電腦密碼需易記又安全，但大部分人的密碼只是易記，并不安全。研究者們正在尋找能兼顧兩者的辦法。
密碼在電腦安全防護中是無(wú)處不在的，但它們卻常常起不到保護作用。好的密碼必須容易記憶又不易破解，可是人們在應用中似乎更注重于容易記憶，而非不易破解。妻子、丈夫和子女的名字被廣泛用于密碼中。還有些人把密碼設置得極為簡(jiǎn)單，如《經(jīng)濟學(xué)人》一位前任副主編多年來(lái)用一個(gè)字母“Z”作密碼。曾經(jīng)有黑客從一個(gè)叫“RockYou”的社交游戲網(wǎng)站偷盜了3200萬(wàn)密碼，結果發(fā)現：這個(gè)網(wǎng)站1.1%的用戶(hù)（36.5萬(wàn)人）使用的密碼是“123456”或“12345”。
根據密碼設置的可預見(jiàn)性，電腦安全研究者（以及黑客）編制了常用密碼辭典，這給那些試圖破解密碼的人提供了方便。但是，雖然研究者知道密碼是不安全的，卻很難弄清楚不安全的程度到低有多高。因為很多研究使用的樣本太小，最多也就是幾千個(gè)密碼。像“RockYou”這樣被入侵的網(wǎng)站提供了比較大的樣本，但是在使用這類(lèi)信息時(shí)有道德方面的問(wèn)題，而且這類(lèi)信息也是偶然才被披露的。
然而，在一篇提交給某電腦安全研討會(huì )的論文中，作者披露了一些過(guò)去不為人知的有關(guān)密碼的真相。這個(gè)研討會(huì )是紐約一個(gè)專(zhuān)業(yè)團體“電子和電氣工程師協(xié)會(huì )”組織的。牛津大學(xué)的約瑟夫?邦努和互聯(lián)網(wǎng)公司雅虎合作，得到了迄今為止最大的、包括7千萬(wàn)密碼的樣本。雖然樣本中的用戶(hù)都是匿名的，但還是揭示了這些用戶(hù)的很多有用信息。
邦努先生發(fā)現了一些很有意思的現象。如年齡較大的用戶(hù)比年輕顧客的密碼安全度要高（那些諳熟技術(shù)的年輕人不在意這些事）。說(shuō)韓語(yǔ)和德語(yǔ)的用戶(hù)的密碼安全度最高，說(shuō)印尼語(yǔ)的用戶(hù)的密碼安全度最低。與保護敏感信息如信用卡號碼有關(guān)的密碼只比不太重要的游戲用戶(hù)密碼等安全度略高一點(diǎn)兒。用戶(hù)注冊時(shí)出現的密碼安全度的提示實(shí)際上不起什么作用。那些賬戶(hù)曾被入侵過(guò)的用戶(hù)在重置密碼時(shí)，并不比那些沒(méi)遇到過(guò)問(wèn)題的用戶(hù)謹慎多少。
但是最使電腦安全研究者們感興趣的還是對樣本的總的評估。盡管各個(gè)用戶(hù)組的情況有所不同，但這7千萬(wàn)用戶(hù)的密碼從總體上說(shuō)仍然具有高度的可預測性，無(wú)論是對于整個(gè)樣本來(lái)說(shuō)，還是對于各個(gè)用戶(hù)組來(lái)說(shuō)，都可以編制出可以有效地用于破解密碼的詞典。邦努先生很坦率地說(shuō)：“黑客猜測十次就可以破解的密碼，大約占到總樣本的1%?！边@在黑客看來(lái)是一個(gè)相當理想的結果。
一個(gè)明顯有效的措施，是在密碼輸入一定次數仍不正確后，禁止登錄網(wǎng)站，就像取錢(qián)機實(shí)行的辦法。雖然一些超大的網(wǎng)站如谷歌和微軟等采取了這樣的措施（以及其它一些措施），但很多網(wǎng)站并沒(méi)有這樣做。邦努先生和他的同事在2010年調查了150個(gè)大型網(wǎng)站，其中有126個(gè)沒(méi)有猜測次數的限制。
產(chǎn)生這種狀況的原因尚不明了。對于有些網(wǎng)站來(lái)說(shuō)，因為沒(méi)有什么特別有價(jià)值的東西如信用卡信息需要保護，密碼安全可能不是一個(gè)十分重要的問(wèn)題。但是對密碼安全的寬松態(tài)度會(huì )給那些安全性能好的網(wǎng)站也帶來(lái)問(wèn)題，因為人們通常在若干不同的網(wǎng)站使用同樣的密碼。
有一種觀(guān)點(diǎn)認為，在密碼安全上的寬松態(tài)度是互聯(lián)網(wǎng)幼年時(shí)期留下的文化遺產(chǎn)，因為那時(shí)的學(xué)術(shù)研究網(wǎng)絡(luò )不需要憂(yōu)慮黑客入侵。還有的認為，很多網(wǎng)站創(chuàng )立之初資金短缺，在電腦安全上采取額外措施會(huì )花費大量的程序編制時(shí)間。所以它們在開(kāi)始時(shí)省略了這個(gè)步驟，以后也再也沒(méi)有費神去補救。不管是什么原因，這種情況使一些人不愿再等待網(wǎng)站采取措施，而是思考替代傳統密碼的一些辦法。
天帆?平仄?廉價(jià)?泥人（Skysail dactyl gimcrack golem）
其中一種替代方法是使用多詞密碼，稱(chēng)之為“聯(lián)詞口令"。在密碼中使用幾個(gè)詞而不只是一個(gè)詞，使黑客必須猜測更多的字母，這就提高了密碼的安全度。但前提是，選取的聯(lián)詞不會(huì )被熟練使用某種聯(lián)詞字典的人所破解，而這種可能性總是存在的。
邦努先生和他的同事?？颂佧惸?舒托瓦曾經(jīng)分析了網(wǎng)購商亞馬遜所使用的聯(lián)詞口令系統，亞馬遜在2009年10月到2012年2月容許它的美國用戶(hù)使用這個(gè)系統。他們發(fā)現，雖然聯(lián)詞口令比密碼的安全度確實(shí)高些，但并不像預期的那樣理想。由四五個(gè)隨機選取的詞組成的口令（像上面小標題那樣的聯(lián)詞）確實(shí)相當安全，但是要記住它比記住幾個(gè)隨機選取的密碼還難。這又一次說(shuō)明，人們對容易記憶的需要總是使黑客有機可乘。通過(guò)搜尋互聯(lián)網(wǎng)上的詞語(yǔ)如電影名字、體育用語(yǔ)和俗語(yǔ)等，邦努先生和舒托瓦編篡了一個(gè)包括20656個(gè)詞的字典，借助這個(gè)字典，亞馬遜數據庫中1.13%的用戶(hù)口令可以被破解。
研究者們還推測，即便那些不使用著(zhù)名詞語(yǔ)的人，仍然會(huì )傾向于使用在日常語(yǔ)言中常見(jiàn)的搭配模式，因而不是完全隨機的。他們從“英國全國語(yǔ)料庫”（牛津大學(xué)出版社編篡的包括一億單詞的語(yǔ)庫）和谷歌的“N元組”語(yǔ)料庫（NGram Corpus，從谷歌的網(wǎng)站瀏覽者用語(yǔ)中收集）隨機抽取二聯(lián)詞，與亞馬遜樣本的聯(lián)詞口令進(jìn)行了對比。果不其然，大眾英語(yǔ)中常見(jiàn)的單詞搭配方式與亞馬遜用戶(hù)選取的聯(lián)詞方式有很多重合之處。在研究者測試的形容詞-名詞組合（如“漂亮女人”）中，約13%是重合的；副詞-動(dòng)詞組合（如“大概保持”）的重合率也有5%。
解決這個(gè)問(wèn)題的辦法之一是，綜合密碼和連詞口令的各自?xún)?yōu)點(diǎn)，創(chuàng )造一種“易記密碼”。它看起來(lái)像是一串毫無(wú)意義的字母或符號，但實(shí)際上并不難記憶。如，抽取一個(gè)句子中每個(gè)字的首位字母，區分大小寫(xiě)，并用一些符號替換字母（如用1替換y），我們可以得到這樣一個(gè)易記密碼：wXhf1（我喜歡翻譯）。不過(guò)，易記密碼也并不是無(wú)懈可擊的，2006年發(fā)表的一項研究說(shuō)，借助一本根據歌詞、電影名字等編篡的字典，一個(gè)易記密碼樣本中4%的密碼被破解。
這個(gè)問(wèn)題可能永遠沒(méi)有正確答案。任何安全措施都是煩人的（經(jīng)常坐飛機的人都知道），人們希望安全，但又希望什么事都簡(jiǎn)單易行，這兩者總是沖突。只要這個(gè)沖突存在，黑客總是有機可乘.
聯(lián)系客服
