你的密码安全吗？——索尼事件的教训

最近的索尼丑闻震惊世界，有7700 万帐户数据，自成立于 2010 年 4 月的索尼网路娱乐国际（SNEI）公司泄露而出。泄漏的信息包括姓名、 性别、住址、电子邮件地址、账号等，由于很多用户是重复登记或者是游戏玩家使用预付卡，所以泄露的信用卡信息较 7700 万要少，但仍然有接近1千万条。

幸运的是，系统中的密码经过哈希加密（单向加密），也没有***访问这些数据的迹象。因此，用户的钱可能并没有被盗。如果此次事件是由喜欢制造此类社会丑闻，同时过去与索尼有过不愉快经历的***组织“Anonymous”所为，根据其历史，此次行动可能不是出于金钱动机。

问题是不论如何，索尼已经承认了这次众所周知的安全漏洞***，并声明宣布他们将立即设立 CISO （首席信息安全官）职位。通常情况下，CISO向首席信息官（CIO）汇报；然而近日，CISO 直接向首席执行官（CEO）汇报的情况正在增加。这一趋势表明，信息安全已经成为企业的头号责任。

为什么这种安全漏洞这次没有进行修补呢？每个人都这么忙而无暇顾及吗？大多数情况下，问题在于最高层管理者虽然知道了，但没有提供资金和工作人员支持去立即缓解这种风险。因此，即使设立了 CISO 职位，也不能预防以后的问题，除非给CISO绝对的授权。

虽然索尼包括本田，都有类似丑闻浮出水面，但仍有太多没有被曝光的帐户信息泄漏事件。
您的账号和密码安全吗？

 
统计数据显示，73%的人在多个帐户中使用相同的密码。对普通人来说可能难以记住每一个账户的不同密码。我也是其中之一。
因此，如果您也是这 73% 的一份子，我劝您：

A.要使用不同的密码，特别是至少对于您的财务账号。
在纸上记下这些密码，但永远不要把它们放在您的电脑，包括电子邮件里。当您联网时，聪明的***可以搜索到您 pc上的数据。

B.另一种方法是提前检查该公司的帐户系统安全性。
1. 创建帐户时，首先设置假密码。
12127950 或 bK39Ay22aRo，什么都行。
2. 立即致电服务中心并报告他们“我已忘记密码”。
3. 接电话的坐席人员将询问您的家庭电话号码、 您的出生日期，和/或母亲的婚前姓名等以验证您的身份。
4．如果系统向您发送一个新密码，并要求您"用此临时密码登陆，并自己重置一个新密码"，那么您可信任此站点。这对于用于任何非财务目的密码应该是安全的。
5．如果系统向您预设的电子邮件地址发送您的初始密码，那么 a) 随便设置一个密码，即便将来被某些人窃取也无关紧要（千万不要设置与财务账务相关的密码）；或 b）停止与该公司交易。（如停止使用该公司服务）

你为什么要这样做的原因非常简单。
如果账户密码经过哈希加密并存储在数据库中，那么即使是系统管理员都无法知道您的密码。不同于普通的加密，哈希加密的结果不可逆。
因此，他们唯一能做的是用临时密码替换（这同样也经过哈希加密处理） 。

即使******到系统中，就算其他数据如您的家庭住址很容易被盗，但哈希密码几乎是无法破译的。为什么我说“几乎”，因为即使是经过哈希加密的数据也可以通过某种高速方式（高存储容量的计算机系统）加以解析，即如果***不在乎为解析某一密码花费时间和金钱，从技术上说并没有绝对的限制。因此，如果用“Salt法”进行哈希加密，我们说它更安全。

需要你个人资料进行注册的网站数目早已极速增加。同时，这些网站的安全质量却在显著降低。你的密码是安全的吗？上述的质量测试对你有帮助吗？

 

金道公司服务战略顾问  加藤恒雄

关注企业管理、IT服务管理、IT运维外包、中外经济文化等话题

个人专栏：http://www.gamutsoft.com/expert/list.aspx?nodeid=27