口令安全系列之二——帶你見證強口令的誕生
發(fā)布時間： 2016-01-11 11:42:18
在上一期中，我們介紹了弱口令的前世今生，相信大家已經了解了弱口令的產生以及一個強壯口令的判斷標準。然而，很多人不禁會提出這樣的疑問：我們要維護那么多的賬號口令，如果每個口令都設置的比較復雜，怎么能記得住呢？本期信息安全資訊就來給大家介紹一些設置好用又好記的口令的方法。
一、口令分級
考慮到現代社會各類賬號之間往往具有許多的關聯(lián)性，如公司的郵箱賬號和OA賬號或其他辦公系統(tǒng)賬號是一樣的，某個個人郵箱可能被作用于多個常用網站的用戶。因此，當攻擊者獲取了某個用戶賬號和口令以后，可能會將該賬號口令嘗試登錄多個常用的網站或系統(tǒng)以達到利益最大化。要真正避免上述情況的發(fā)生，只有為每一個系統(tǒng)配置不同的口令才能做到，然而實際生活中幾乎沒有人能夠真正記住那么多數量的口令。因此，賬號口令進行分類，針對不同類別的賬號設置不同級別的口令成為了一種折衷和可行的方式。
根據賬號口令泄露可能產生的風險程度，我們可以把賬號口令分為重要、中等、一般三個不同的級別，針對每個級別設計不同的口令，這樣我們就能夠在只記錄少量口令的情況下降低口令泄露帶來的風險。
上述分級方式，我們只需要記錄5~6個口令即可滿足日常的需求，在實際使用的時候只要確認一下系統(tǒng)的級別，最多通過兩到三次的嘗試即可正常登錄系統(tǒng)。采用上述分級方式設計口令通常重要級別的越高的口令，使用的范圍越小，泄露的風險也越小，結合口令復雜度要求就能夠很好的保護口令安全。
二、強口令設計技巧
通過口令分級的方式能夠比較好的降低我們需要記憶的口令數量，但是記憶5~6個復雜口令依然不是一件容易的事，如何將口令設置的又強又好記呢？這里給大家介紹一些技巧。
1）選取合適的元素
在上一期中我們已經了解了黑客在建立弱口令字典的時候首先會選取一些常用和易猜測的元素，如常見的數字字母組合、常見的按鍵位置組合、用戶名、公司名稱、產品名稱、日期年份等。因此，選取不易猜測的元素來組成我們的口令就是一個很關鍵的動作，這些元素首先要易于記憶，同時要與自身和系統(tǒng)關聯(lián)性比較低，屬于攻擊者難以獲取或不易聯(lián)想的內容，滿足這兩個條件的元素就可以成為組成強口令的元素了。以下是一些比較合適組成口令的元素：
●興趣愛好，如喜愛的書、音樂、電影、電視劇、明星、美食、運動等
●古詩詞、俗語、諺語、名人名言
●具有特殊意義的人名、地名，如兒時的玩伴、邂逅美好愛情的咖啡廳等
●心底的愿望：要減肥、周游世界、中彩票等
2）將元素轉化為口令
選取好合適元素之后，我們就需要將元素轉化成口令，這里推薦兩種轉化的方法，替換法和拼接法。
替換法的核心思路是將元素先轉化成拼音首字母，然后使用一些方式替換其中部分字母，形成不易猜測的口令，替換法通常用于較長的元素，如古詩詞、俗語、諺語、名人名言等。常用的替換思路如下：
●用數字替換代表數字的字母
●用英文單詞替換部分詞語，建議替換部分變?yōu)榇髮?/p>
●用拼音全拼替換某個首字母，建議替換部分變?yōu)榇髮?/p>
●用某個相似的特殊符號代替某個首字母
●根據元素的語氣在句末增加標點符號。
靈活運用以上部分，就可以形成又好記又能滿足口令復雜度要求的口令。以“一行白鷺上青天”為元素的情況做例子，先將該詩句轉化為首字母yhblsqt，然后進行替換：
使用第1、2、5條規(guī)則，用1替換字母y，使用SKY替換字母qt（青天），在句末加入句號，變?yōu)?ldquo;1hblsSKY.”
使用第1、3、4條規(guī)則，用1替換字母y，用TIAN替換字母t，用$替換字母s，變?yōu)?ldquo;1hbl$qTIAN”
以上兩個口令長度均為10，包含數字、大小寫字母、符號，口令復雜度高且只要記住古詩就很容易記住口令。
熟練掌握替換法可以設計出很多有趣又強大的口令，如
●y4yhl9DAY.（疑是銀河落九天。）
●45DUjywtk~（45度角仰望天空~）
●1ghh3gHELP!（一個好漢三個幫！）
●4kr,sbkREN?（是可忍，孰不可忍？）
如果覺得上述方式太麻煩，或者選取的元素比較短不足以獨立形成口令怎么辦呢？那么可以使用更加簡單快捷的拼接法。拼接法的思路更加簡單，按照以下三個步驟就可以完成：
第一步：選擇兩個關聯(lián)性小元素將其進行轉化為首字母。（如元素1為歌名，則元素2不應為對應的歌手或電影，可以選擇運動、美食、兒時伙伴等無關的元素）
第二步：選擇一個喜歡的數字和符號，為了便于記憶，可以選擇某個數字及在鍵盤上代表的符號，不同的口令可以選擇相同的拼接符。
第三步：用選擇的數字和符號將兩個元素拼接起來，其中一個元素全為大寫。
例如：
●QHC1!ychdzx（青花瓷拼接陽澄湖大閘蟹——最喜歡的歌和美食）
●myz2@WHKL（羋月傳拼接文化苦旅——最喜歡的電視劇和書籍）
●XSKDJS3#ymq（肖申克的救贖拼接羽毛球——最喜歡的電影和運動）
●XBKDF4$ldh（星巴克咖啡拼接劉德華——最喜歡的咖啡店和偶像）
●WOJF5%zcp（我要減肥拼接中彩票——新年愿望）
掌握了上述的口令設計技巧，設計5~6個常用的強口令你還覺得困難嗎？快去修改一下自己常用的口令吧。
當然，人們對美好生活的向往和追求是無止境的，也許還有人覺得記錄5~6個口令還是太過繁瑣，尤其是在應用系統(tǒng)較多的情況下如何將口令和應用對應起來還是比較困難，那么請關注新東網信息安全資訊口令安全系列下一期內容——教你使用自動化工具管理口令。
閩公網安備 35010202001006號