跳至主要内容

你的密码安全吗

你的密码安全吗

redraiment, 2009-08-12

想个好密码不容易





　　Web 2.0时代需要用户主动参与，大大小小的站点都需要你注册登入（连期末课程设计也视此为最低指标）。密码原则上是一个烂在肚子里的字串，只有自己知道且容易回忆。容易回忆就意味着这一串字符对自己来说具有某种意义，但真要找到一串字符既有意义又不广为人知还的确不太容易。于是很多人选择迁就“容易记忆”，比如下列几类常用的密码：
  1. 类似111111、123456等潜意识型的密码；
  2. 和帐号一样或者稍做修改；
  3. 用自己（或家人）的名字、生日、身高、手机号码等；
  4. 用Ilovexxx，xxx520等，臭屁点的人还会用woshitiancai之类的密码。
  5. ...
　　还有很多类似的密码，有兴趣的话可以下载一些“黑客字典”来参考。总结起来，大多数密码都是在自身或周边取材，或经过简单的变化。因此，破解密码的过程其实也就是了解对方的过程，如果我对你非常熟悉，了解你就像了解我自己一样，你的生活习惯、喜好厌恶我都清楚，甚至你在想什么我都知道。那才你的密码不就等于想像一下自己会设什么密码（黑客们觉得这样很有趣，反感暴力破解）。而在这个开发的Web 2.0时代，通过人肉搜索收集个人信息可谓轻而易举。
　　所以，提高密码的复杂度可能并不是简单的组合数学问题，尤其是那些心里藏不住秘密的人。

驻扎的网站是否够安全

　　即使找到了一个安全的密码，也不过是万里长征的第一步。你驻扎站点的安全性又如何呢？每个时期都有其代表性的漏洞，我刚接触计算机时SQL注入漏洞就像今天的XSS一样风靡，即使是《黑客防线》等专业黑客站点也一样难幸免。黑客在取得服务器的绝对权限后，所有用户的密码都成为了明码。
　　这并不是问题的关键，真正糟糕的地方还是在人本身：人都是有惰性的！你可以检查一下自己的密码：QQ、邮箱、网游……是不是用的都是相同（或相似）的密码？取得其中任何一个，几乎就是一卡通了。
　　用户尚且如此，很多站长也同样是懒人。有多少中小型站点是按默认配置来运行的，哪天你无聊完全可以拿/data/dvbbs7.mdb这个路径去匹配动网论坛，指不定就下载到后台数据库。
　　碰到一些霸道的站点，下载个文件还得注册，对于这些一次性光顾的网站，你注册时得多留一个心眼了。

这些站点值不值得信赖

　　纵使访问的网站铜墙铁壁，这些站点值得信赖吗？我们能放心将自己的数据或信息交托给他们保管吗？Google喊出“不作恶”的口号，不管这是不是商业口号，但这不是一件很可悲的事吗：不作恶原本就是一个人的基本素质，却需要如此大肆宣扬。就和褒奖诚实守信、拾金不昧等传统美德一样让人痛心，这其实就承认了这个世道人心本恶。
　　姑且不论有人恶意在自己的站点挂木马钓鱼等。像Google这样的公司将“整个互联网保存到自己的计算机里”，通过对这些数据的分析就能了解一个民族现在关注的事件、我们这一代人的喜好等等敏感信息。兵家的说法是“知己知彼，百战不贻”，我们的信息人家了如指掌，是不是会感觉脊骨发凉呢？

身边的人需不需要警惕

　　上面的技能还都是远程的，还有一些能物理性直接接触。所谓“日防也防，家贼难防”，你是不是了解每个微笑的内涵，是不是清楚电话那头客气的原因，是不是明白偶然邂逅中的必然？黑客们更崇尚用“社会工程学”来获得所需的信息，因为计算机的战争归根到底始终是人与人的战争。以前在瑞中混了三年，远道校网管中心、近到超市保险柜、大到校长办公室、小到心理咨询师，所有密码我都了如指掌，因为他们并不提防我这样一个傻头傻脑的学生。所幸后来是因为XX事情金盆洗手了，不然可能现在也差不多该闯祸了～

这不是结束

　　生活在这开放的时代，到处充满了惶恐，办事都要小心翼翼，网上冲浪举步维艰，你的密码安全吗？


标签：

评论

发表评论

此博客中的热门博文

AutoHotKey 新手入门教程

AutoHotKey 真是一个好玩的工具！短短几行代码就是先了“窗口置顶”、“窗口透明”等功能，之前我还特意为此装了好几个小工具，现在都可以卸掉了。闲来无事，就把 Quick Start 翻译了一下，我没有逐字逐句地翻译，有时候我嫌原文罗嗦就用自己的话概括地描述了一下。 原文地址：http://www.autohotkey.com/docs/Tutorial.htm 教程目录 创建脚本 启动程序 模拟鼠标键盘 操纵窗口 输入 变量与剪切板 循环 操纵文件 其他特性 创建脚本 每个脚本都是一个纯文本文件，由一些能被 AutoHotKey.exe 执行的命令组成。一个脚本可能还包含 热键 和 热字符串 。如果没有热键和热字符串，脚本在启动的时候就会从头依次执行到尾。 创建一个新的脚本： 下载 并安装 AutoHotkey。 右击鼠标，选择 新建 -> 文本文档 。 输入文件名并确保以 .ahk 结尾。例如：Test.ahk。 右击文件，选择 编辑脚本 。 输入以下内容：#space::Run www.google.com 上一行的第一个字符 "#" 代表键盘上的 Windows 键；所以 #space 表示在按住 Windows 键后再按空格键。"::" 后面的命令会在热键激活后执行，在本例中则会打开谷歌主页。继续按下面步骤操作，来执行这个脚本： 保存并关闭该文件。 双击该文件来启动它。在系统托盘里会出现一个新图标。 按下 Windows 和空格键，网页会在默认的浏览器里打开。 右击系统托盘里的绿色图标可以退出或编辑当前脚本。 注意： 可以同时启动多个脚本，并且在系统托盘里都会有一个相应的图标。 每个脚本都能定义多个 热键 和 热字符串 。 想让某个脚本开机即启动，可以将它的 快捷方式放到开始菜单的启动目录里 。 启动程序 命令 Run 可以运行程序、打开文档、网页链接或快捷键。请参看以下示例： Run Notepad Run C:\My Documents\Address List.doc Run C:\My Documents\My Shortcut.lnk Run www.yahoo.com Run mailto:someone@somedoma
发表评论
阅读全文

好玩的数学——吉普赛读心术解密

好玩的数学——吉普赛读心术解密 redraiment, 2009-11-19 神奇的吉普赛读心术 　　闲着无聊窜寝室，看到一个同学在玩一个 flash 游戏：吉普赛读心术（ http://gb.cri.cn/mmsource/flash/2006/04/10/er060410001.swf ）。规则如下： 任意选择一个两位数（或者说，从10~99之间任意选择一个数），把这个数的十位与个位相加，再把任意选择的数减去这个和。例如：你选的数是23，然后2+3=5，然后23-5=18 在图表中找出与最后得出的数所相应的图形，并把这个图形牢记心中，然后点击水晶球。你会发现，水晶球所显示出来的图形就是你刚刚心里记下的那个图形。 　　咋看之下觉得很神奇，但仔细把玩两三回后你就会发现其中的奥秘： 右边的图标每次都会改变； 9、18、27、...、81 这9个图标永远是一样的。 　　假设你选择的两位数是 ab（即 ab=a×10+b），其中 1≤a≤9, 0≤b≤9 。按照规则计算就是 (a×10+b)-(a+b)=9×a，结果是 9 的倍数，∵ 1≤a≤9 ∴ 结果为 9、18、27、...、81 中的任意一个。又∵ 这9个图标是一样的，∴ 水晶球神奇地知道你记的图标。 手指计算器 　　无独有偶，记的小学数学课上老师教我们用手指计算任意两个5-10之间的数的积。 　　例如 6×8 ，一只手伸出 6-5=1 根指头，另一只手伸出 8-5=3 根指头。1+3=4，4 就是积的十位数；把两手弯曲的指头数相乘得 4×2=8，8 是积的个位数。则 6×8=48。 　　道理和上面相同：a×b=[(a-5)+(b-5)]×10+(10-a)×(10-b) 神秘的失踪 　　做这道题一定要的亲自动手才有滋味！否则就会像浮光掠影，印象不深。 　　将一个正方形分割成 7×7=49 的小方格，并按下图将它们分为“甲、乙、丙、丁、戊”五部分。 　　然后，甲块不动、乙块和丙块对调、戊块上移、丁块右移。得到新图如下： 　　经过这样重新组合拼成的新正方形，中间奇迹般地空出了一个洞！ 　　实际上这只不过是一个小戏法，上面的新图形并不是真的正方形。 观察原始图可知 △ABC 和 △AED 是相似三角形 ∴ DE:CB=AD:AC=4:7 ∴ DE=8/7 ∴ EF=DE+DF=36/7 ∴ 上图
发表评论
阅读全文

JavaScript中的字符串乘法

JavaScript中的字符串乘法 redraiment, Date 原文 原文地址： http://www.davidflanagan.com/2009/08/string-multipli.html 原作者：David Flanagan In Ruby, the "*" operator used with a string on the left and a number on the right does string repetition. "Ruby"*2 evaluates to "RubyRuby", for example. This is only occasionally useful (when creating lines of hyphens for ASCII tables, for example) but it seems kind of neat. And it sure beats having to write a loop and concatenate n copies of a string one at a time--that just seems really inefficient. I just realized that there is a clever way to implement string multiplication in JavaScript: String.prototype.times = function(n) {     return Array.prototype.join.call({length:n+1}, this); }; "js".times(5) // => "jsjsjsjsjs" This method takes advantage of the behavior of the  Array.join()  method for arrays that have undefined elements. But it doesn't even bother creating an array with n+1 undefined ele
发表评论
阅读全文