密码管理-资讯安全网.pdf

密碼管理 2008 年 2 月 © 香港特別行政區政府 這份文件的內容為香港特別行政區政府的財產，未經香港特別行政區政府的明文 批准，不得轉載全部或部份文件內容。 免責聲明：政府盡力確保本文資料準確，但不明示或隱含保證資料準確無誤。對於因使用本文資 料而引致或與之有關的任何錯誤或遺漏，香港特別行政區政府概不承擔任何法律責任。 目錄 摘要 2 I. 密碼管理的挑戰 3 密碼的保安威脅 3 II. 趨勢和IT 管治 4 單一密碼與多個密碼的比較 4 不同程式採用不同密碼的考慮 4 IT 管治：良好的密碼管理政策及用戶教育 5 III. 幫助密碼管理的技術 6 公開密碼匙基礎建設 6 單一登入 6 限用一次密碼權標 7 IV. 最佳作業實務 8 如何選擇良好的密碼 8 處理密碼時應注意事項 9 系統／保安管埋員應注意事項 9 V. 總結11 密碼管理 第 1 頁 摘要 密碼是用戶進入電腦系統或網站時最常用的認證方法，亦是防禦未經授權接達的第一道 防線，因此，積極實施良好的密碼管理政策，是維護這道防線最關鍵之處。本文旨在提 供處理和管理密碼方面的指引及最佳作業實務。 密碼管理 第 2 頁 I. 密碼管理的挑戰 在我們的日常生活中，有關資訊科技的事物愈來愈多，還有不斷增加而要緊記及管理的 戶口和密碼。要為不同的資訊系統選擇密碼，實在令人困擾。如果同一個密碼用於所有 系統，當入侵者得到這個密碼，便能夠接達所有系統。另一方面，如果在不同系統使用 不同密碼，用戶便會傾向選擇方便記憶或容易被破解的密碼，甚至將密碼寫下來，對系 統保安構成威脅。用戶忘記密碼的情況屢見不鮮，最終增加用戶支援和重設密碼等操作 的負荷。 密碼的保安威脅 用戶要進入電腦系統，輸入密碼是最簡便的認證方法，電腦系統只需要用戶表明及確認 身份。雖然實施密碼認證方法很容易，但卻會引起不少保安威脅。以下是一些合法用戶 可能洩露密碼的常見保安風險： 1. 肩窺攻擊 （Shoulder attack ）：當用戶輸入密碼時 ，旁人有機會在其肩膊後 方直接觀看所鍵入字符，或非直接地從閉路電視監察，繼而竊取密碼。 2. 暴力攻擊：由於密碼的長度有限，通常只有八個文數字字符，攻擊者可用 程式自動拼湊密碼，嘗試所有可能的組合直至找到有效的密碼。現今電腦 的運算能力更高，成功施行暴力攻擊所需時間便大大縮短。 3. 探取攻擊：如網絡渠道沒有適當加密，只要使用網絡探取工具，密碼在網 絡上被傳送時便可能被收集。另外，如使用惡性攻擊工具（例如鍵盤側錄 程式），用戶在認證過程中輸入密碼時便可能被收集用戶密碼。 4. 登入仿冒攻擊：攻擊者設立仿冒的登入畫面，看似與真正的登入畫面無異。 當用戶在仿冒畫面登入時，其密碼便會遭記錄或傳送給攻擊者。 如果成功進行以上所述攻擊，可幫助未經授權的用戶取得合法用戶的密碼。因此，只使 用密碼作為認證方法的系統不可能分辨密碼持有人的身份有效與否。 密碼管理 第 3 頁 II. 趨勢和IT 管治 單一密碼與多