“安全运营”的实践之道 ，到底要不要复杂密码？.docxVIP

“安全运营”的实践之道 ，到底要不要复杂密码？ 以最常见的网络安全问题弱密码这个话题而展开一下。 相信到目前为止，大部分企业所采用的一个最佳IT实践必定是采用复杂密码，不管是哪篇文章，哪本书籍，不管是CISSP还是CISP，要求用户使用强密码是必然存在的一个准则。而每次攻防演练中，用户弱密码或者缺省密码往往成为了攻击的最优解。 由弱口令导致的攻击事件实令人心惊胆战，弱密码，空密码，缺省密码以及明文密码等逐一被挖掘出来，涉及不乏有企业重要业务系统和核心基础设施的账号安全问题。为了解决这种问题，有些企业重刀下要求，要求员工使用12位甚至16位以上的密码，设定密码策略，必须符合大小写，数字，特殊符号齐全的强密码策略。我们今天就该问题进行一些讨论。 美国国家标准与技术研究院（National Institute of Standards and Technology，NIST）发表了一篇文章，名为“Digital Identity Guidelines“挺有意思，大家有兴趣的可以去看看原文，地址后面附上，这篇文章讲了一些身份标识的使用准则，我这里简单给大家讲讲。 这些准则为实施数字身份服务的联邦机构提供技术要求，并不打算在此目的之外限制标准的制定或使用。这些准则的重点是对通过开放网络与政府系统进行互动的主体进行认证，确定某位申请者是先前已被认证的用户。 认证过程的结果可以由执行认证的系统在