跳至主要内容

你的密码安全吗

你的密码安全吗

redraiment, 2009-08-12

想个好密码不容易





　　Web 2.0时代需要用户主动参与，大大小小的站点都需要你注册登入（连期末课程设计也视此为最低指标）。密码原则上是一个烂在肚子里的字串，只有自己知道且容易回忆。容易回忆就意味着这一串字符对自己来说具有某种意义，但真要找到一串字符既有意义又不广为人知还的确不太容易。于是很多人选择迁就“容易记忆”，比如下列几类常用的密码：
  1. 类似111111、123456等潜意识型的密码；
  2. 和帐号一样或者稍做修改；
  3. 用自己（或家人）的名字、生日、身高、手机号码等；
  4. 用Ilovexxx，xxx520等，臭屁点的人还会用woshitiancai之类的密码。
  5. ...
　　还有很多类似的密码，有兴趣的话可以下载一些“黑客字典”来参考。总结起来，大多数密码都是在自身或周边取材，或经过简单的变化。因此，破解密码的过程其实也就是了解对方的过程，如果我对你非常熟悉，了解你就像了解我自己一样，你的生活习惯、喜好厌恶我都清楚，甚至你在想什么我都知道。那才你的密码不就等于想像一下自己会设什么密码（黑客们觉得这样很有趣，反感暴力破解）。而在这个开发的Web 2.0时代，通过人肉搜索收集个人信息可谓轻而易举。
　　所以，提高密码的复杂度可能并不是简单的组合数学问题，尤其是那些心里藏不住秘密的人。

驻扎的网站是否够安全

　　即使找到了一个安全的密码，也不过是万里长征的第一步。你驻扎站点的安全性又如何呢？每个时期都有其代表性的漏洞，我刚接触计算机时SQL注入漏洞就像今天的XSS一样风靡，即使是《黑客防线》等专业黑客站点也一样难幸免。黑客在取得服务器的绝对权限后，所有用户的密码都成为了明码。
　　这并不是问题的关键，真正糟糕的地方还是在人本身：人都是有惰性的！你可以检查一下自己的密码：QQ、邮箱、网游……是不是用的都是相同（或相似）的密码？取得其中任何一个，几乎就是一卡通了。
　　用户尚且如此，很多站长也同样是懒人。有多少中小型站点是按默认配置来运行的，哪天你无聊完全可以拿/data/dvbbs7.mdb这个路径去匹配动网论坛，指不定就下载到后台数据库。
　　碰到一些霸道的站点，下载个文件还得注册，对于这些一次性光顾的网站，你注册时得多留一个心眼了。

这些站点值不值得信赖

　　纵使访问的网站铜墙铁壁，这些站点值得信赖吗？我们能放心将自己的数据或信息交托给他们保管吗？Google喊出“不作恶”的口号，不管这是不是商业口号，但这不是一件很可悲的事吗：不作恶原本就是一个人的基本素质，却需要如此大肆宣扬。就和褒奖诚实守信、拾金不昧等传统美德一样让人痛心，这其实就承认了这个世道人心本恶。
　　姑且不论有人恶意在自己的站点挂木马钓鱼等。像Google这样的公司将“整个互联网保存到自己的计算机里”，通过对这些数据的分析就能了解一个民族现在关注的事件、我们这一代人的喜好等等敏感信息。兵家的说法是“知己知彼，百战不贻”，我们的信息人家了如指掌，是不是会感觉脊骨发凉呢？

身边的人需不需要警惕

　　上面的技能还都是远程的，还有一些能物理性直接接触。所谓“日防也防，家贼难防”，你是不是了解每个微笑的内涵，是不是清楚电话那头客气的原因，是不是明白偶然邂逅中的必然？黑客们更崇尚用“社会工程学”来获得所需的信息，因为计算机的战争归根到底始终是人与人的战争。以前在瑞中混了三年，远道校网管中心、近到超市保险柜、大到校长办公室、小到心理咨询师，所有密码我都了如指掌，因为他们并不提防我这样一个傻头傻脑的学生。所幸后来是因为XX事情金盆洗手了，不然可能现在也差不多该闯祸了～

这不是结束

　　生活在这开放的时代，到处充满了惶恐，办事都要小心翼翼，网上冲浪举步维艰，你的密码安全吗？


标签：

评论

发表评论

此博客中的热门博文

JavaScript中的字符串乘法

JavaScript中的字符串乘法 redraiment, Date 原文 原文地址： http://www.davidflanagan.com/2009/08/string-multipli.html 原作者：David Flanagan In Ruby, the "*" operator used with a string on the left and a number on the right does string repetition. "Ruby"*2 evaluates to "RubyRuby", for example. This is only occasionally useful (when creating lines of hyphens for ASCII tables, for example) but it seems kind of neat. And it sure beats having to write a loop and concatenate n copies of a string one at a time--that just seems really inefficient. I just realized that there is a clever way to implement string multiplication in JavaScript: String.prototype.times = function(n) {     return Array.prototype.join.call({length:n+1}, this); }; "js".times(5) // => "jsjsjsjsjs" This method takes advantage of the behavior of the  Array.join()  method for arrays that have undefined elements. But it doesn't even bother creating an array with n+1 undefined ele...
发表评论
阅读全文

DAO层测试

<dependency> <groupId>com.wix</groupId> <artifactId>wix-embedded-mysql</artifactId> <version>2.1.4</version> <scope>test</scope> </dependency> 利用 wix-embedded-mysql 把MySQL嵌入到进程中，作为内存型的MySQL来做单元测试。 脚本： resources/migrations/mysql/<database>/<timestamp>_<action>.sql 但多个项目需要共享数据库脚本，可能可以用 git submodule 共享。
发表评论
阅读全文

人所不欲，勿施于人

谁说博客也要像论文一样结构清晰、有条理？！ 软件卸载 昨天整理自己的本本，卸载了 VMware 7.0 + 深度XP，MS Office 2007 以及 Visual Basic 6.0。我承认这些都是盗版软件，不过剩下的应用程序都是自由软件（freeware）或免费软件（freeware），这下我的计算机“干净”了。闲来无事，我就细数了一下当初装这些软件的原因： VMware + XP：当初刚买本本的时候，正好在上软件工程实践，紧遵老师的教导“将自己的开发环境随身携带”，自然第一款软件就是装了虚拟机（学校机房里是肆无忌惮地用盗版 VMware），另外上课指定使用 Visio 作图，那也只好一起装了；当然，也有部分原因是因为某些人的计算机装的是 XP，我这边有个 XP 环境也是为了方便问题重现（我的本本预装了 Vista）。 MS Office 2007：在毕设期间，我也还是用 Open Office 和 WPS 2010，但现在公司用的却是 Office 2007（正版）。我这次卸载这款办公软件其实也是在提醒自己：工作的事情要在工作时间里完成！ VB 6：你可能无法想象在我们科班的毕业设计中有多少是 VB6 项目，从大二开始，每逢毕业将至，总会有人来找我帮忙看那些不晓得从哪儿搜罗来的 VB6 代码，经不住软磨硬泡，我总会帮着改改；另一个原因在我自己，我一直下不了决心去学 MFC 等，所以但凡要做 GUI 程序，我都是拿 VB6 来画界面，再调用由 C 语言开发的 DLL 库，不过现在改用 QT，于是 VB6 可以功成身退了。 己所不欲，勿施于人 有些人就喜欢把自己的事全盘交托给别人来做，我一直不明白他们既然有精力去说服别人，为什么就没耐心自己去完成（所以我下面说人和人之间是无法理解的）。既然自己都认为这是无聊的事情，为什么偏偏又假设其他人会愿意无偿地帮你来完成呢？ 两千多年前，孔老夫子提出“己所不欲，勿施于人”的观点，但到了今天，我听到关于这句话时的语境普遍是，A说：“那个XX东西你也不要了（或要了也没用），不如就让给我吧？”，B就义正言辞地反对：“那怎么可以！己所不欲，勿施于人嘛。” 己所甚欲，勿施于人 易中天老师在《百家讲坛》讲解诸子百家...
发表评论
阅读全文