近期一項來自加拿大康考迪亞大學(xué)的調(diào)研顯示，我們?nèi)粘Ｊ褂玫暮芏嘀W(wǎng)站的密碼安全強度指標(biāo)可能會令用戶誤入歧途。
如果你現(xiàn)在還在通過密碼安全強度指標(biāo)來判斷自己的密碼安全強度，興許這并非什么好事。加拿大魁北克省的康考迪亞大學(xué)最近一項研究結(jié)果顯示，目前密碼安全強度測定方式高度不一致或許會讓用戶誤入歧途。
大量實證分析結(jié)果表示，目前常用的密碼安全強度指標(biāo)高度不一致，無法提供連貫的反饋，有的時候甚至?xí)@而易見地令用戶誤入歧途。
就全球訪問量超高的網(wǎng)站以及知名的密碼管理工具所采用的密碼安全強度指標(biāo)，康考迪亞大學(xué)研究員澤維爾和默罕默德·曼南開展了一項研究和評估。這種常用的密碼安全強度指標(biāo)現(xiàn)如今被蘋果、Dropbox、Drupal、谷歌、eBay、微軟、PayPal、Skype、騰訊 QQ、Twitter、雅虎以及俄羅斯的郵箱服務(wù)商 Yandex Mail 廣泛采用，另外一些專業(yè)的加密服務(wù)商 LastPass、1Password 和 KeePass 也在采用這種指標(biāo)。此外該研究還特意選擇 FedEx 和中國鐵路客戶服務(wù)中心的網(wǎng)站作多樣性對比。
澤維爾和默罕默德·曼南從公開的密碼詞典(甚至包括被泄露的真實密碼)中選取了近 950 萬條密碼，通過專業(yè)的加密服務(wù)來了解密碼安全強度指標(biāo)的實際效用。
互相矛盾的無效密碼鑒定規(guī)則
通常而言，追求密碼長度的密碼安全強度指標(biāo)，各種字符集合(包括各種大小寫字母、數(shù)字和符號)當(dāng)中的一些常用單詞(弱密碼)往往就會被探測。然而對于追求密碼組合的密碼安全強度指標(biāo)則通常會忽略其他容易被猜中的密碼模式，比如在密碼"Leet" 中，用數(shù)字「1」來替代字母"L」。
匪夷所思的密碼鑒定結(jié)果
令人困惑的是，幾乎完全相同的密碼竟然會得出完全不同的結(jié)果。比如密碼「Paypal01」被 Skype 當(dāng)做弱密碼，但是卻被 PayPal 視為強密碼。密碼「Password1」被 Dropbox 當(dāng)做極弱密碼，但是卻被雅虎視為極強密碼，更令人哭笑不得的是「Password1」竟然從微軟的三款密碼檢測工具中獲得三項密碼安全程度結(jié)果，分別是強、弱和中。密碼「#football1」被 Dropbox 視為極弱密碼，卻被 Twitter 視為完美的密碼。
在某些密碼案列中，一些十分微小的密碼變化卻帶來完全不同的密碼安全程度的評價結(jié)果。密碼「password$1」被 FedEx 視為弱密碼，但將密碼略加修改為「Password$1」時，F(xiàn)edEx 就將其視為極強密碼。此外，雅虎將「qwerty」視為弱密碼，當(dāng)將密碼略加修改為「qwerty1」時，雅虎就將其視為強密碼。
谷歌也有同樣的情況，密碼「password0」被視為弱密碼，但將密碼略微修改成「password0+」，卻被谷歌視為強密碼。令人匪夷所思的是，F(xiàn)edEx 竟然將天書般的密碼「+ˆv16#5{]」視為弱密碼，理由是改密碼并未包含大寫字母，天理何在!
研究人員在調(diào)研報告中寫道，「一些密碼安全強度指標(biāo)本身都非常弱且不連貫，比如雅虎和 Yandex，人們不禁納悶差別如此之大的密碼安全強度指標(biāo)到底能起到什么作用。」
不透明的密碼分析算法
澤維爾和默罕默德·曼南認為不透明的密碼檢測工具會帶來弊端，用戶對于完全不一致的密碼檢測結(jié)果感到十分困惑
調(diào)研報告寫道，「除了 Dropbox 和 KeePass(某種程度上)在密碼實驗中解釋了其內(nèi)在的密碼設(shè)置的要求或者強密碼的設(shè)定規(guī)則邏輯。除了 Dropbox 和 KeePass，在密碼實驗中，我們發(fā)現(xiàn)各網(wǎng)站和密碼工具的密碼安全強度指標(biāo)的設(shè)計都有著各自特定的方法，所以才導(dǎo)致將某些弱密碼視為強密碼。目前較為簡單的 Dropbox 密碼檢測工具有著較高的密碼分析效率，可以說是走到了檢測密碼安全程度的正軌上。另外 KeePass 也采用了類似的密碼分析算法?！?/p>
澤維爾和默罕 默德·曼南建議這些網(wǎng)站服務(wù)商應(yīng)在自家的密碼安全強度指標(biāo)中采用通用且公開的密碼分析算法，比如 Dropbox 所采用的 zxcvbn 算法或者 KeePass 的開源密碼工具。
令人困惑的是，幾乎完全相同的密碼竟然會得出完全不同的結(jié)果。比如密碼「Paypal01」被 Skype 當(dāng)做弱密碼，但是卻被 PayPal 視為強密碼。密碼「Password1」被 Dropbox 當(dāng)做極弱密碼，但是卻被雅虎視為極強密碼，更令人哭笑不得的是「Password1」竟然從微軟的三款密碼檢測工具中獲得三項密碼安全程度結(jié)果，分別是強、弱和中。密碼「#football1」被 Dropbox 視為極弱密碼，卻被 Twitter 視為完美的密碼。
a&s傳媒是全球知名展覽公司法蘭克福展覽集團旗下的專業(yè)媒體平臺，自1994年品牌成立以來，一直專注于安全&自動化產(chǎn)業(yè)前沿產(chǎn)品、技術(shù)及市場趨勢的專業(yè)媒體傳播和品牌服務(wù)。從安全管理到產(chǎn)業(yè)數(shù)字化，a&s傳媒擁有首屈一指的國際行業(yè)展覽會資源以及豐富的媒體經(jīng)驗，提供媒體、活動、展會等整合營銷服務(wù)。
粵公網(wǎng)安備 44030402000264號
