跳至主要内容

你的密码安全吗

你的密码安全吗

redraiment, 2009-08-12

想个好密码不容易





　　Web 2.0时代需要用户主动参与，大大小小的站点都需要你注册登入（连期末课程设计也视此为最低指标）。密码原则上是一个烂在肚子里的字串，只有自己知道且容易回忆。容易回忆就意味着这一串字符对自己来说具有某种意义，但真要找到一串字符既有意义又不广为人知还的确不太容易。于是很多人选择迁就“容易记忆”，比如下列几类常用的密码：
  1. 类似111111、123456等潜意识型的密码；
  2. 和帐号一样或者稍做修改；
  3. 用自己（或家人）的名字、生日、身高、手机号码等；
  4. 用Ilovexxx，xxx520等，臭屁点的人还会用woshitiancai之类的密码。
  5. ...
　　还有很多类似的密码，有兴趣的话可以下载一些“黑客字典”来参考。总结起来，大多数密码都是在自身或周边取材，或经过简单的变化。因此，破解密码的过程其实也就是了解对方的过程，如果我对你非常熟悉，了解你就像了解我自己一样，你的生活习惯、喜好厌恶我都清楚，甚至你在想什么我都知道。那才你的密码不就等于想像一下自己会设什么密码（黑客们觉得这样很有趣，反感暴力破解）。而在这个开发的Web 2.0时代，通过人肉搜索收集个人信息可谓轻而易举。
　　所以，提高密码的复杂度可能并不是简单的组合数学问题，尤其是那些心里藏不住秘密的人。

驻扎的网站是否够安全

　　即使找到了一个安全的密码，也不过是万里长征的第一步。你驻扎站点的安全性又如何呢？每个时期都有其代表性的漏洞，我刚接触计算机时SQL注入漏洞就像今天的XSS一样风靡，即使是《黑客防线》等专业黑客站点也一样难幸免。黑客在取得服务器的绝对权限后，所有用户的密码都成为了明码。
　　这并不是问题的关键，真正糟糕的地方还是在人本身：人都是有惰性的！你可以检查一下自己的密码：QQ、邮箱、网游……是不是用的都是相同（或相似）的密码？取得其中任何一个，几乎就是一卡通了。
　　用户尚且如此，很多站长也同样是懒人。有多少中小型站点是按默认配置来运行的，哪天你无聊完全可以拿/data/dvbbs7.mdb这个路径去匹配动网论坛，指不定就下载到后台数据库。
　　碰到一些霸道的站点，下载个文件还得注册，对于这些一次性光顾的网站，你注册时得多留一个心眼了。

这些站点值不值得信赖

　　纵使访问的网站铜墙铁壁，这些站点值得信赖吗？我们能放心将自己的数据或信息交托给他们保管吗？Google喊出“不作恶”的口号，不管这是不是商业口号，但这不是一件很可悲的事吗：不作恶原本就是一个人的基本素质，却需要如此大肆宣扬。就和褒奖诚实守信、拾金不昧等传统美德一样让人痛心，这其实就承认了这个世道人心本恶。
　　姑且不论有人恶意在自己的站点挂木马钓鱼等。像Google这样的公司将“整个互联网保存到自己的计算机里”，通过对这些数据的分析就能了解一个民族现在关注的事件、我们这一代人的喜好等等敏感信息。兵家的说法是“知己知彼，百战不贻”，我们的信息人家了如指掌，是不是会感觉脊骨发凉呢？

身边的人需不需要警惕

　　上面的技能还都是远程的，还有一些能物理性直接接触。所谓“日防也防，家贼难防”，你是不是了解每个微笑的内涵，是不是清楚电话那头客气的原因，是不是明白偶然邂逅中的必然？黑客们更崇尚用“社会工程学”来获得所需的信息，因为计算机的战争归根到底始终是人与人的战争。以前在瑞中混了三年，远道校网管中心、近到超市保险柜、大到校长办公室、小到心理咨询师，所有密码我都了如指掌，因为他们并不提防我这样一个傻头傻脑的学生。所幸后来是因为XX事情金盆洗手了，不然可能现在也差不多该闯祸了～

这不是结束

　　生活在这开放的时代，到处充满了惶恐，办事都要小心翼翼，网上冲浪举步维艰，你的密码安全吗？


标签：

评论

发表评论

此博客中的热门博文

AutoHotKey 新手入门教程

AutoHotKey 真是一个好玩的工具！短短几行代码就是先了“窗口置顶”、“窗口透明”等功能，之前我还特意为此装了好几个小工具，现在都可以卸掉了。闲来无事，就把 Quick Start 翻译了一下，我没有逐字逐句地翻译，有时候我嫌原文罗嗦就用自己的话概括地描述了一下。 原文地址：http://www.autohotkey.com/docs/Tutorial.htm 教程目录 创建脚本 启动程序 模拟鼠标键盘 操纵窗口 输入 变量与剪切板 循环 操纵文件 其他特性 创建脚本 每个脚本都是一个纯文本文件，由一些能被 AutoHotKey.exe 执行的命令组成。一个脚本可能还包含 热键 和 热字符串 。如果没有热键和热字符串，脚本在启动的时候就会从头依次执行到尾。 创建一个新的脚本： 下载 并安装 AutoHotkey。 右击鼠标，选择 新建 -> 文本文档 。 输入文件名并确保以 .ahk 结尾。例如：Test.ahk。 右击文件，选择 编辑脚本 。 输入以下内容：#space::Run www.google.com 上一行的第一个字符 "#" 代表键盘上的 Windows 键；所以 #space 表示在按住 Windows 键后再按空格键。"::" 后面的命令会在热键激活后执行，在本例中则会打开谷歌主页。继续按下面步骤操作，来执行这个脚本： 保存并关闭该文件。 双击该文件来启动它。在系统托盘里会出现一个新图标。 按下 Windows 和空格键，网页会在默认的浏览器里打开。 右击系统托盘里的绿色图标可以退出或编辑当前脚本。 注意： 可以同时启动多个脚本，并且在系统托盘里都会有一个相应的图标。 每个脚本都能定义多个 热键 和 热字符串 。 想让某个脚本开机即启动，可以将它的 快捷方式放到开始菜单的启动目录里 。 启动程序 命令 Run 可以运行程序、打开文档、网页链接或快捷键。请参看以下示例： Run Notepad Run C:\My Documents\Address List.doc Run C:\My Documents\My Shortcut.lnk Run www.yahoo.com Run mailto:someone@somedoma
发表评论
阅读全文

sed单行脚本学习笔记

Sed单行脚本学习笔记 redraiment, 2009-12-31 回家真好 　　前段时间忙着找工作、项目结题、写报告……反正是总有做不完的事情，哈哈。好在暂时告一段落了，应老妈强烈要求回家休息几天。这次回家除了这身衣服，只带了一本《 sed与awk 》，我觉得这种小册子最适合茶余饭后休闲之用。如果你也有兴趣学 sed ，推荐你一起看《 sed与awk 》（可以在 谷歌图书 在线阅读英文版:D）。 　　花了两天时间，看完了前面 sed 的部分。要掌握一个工具就要熟悉它的规则，man 等参考手册向我们介绍这些规则，教程则演示如何使用这些规则，但要将这些规则运用自如，还需要去理解别人的代码并尝试自己解决问题。在 SourceForge 上有份经典的文档：《 SED单行脚本快速参考 》（单行脚本要求命令行长度小于65个字符），由 Eric Pement 整理， Joe Hong 翻译，通篇阅读后获益良多，故撰此文和大家分享。 精彩脚本摘录 # 在每一行后面增加一空行 sed G 　　在参考手册中，命令G的作用是“将换行符后的保持空间内容追加到模式空间”。就像前文提到的，看过教程后只是熟悉了规则，还不能将规则运用自如，我自己写的代码是：sed 's/$/\n/'，就是因为我还不熟悉每个命令会对模式空间产生什么影响。所以看到这段参考代码时感觉眼前一亮：“原来还可以这样写！” # 显示文件中的最后10行 （模拟“tail”） sed -e :a -e '$q;N;11,$D;ba' 　　假设文件有 N 行（N 大于10），显示最后10行也就意味着删除前的 N-10 行。在多行模式中，命令“D”可以删除模式空间中第一行；命令“N”可以将下一行追加到模式空间中，建立多行模式。因此问题转化为：“1)将整个文件的内容放入一个模式空间中；2)删除前 N-10 行。”其中问题1)通过控制语句“b”来解决：sed ':a; N; ba'；至于问题二，模式“1,$”代表文本中的所有行，因此紧跟着的命令被执行N次，同理，模式“11,$”匹配后面的 N-10 行，因此“11,$D”一个执行了 N-10 次。 　　其实，在 GNU sed 中，命令“$q”是可以删掉的，因为在最后一行执行命令“N”就会因出错而自动退出。 　　另外，在
发表评论
阅读全文

DAO层测试

<dependency> <groupId>com.wix</groupId> <artifactId>wix-embedded-mysql</artifactId> <version>2.1.4</version> <scope>test</scope> </dependency> 利用 wix-embedded-mysql 把MySQL嵌入到进程中，作为内存型的MySQL来做单元测试。 脚本： resources/migrations/mysql/<database>/<timestamp>_<action>.sql 但多个项目需要共享数据库脚本，可能可以用 git submodule 共享。
发表评论
阅读全文