浅谈密码破译

关于密码破译，今天见到一篇文章，读来心中甚是激动，特记录在案。

目录

密码破译

1.两种方式

2.双重验证系统2FA

3.密码登录的常见方式

3.1 基于 存储密码 的密码登录步骤

3.2 基于 密码散列 的密码登录步骤

4.暴力破解散列

---

密码破译

1.两种方式

1.目前不法分子窃取账号密码的主要方式还是

• “撞库”
• 钓鱼网站

2.双重验证系统2FA

2.双重验证系统（2FA）
该系统并未被大范围或强制推广，绝大部分平台仍不支持2FA.

百度百科：2FA，2 Factor Authentication，双因子验证，是一种安全密码验证方式。区别于传统的密码验证，由于传统的密码验证是由一组静态信息组成，如：字符、图像、手势等，很容易被获取，相对不安全。2FA是基于时间、历史长度、实物（信用卡、SMS手机、令牌、指纹）等自然变量结合一定的加密算法组合出一组动态密码，一般每60秒刷新一次。不容易被获取和破解，相对安全。 

3.密码登录的常见方式

3.1 基于 存储密码 的密码登录步骤

使用密码登录应用程序时，所需步骤顺序如下：

1. 用户输入密码（传送密码并进行验证）

2. 所输入的密码与记录密码进行比对

3. 如果二者相同，用户可继续访问应用

然而，密码传送和存储的安全性堪忧。

3.2 基于 密码散列 的密码登录步骤

为了保障安全，许多系统将用户密码的散列储存在数据库中，而不是密码本身。密码散列本身是不可逆杂乱密码；如果黑客获取了密码散列，无法反推密码。

在此类加密系统中，密码登录的步骤顺序如下：

1. 用户输入密码

2. 本地计算散列（密码）并进行传送

3. 对比记录的散列

4. 如果二者相同，用户可继续访问应用

4.暴力破解散列

对于使用散列的加密系统，如果黑客入侵密码数据库，他们仍无法获取用户密码。由于黑客无法通过密码散列反推密码，他们进行以下操作：

1. 任意猜一个密码

2. 计算该密码加密文件

3. 对比实际散列

4. 重复上述步骤，直到猜中密码

这听起来是一个浩大的工程，但如果使用机器，可同时作出1000个猜测。在无数的可能性中随机找到真正的密码就不费吹灰之力了。

本文章参考 公众号  读芯术