用一些公共的加密算法，又或者他们本身就是那些盗取你密码信息的“黑商”。当你以手机号码、电子邮箱作为用户信息在这些平台上注册信息时，并且使用的是你的通用密码，后果就不用我说了吧，一旦到了这种时候，真就是“人为刀俎我为鱼肉”。

     (也不必恐慌，现在我们使用的重要信息平台银行、支付宝、微信一般都需要进行 二次登陆验证，常见的有手机短息验证。)

4、想要破解你的密码，究竟有多难？

     破解密码常用的方法有 穷举法和 字典对照表法。

      穷举法就是通过机器计算排列组合，一遍一遍对密码进行尝试，直到获得正确的密码。了解了穷举法的原理，你就明白什么是平台注册时所说的密码强度。为什么有的平台要求你设置密码必须由字母、数字或符号组成，密码长度又必须大于多少位，这些都是在增加穷举演算出密码的难度。现在电脑的计算能力越来越强，又有了分布式集群计算，计算资源丰富，平台对用户设置密码的强度的期盼当然也就越来越高，其实这一点与用户对密码的易用性期待是相违背的，在第二部分我会抛出我的方法，如何在增强密码强度的同时兼顾易用性。

     电脑穷举运算密码能力的具体参数请参考下面这篇文章。当然，在信息高速发展的今天，也要注意时效性哦。

      http://www.cnblogs.com/lixiong/archive/2011/12/24/2300098.html     

      字典对照表法指的是从几个维度存储密码密文到明文的映射关系。例如，当你拿到一个密文，你可以在这个对照表里查询到对应该密文的原文信息，从而将明文密码锁定在很小的一个范围（相对穷举法来说）。如果这个对照表足够大，如果被破解密码的平台用的是公共加密算法，那么密码从密文到明文就近在咫尺了。

 

第二部分：

说了这么多，接下来说一说我的密码设定方法，当然，聪明的你一定知道自己在设定密码时也 不能完全按部就班，重点是touch思想，有所启发，有所 多样。

从密码的 强度和 通用性考虑，最终设置的密码是由以下几点综合而成。

1、 设置两套密码。一套用于不太重要的场合，例如论坛、视频网站等娱乐平台；另一套用于涉及到个人隐私、个人财产的重要平台。

      

     密码A（娱乐场合）：123456

     密码B（重要场合）：1314151910

2、 增加密码复杂性。例如增加自己名称的首 字母、增加几个容易记忆的 符号例如“!@#”

     

     张三

     密码A：zs123456!@#

     密码B：zs1314151910!@#

3、 减少密码的通用性。根据不同平台，增加不同的前缀。例如爱奇艺为“iqiyi”。

     爱奇艺

     密码A：iqiyizs123456!@#

     密码B：iqiyizs1314151910!@#

     微信

     密码A：wechatzs123456!@#

     密码B：wechatzs1314151910!@#

结语：

          希望能对你有用，毕竟现在是信息化的时代，不要成为新时代的“文盲”哦。

著作权归 shaochengchengip@qq.com  邵成程所有，商业转载请联系本人，侵权必究。