你以為你認為的好密碼就是好密碼？ _你認為

什么是好的密碼？幾乎每個網(wǎng)站給出的標準都差不多：長度必須超過8位數(shù)；它應(yīng)該包含大寫和小寫字母、數(shù)字和符號；不要使用字典中出現(xiàn)的任何單詞，包括部分替換(例如，使用p@ssword或fai1不好) 。

只要你的密碼符合這些標準，基本上網(wǎng)站都會獎勵你一個強綠色的密碼標志——好密碼。但事實上，你和網(wǎng)站都錯了。為什么呢？原因應(yīng)該從密碼是如何破解的開始。

黑客如何破解密碼

網(wǎng)站通過將輸入的密碼與數(shù)據(jù)庫中的密碼進行比較來驗證用戶。但這些密碼一般不是以明文存儲，而是通過哈希算法單向加密，輸出結(jié)果無法逆向工程。例如，“123456”的SHA-1哈希算法的結(jié)果是7110 EDA409 e062 aa54 a390 b0 a572 AC0 d2c0220，通過這個結(jié)果無法知道原始密碼。

然后，用戶登錄時輸入的密碼將使用相同的哈希算法進行計算，然后與數(shù)據(jù)庫中存儲的正確密碼哈希值進行比較。如果一致，則輸入的密碼正確。

獲得散列密碼文件的黑客可以使用暴力破解來比較哪個帳戶與哪個密碼相關(guān) 。它們可以從更簡單的密碼開始，可以從以前的攻擊字典或通用字典中搜索，然后與單詞結(jié)合。

如果密碼長度短，使用的字符集只有大小寫，破解速度會快很多。黑客可以使用彩虹表(預(yù)先計算的哈希值)來加速暴力破解。從邏輯上來說，采用復(fù)雜異常的密碼應(yīng)該是一個不錯的選擇(比如像Spooning1！因為不常見，所以很難被納入彩虹表。但事實并非如此。

因為現(xiàn)在的計算能力很強，蠻力破解利用普通計算機結(jié)合顯卡陣列的GPU能力，每秒可以處理10億到1000億個SHA-1算法加密的密碼。但是，如果密碼有11位、12位或更多的數(shù)字，并且是從所有可能的字符中隨機生成的，即使它有如此強大的計算能力，暴力破解方法也非常困難。

講故事，設(shè)密碼

但問題是大多數(shù)人不會使用隨機生成的密碼。當然，人們不使用隨機密碼是有原因的，因為隨機密碼很難記住(大腦機制是這樣的，很難記住隨機的字母數(shù)字符號組合) 。麻煩就在這里，因為那些“好密碼”規(guī)則已經(jīng)被黑客熟知。馬庫斯雅各布松指出，這實際上是密碼設(shè)置的安全性和可用性之間的矛盾。

在研究中，雅各布松發(fā)現(xiàn)有些人用“蘋果”是因為他們喜歡蘋果，但是網(wǎng)站需要大寫字母，所以他把第一個字母改成了a，可能網(wǎng)站說不安全，也一定有數(shù)字和字母。通常，用戶會選擇最簡單的方式來滿足規(guī)則，然后添加一個1，然后一個！——“蘋果1！” 。根據(jù)之前的密碼設(shè)置規(guī)則，“Apples1！”這無疑是一個好密碼(至少和那些壞密碼相比) 。

但是黑客在破解的時候往往會做同樣的事情，利用字典和個別字母替換，以及上面提到的常用數(shù)字和符號擴展來縮短破解時間(比如利用馬爾可夫鏈技術(shù)進行預(yù)測) 。2013年年中，三位安全專家對一個泄露的數(shù)據(jù)庫進行了測試，一小時成功率為60%，而20小時成功率達到90% 。

相反，雅各布松建議用戶使用所謂的“快速寫詞”方法來設(shè)置密碼，也就是用幾個單詞來組織一個故事，從而形成一個密碼組合。比如跑步時踩到松鼠，很快就能被記住是“奔跑的森林松鼠” 。這種方法因為有故事所以容易記住，但是因為使用的人物數(shù)量通常超過10到12個，除非破解者采用其他技術(shù)，比如組詞，否則很難破解蠻力法。但是組詞的可能性幾乎是無限的，對于蠻力破解來說幾乎是無法解決的。

話雖如此，在設(shè)置密碼時也不能亂講故事。研究人員發(fā)現(xiàn)，通過“快速密碼”方法設(shè)置的密碼的安全性取決于所使用的組合出現(xiàn)在語料庫中的概率。比如微軟語料庫WebN-gramServices中頻繁出現(xiàn)的“我愛你親愛的”就是2/100，000，000，這是一個比較糟糕的密碼。然而，講述上班路上不小心壓扁一只青蛙的故事的“青蛙功平”的概率只有百萬分之一到三次方，強度非常高。所以，要得到一個好的密碼，關(guān)鍵是把你的故事講好。

【你以為你認為的好密碼就是好密碼？】 但是，密碼專家認為，更好的方法是采用雙因素認證來確保安全性，這樣不安全的密碼就不會成為抵御攻擊的唯一屏障。