TA的每日心情 | 慵懒
2026-8-21 08:42 |
|---|
签到天数: 4805 天 连续签到: 1 天 [LV.Master]十年《功德圆满》
|
前言2 l: O! N* z5 L2 K# m0 ~4 n
原理很重要，技巧是浮云，抛砖引玉，且看且思考。5 f: o- v$ V6 T7 }
. F, P3 E$ z- H' z6 U) F
A# w8 b, {# T! ?; C" t; r+ y3 j [; l# S- g; z+ \
一、为不同的账户类型制定不同的密码策略
. z3 U8 d9 z J6 n/ @
; z( {' g6 {$ P1. 账户类型
$ `: I: |# g3 ?* B( y" |首先我们可以很容易把账户分为两类：重要账户与一般账户。 分类是为了制定密码策略，因为这两类账户的密码需求是不一样的。 这个分类不绝对，可以自行斟酌，比如微博微信都可以放在重要类别。
% X; M# Q+ {& N( C7 p9 F) }重要账户是指涉及个人重要隐私或者财产的：
; q5 j$ a+ N1 S9 D& [ u银行、社保、支付宝、QQ、手机pin码...' l, Z/ K. n$ v
一般账户指各种论坛、社交媒体、产品使用授权等：
: `: j" x- I4 b6 C" |微博、微信、天涯、知乎、星巴克、路由器、WIFI、宽带...% [% W. M+ K, I1 G3 ]
2. 密码策略的基本原则$ I# k( u8 f+ w9 O ^8 W2 `
不同账户采用不同密码 8 C# s- ~+ i+ c. h
若密码相同，一个账户密码泄露了就要改所有账户的密码，显然是下下策。
0 @) e) n' d: n/ q目前个人密码最容易被泄露的一种情况是——撞库。简而言之，就是你注册了网站A，又注册了网站B,C... 结果 C 网站不幸有漏洞，被黑客收集了用户和密码信息，然后黑客就用这个去尝试登陆网站A,B，尝试批量登陆其他网站后，得到一系列可以登录的用户了。这类情况其实非常常见，必须谨慎对待。+ n: g1 n5 m5 i
越高的密码复杂度越安全
5 h, w3 D+ } |" A0 ?密码的复杂度并不是指密码看起来越长越无序越安全，而是指采用数字+字母+符号的组合形式，不要小看一个符号，这种混搭的形式将极大的提高破暴力解难度。暴力破解又叫做穷举法，是指一个个试密码，逐个推算直到找出真正的密码为止。例如一个已知是四位并且全部由数字组成的密码，其可能共有10000种组合，因此最多尝试9999次就能找到正确的密码。若加入符号，可以极大提高密码组合的可能，因此能有效防范暴力破解。通常来说，真正通过暴力破解来攻破个人密码的情况不多，但不管怎样，提高复杂度总是好的。
0 r8 u2 o1 t1 S2 e$ j: m尽可能方便记忆 4 R( f$ }& w% {# l; ^
掐指一算自己注册的论坛就有十几个，可如果不同账户采用不同密码，怎么可能记得住这么多密码呢？别急，先仔细想想自己是不是真的需要记忆那么多密码。根据我们的账户类型，我们可以采用不同的密码储存方式，忘记密码这种事自然是不能忍的。
; F" k0 }; o$ S9 Y5 q, h Q3. 重要账户的密码策略) ? T% j8 _* U7 K3 Q5 m. ^- N
这类账户的密码一般只允许使用数字，例如银行，支付宝，通常这类账户不担心被暴力破解，他们有防范机制，输错几次密码后便不能输入了。因此，密码复杂度不是第一位的。重要密码需要满足：( q# v/ `7 Y" ^# _$ n. {9 c+ C
便于记忆 1 a/ F; Z0 v" p# m( I! t B( \1 s8 V
心里熟记，同时写个小本放家里存着，以备不时之需( ^ Q7 F+ u- n4 f. P( p4 c
没有明显规律
" J% `# R; w( N绝对不要用生日，111111，123456，000000 这类大众密码。 越无序越不容易被人猜到。当然还有绝对不要跟一般账户的密码相同，谨记不同账户采用不同密码的基本原则。
6 C1 L- [1 x# z1 r. ^4. 一般账户的密码策略
1 \' d* K# ]' I$ ?9 v- w- E这类账户其实我们经常会用到，但记忆其实不是第一位的，我们完全可以做一份密码表，需要的时候用下即可。一般这类账户的密码做到相对独立和高复杂度即可。关于密码表的安全性后面有详述。# L6 u; m S" i9 q# y( i
相互独立
, Q$ `% W# f* x$ |8 a前面已经提到，为防范撞库，这类账户密码要做到相互独立。
$ D z+ T: }! _# }) f$ Y复杂度高 + g7 J) Y0 H9 i; i# F2 w* f
网络账户容易被暴力破解，因此要复杂度越高越好
0 e2 \( c0 y2 F7 D
2 T( Z( [" W. J6 _. F/ v二、根据自己的策略进行密码构建与储存
$ M4 H" ]3 r, D8 @1 B0 j* @6 B3 E, z7 I9 r' d* N9 K
绝佳的密码无外乎就是好记又不容易被人猜到，那如何做到呢？下面我就分享一些密码构建的技巧。
: O' C$ N/ _+ A4 r& F1. 如何提升复杂度与无序性
& G3 Q1 b! y8 Y4 l! Z- y4 A$ C- `: |, i, h数字，字母，符号兼备。 , v0 K7 E& Y8 S: M% c( z
对个别字母变形即可提高复杂度，很好记 比如我的名字 leeway 可以变形为 1EE^^@y 下表是可以参考的变形，当然自己可己设定自己的变形表。/ u7 |, f, K& \6 C1 j
原字符, x; V# N0 v2 F. s6 p- O8 Z
变形
0 h, w- A( T- i3 |& S3 [a
) n9 a+ n% a! {@# P/ Z% U! b4 Q9 Q2 G' K
e* G }* |' A5 K
3$ z, ? T3 u( X- d; f
d6 \9 u9 T+ b4 A7 ]5 b
b' A q5 a4 P& R* ~) R
o
' g9 ^7 u, Z% ^4 E3 J0' O* \! }, X2 ~0 j) |8 M1 R
s
- K: L+ j! g; k* D" s T$; H& }8 j5 p( M1 o) L( Y8 f5 u
t
/ ]; r1 I6 z6 S* N2 F* k; s7
% J# g2 P% {. z ^& W# ~8 Vx
+ e4 b Q7 X, q$ f9 ]+ C>2 P4 D6 ~# M3 D9 o) T# `4 x8 K
v/ o/ {8 ]! \7 Z% l3 Q$ @ V
^
; u4 ^" n% h, W. Hz" v1 G; s3 i* q
2/ P" {* Z; U6 ?% L# }6 k
…
4 B& ?% r) k& r' X…
2 x2 {- T) w' T$ X' z/ w8 P$ e: }! e通过这种字母与数字符号的互换，一串便于记忆的句子就能变成看似乱码的密码了：$ E. I$ t5 [6 B; F0 Q
password --> P@$$w0rd - L* h* S) U: U4 X/ [. ?
这是种简便易行的方法。1 D; _$ R: ?) I( [# v
2. 如何使密码相互独立
& @( w' I& O. f& B很多时候要使用某个app就要注册个账户，这个时候要临时想一个密码显然比较困难，如果单纯得采用 自己的常用密码+应用名称记号的组合形式是比较容易被人识破的，而且这些账户通常不重要，这种时候可以采用 UUID 。
Y3 c+ R, h8 B0 w" u7 V8 z% ?UUID 叫做通用唯一识别码，只要理解成一串随机的字符就可以了，一般包含32个16进制数字，UUID 可以通过很多方法生成，比如这个网站 可以一次性生成很多UUID，需要的时候生成一个即可，随机生成的两个 UUID 重复的可能性极低，可以放心使用。那如何记忆这么多“乱码”呢？没事，请接着看。" n0 k+ r6 F. S9 B. q
3. 如何储存密码与记忆
+ ~2 B9 j) v) }+ p' t1 @很显然，密码的复杂度和可记忆程度是成反比的。毕竟不是最强大脑，要记忆住这么多相互独立的密码很困难，这时候就要使用一些工具和技巧了，这里重点讲讲密码表。; r- @% r4 h9 i( y$ V
重要账户密码记小本，一般账户密码存可加密的网络笔记。
( a% R6 P5 t$ p" s$ C2 Q. q' c重要账户的密码一般复杂度不高，数量也不多，尽可能记心里，家里备个小本藏好。
) ^: d" h x# x$ o. C1 E唐诗密码 1 x$ f( h! Z6 L. m2 }
唐诗密码是我在github看到的一个开源项目，其实这类方法就是指用一串好记的句子来联想出相关密码，跟前面提到的变换字符是一样的。这种密码随机性强，看不出特定规律，关键是非常好记。
, r! K0 J0 q; Y5 Y; I1 @! M2AYSTBZ QZ1GWC3
" v5 j' V% `0 u* c两岸猿声啼不住，轻舟已过万重山
5 ~. P0 ^( ?) {( S4 [& ?加密的在线笔记 ) Y+ W+ z/ O2 Y0 p7 X R+ P
一般账户我们就存加密笔记，你之需要记住两个密码就可以了，一个是笔记的登陆密码，一个是笔记的加密密码。目前市场上有不少网络笔记工具可以选择，这里不做推荐，大家可以自己找找。云端的笔记有个优点就是储存和输入方便，无论是手机和电脑都可以方便访问。 这时候你一定在想一个严肃的问题，要是我存密码的笔记被黑了怎么办，如果遇到黑客或者有权限的内部人员，岂不是把我给看光了？不妨学习下古人的技法。 Z2 _# u( L1 ?: P3 _! u" g
斯巴达密码 ) d- r& n8 V% l( @3 b
斯巴达密码也就是密码棒，是个可使的传递讯息字母顺序改变的工具，由一条加工过、且有夹带讯息的皮革绕在一个木棒所组成。在古希腊，文书记载着斯巴达人用此于军事上的讯息传递。简而言之就是只有根据规律选取特定位置的字符才是有效的，其他都是用来干扰的无效字符。2 e3 k% |3 Y' M: h* c! P9 ^ f
密文：KGAWIBRXLQOPLCSDKVRGIASDNGBHG
8 ^0 z: o0 Q" k; x, {+ p阅读规律：K GAW I BRX L QOP L CSD K VRG I ASD N GBH G
0 b8 P5 @( m5 q( |" m' j解密后的：K I L L K I N G
. a. q7 m$ K' Q z衍生的方法 ! N3 k( S3 g6 S! q5 c" y" Z. Y
看完斯巴达密码是不是有种茅塞顿开的感觉？我在存云端的笔记时就会采用衍生的方法，由于只有自己知道有效的密文，因此就算笔记被人黑了也没关系。每个人可以自己想好自己的有效字符串，比如下面这几个账户，可能最后一串字符是有效，或者只有第三个字符是无效的，除了你自己，没人看得出规律。+ a {/ i d3 l, j6 Q# g
知乎 5d37e74b-4f22-403a-a54f-e25b2e8bba91
' h1 p3 J& ^' }# z/ x( V3 Z6 ^果壳 fca63075-ecad-4214-8083-9e2bc2c12423
0 R( j, T; d. Y+ M豆瓣 e6fb2d22-9bc0-4861-a72c-f6d8a866013d
3 F/ i( D5 s0 b& K, ]简书 dea62500-fcf8-485f-937a-7f926d54a1ef
; q3 q/ [, E% o- m- M0 U1 u" n3 G Q4 [! g" B A3 J
三、总结, A6 ]1 {) S: T+ ?
& |" y5 @/ b# Q% j( Z. i# e4 ~3 a
账户分类7 a" z1 l& O0 e& `3 a3 F! t U
" V1 Q" O0 y# v* {
账户密码相互独立，忌讳一个密码对应多个账户——有效防止“撞库”3 f& P& \" q, l0 X4 q# o. ^
通过替换字符来增加密码复杂度，最好大写、小写、数字、符号兼备
. X8 l- `/ b5 s/ l重要账户密码记小本，靠脑袋记忆，可用“唐诗密码”
! o, z: F6 i# K" v' p- ^. ^一般账户存云端笔记，加密笔记再加密——采用“斯巴达密码”
- M Z4 T7 B+ E& ?: t0 g7 h准备好一些随机密码备用，比如采用 UUID+ M; j8 V6 w8 t \2 ?
最后写一下为什么我不用三方的密码管理工具，比如 KeePass、LastPass、1Password。原因无非是不方便与不信任，基于本地的密码管理工具不方便，云端跨平台的相当于把自己的密码都交给一家公司的服务器上，这让我更不放心。如果一家公司掌握了许许多多人的账户，难免会被成群的黑客惦记。
9 D# a( B! ]& j |
|
发表于 2017-3-6 17:06
置顶卡
变色卡
千斤顶
发表于 2017-3-25 02:13