你好,游客 登录
背景:
阅读新闻

扯蛋的密码规则

[日期:2017-03-31] 来源:CSDN  作者: [字体: ]

  原文: Password Rules Are Bullshit

  作者: Jeff Atwood

  译者:陆其明,爱奇艺公司技术总监,拥有10多年的软件技术研发和管理经验。已经出版的著作有《DirectShow开发指南》、《DirectShow实务精选》、《Windows Media编程导向》、《脚本驱动的应用软件开发方法与实践》,译作有《代码之道》、《高效能程序员的修炼》、《程序员的修炼——从优秀到卓越》。

  在很多很多关于密码的糟糕事情中,你知道最扯的是什么吗?密码规则!

  2015年8月11日,我曾在twitter上说过:“在我的有生之年,如果我们没有帮用户解决密码问题,我死后变成鬼,也要缠着你!”

  今日我再提让这句誓言,想让它成为互联网上的永久记录。我不知道是否有来世,但我很快就会知道的,我打算如地狱恶魔般出来游荡……

  这世界充斥着糟糕透顶的密码规则(例如:https://github.com/duffn/dumb-password-rules)。唉,不提也罢!你越是使用真正随机的密码产生工具(想必我们这样的极客都在用吧),你越有可能在这种机制下承受过巨大的痛苦,而且这种痛苦日复一日地还在继续。

  在xkcd.com上看过这样一幅关于密码的漫画吗?

  

图片描述

 

  经过20年的努力,我们已经把所有人成功驯化成:

  使用人类难以记忆而电脑容易猜到的密码。

  我们当然可以对“correct horse battery staple”这样的密码策略是否有效提出质疑,不过,这里的点主要还是说跟密码长度有关系。

  讲真,密码长度确实重要!我竟然在一篇博文里爆粗说道,你的密码太TM短了!如今这个时代,鉴于云计算的发展水平和基于GPU的哈希运算能力,任何不超过8个字符的密码跟不设密码真的差别不大,非常危险!

  那么,我们或许有了一个规则,那就是:密码不能太短。长密码比短密码可能会安全得多。是这样吗?

  下面这个4字符的密码怎么样?

  

图片描述

 

  下面这个8字符的密码又怎么样?

  

图片描述

 

  或者,这种7个字符的密码呢——阿拉伯文、中文、泰文、韩文、克林贡文、Wingdings字体、表情符各取一个字符?

  如果你把上面那4个Unicode的表情符,粘贴到你最常用的登录框里——现在就去试一试——你可能会被惊到!你会发现,其实不止4个字符哦……

  

图片描述

 

  亲,我们的老朋友Unicode又来捣蛋了!瞧瞧这个:

  

图片描述

 

  事实证明,即使像“密码必须要有合理的长度”这样的简单规则,也未必就这么简单。尤其是,如果我们不像脑子里只有ASCII字符的老美那样思考问题。

  话说回来,那些看起来不错的长密码呢?它们就一定安全吗?

  aaaaaaaaaaaaaaaaaaa

  0123456789012345689

  passwordpassword

  usernamepassword

  当然不是!你最近接触过用户吗?

  

图片描述

 

  他们孜孜不倦地摧残着我开发的软件,简直无孔不入。是的,没错,我知道你们极客非常清楚“熵”的概念(注:熵的本质是一个系统“内在的混乱程度”)。但是,在一个Unicode和表情符的世界里,把你们对熵的热爱表达成下述稀奇古怪、糟糕透顶的密码规则,真是凭空想象出来的一个巨大错误!

  必须包含大写字母

  必须包含小写字母

  必须包含一个数字

  必须包含一个特殊字符

  在我们开发Discourse.org的时候,我发现,登录框是非常复杂的一块代码,尽管它的界面看起来很简单。我们采用的主要密码规则也是最简单的,就只有长度要求。从最初的开发到现在,我们已经把密码的最小长度要求从8字符提升到10字符。如果你有幸成为管理员或版主,我们还决定密码长度最少必须15个字符。

  我同时也主张,拿用户的密码跟10万个最常用的密码进行比对。如果你看一看2016年被曝光的1000万个密码,你会发现用得最多的前25个密码是:

  123456

  123456789

  qwerty

  12345678

  111111

  1234567890

  1234567

  password

  123123

  987654321

  qwertyuiop

  mynoob

  123321

  666666

  18atcskd2w

  7777777

  1q2w3e4r

  654321

  555555

  3rjs1la7qe

  google

  1q2w3e4r5t

  123qwe

  zxcvbnm

  1q2w3e

  纵然这份数据泄漏了一些ASCII中心主义。我想,数字在任何文化里都是相同的,但我难以相信普通的中国人会选择“password”、“qwertyuiop”或“mynoob”作为密码。因此,上面这份清单必然还会因地区而异。

  (一个有趣的想法是,在长密码里去检索匹配常用的较短密码,不过,我觉得这会产生太多的误报。)

  如果你再次检视这份数据,不难得出一个支持密码长度的结论。请注意,在最常用的25个密码中,只有5个超过10字符。因此,如果我们要求密码长度至少是10,就已经把上黑榜的几率降低了80%。我最早是在为Discourse.org做调研时意识到这一点的,那时我收集了数百万个泄漏出来的密码,然后把这份清单过滤到只剩下满足我们新的最低要求(10个字符或更长)的那些密码,真的是寥寥无几了!

  

图片描述

 

  在此,我想对我们的程序员小伙伴们提几点常识建议:

  1. 密码规则就是扯蛋

  它们没卵用!

  它们严厉惩罚了你的理想用户——使用真正的随机密码生成器的那些人。你猜啥,那些随机密码可能不包含数字或符号。我刚刚翻了一下数学教科书,确认了,这是有可能的。我很肯定!

  它们给普通用户带来挫败感。然后,他们就暗生排斥心理,耍起了小聪明,结果使得他们的密码安全性变差。

  它们还常常错误百出,所选的规则非常不完整,甚至很愚蠢。

  不开玩笑,看在上帝的份上,趁早抛弃这种没心没肺、毫无道理的密码规则吧。如果你不信我的话,看看人家的这份建议。人家也说了,“别用组合规则”。不过,我确实发现一个问题——应该说是,“别用扯蛋的组合规则”。

  2. 密码要支持Unicode,并强制要求最小长度

  这条规则,最起码很容易记,也容易理解和实施。至尊规则唤众戒,众戒归一黑暗中。

  它很简单。用户可以数。好吧,大部分人都能数。

  它行之有效。已经有数据证明了这一点。你随便去下载一份常用密码清单,然后按密码长度分组,一目了然。

  需要明白一点,即使这条规则也不是无懈可击的。在一个中文网站上要求最小密码长度为6可能已经够好了。而一个20字符长度的密码可能极不安全。

  如果你不允许在密码框里输入任何Unicode字符,你可能就在犯错。

  还有一个实现方面的细节,就是要确保密码的最大长度也要合理。

  3. 与常用密码进行校对

  前面我已经提到过,所谓“常用”,跟你的用户和语言有关。但是,如果你让他们从最常用的1万、10万甚至100万个密码中挑选自己的密码,那就等于在坑他们。毋庸置疑,黑客在攻击行动中会利用这些常用密码。纵然你对密码的重试频次有积极的限制措施,只需用1000个最常用的密码来碰撞,你又能扛得了多久呢——结果非常令人震惊!

  1.4%的人使用了最常用的10个密码

  4.4%的人使用了最常用的100个密码

  9.7%的人使用了最常用的500个密码

  13.2%的人使用了最常用的1000个密码

  30%的人使用了最常用的10000个密码

  你很幸运!成百万个遭曝光的真实密码在那里等着你去筛选。做这种数据分析还是有点意思的,因为这些不是某些无聊的程序员凭空捏造出来的密码规则,而是被用户真正使用过的真实密码。

  研究一下吧。收集一下数据。别让你的用户把自己坑了。

  4. 检查基本的熵

  别异想天开!关于熵的衡量,你内心深处觉得对就行。但是请记住,当用户无法通过规则检查时,你必须能向他们解释清楚。

  

图片描述

 

  我有点难过,因为我们曾经毫不介意用户选择像“aaaaaaaaaa”这样的10字符长度的密码。在我看来,最简单的解决方法是设定一个像“总共y个字符中至少需要x个唯一字符”的规则。在Discourse.org的beta版里,我们就是这么干的。如果你有更好的主意,欢迎留言给我。越简单清晰,越好!

  5. 拒绝特殊密码

  我感到羞愧难当,但我还是得承认:我们在早期开发Discourse.org登录模块的时候,忽视了必须要阻止的两种常见情况:

  密码与用户名相同

  密码与email地址相同

  与此类似,你可能也应该阻止其他的特殊情况,比如:

  密码等同于URL或网站域名

  密码等同于App名字

  简而言之,试着跳出密码输入框去思考,就像用户那样。

推荐 打印 | 录入: | 阅读:
相关新闻      
本文评论   
评论声明
  • 尊重网上道德,遵守中华人民共和国的各项有关法律法规
  • 承担一切因您的行为而直接或间接导致的民事或刑事法律责任
  • 本站管理人员有权保留或删除其管辖留言中的任意内容
  • 本站有权在网站内转载或引用您的评论
  • 参与本评论即表明您已经阅读并接受上述条款