十条常见的密码保护措施.pdfVIP

十条常见的密码保护措施 当前，大部分用户密码被盗多是因为缺少网络安全保护意识以及自我保护意 识，以致被黑客盗取引起经济损失，今天我将讨论一下针对昨天十类破解方法的 对策，也举出十类密码安全和保护措施，可以帮助用户提高网络安全意识。 1、使用复杂的密码 密码穷举对于简单的长度较少的密码非常有效，但是如果网络用户把密码设 的较长一些而且没有明显规律特征（如用一些特殊字符和数字字母组合），那么 穷举破解工具的破解过程就变得非常困难，破解者往往会对长时间的穷举失去耐 性。通常认为，密码长度应该至少大于6 位，最好大于8 位，密码中最好包含字 母数字和符号，不要使用纯数字的密码，不要使用常用英文单词的组合，不要使 用自己的姓名做密码，不要使用生日做密码。 2 、使用软键盘 对付击键记录，目前有一种比较普遍的方法就是通过软键盘输入。软键盘也 叫虚拟键盘，用户在输入密码时，先打开软键盘，然后用鼠标选择相应的字母输 入，这样就可以避免木马记录击键，另外，为了更进一步保护密码，用户还可以 打乱输入密码的顺序，这样就进一步增加了黑客破解密码的难度。 3、使用动态密码（一次性密码） 动态密码（Dynamic Password ）也称一次性密码，它指用户的密码按照时间 或使用次数不断动态变化，每个密码只使用一次。动态密码对于截屏破解非常有 效，因为即使截屏破解了密码，也仅仅破解了一个密码，下一次登录不会使用这 个密码。不过鉴于成本问题，目前大多数动态密码卡都是刮纸片的那种原始的密 码卡，而不是真正意义上的一次性动态密码，其安全性还是难以保证。真正的动 态密码锁采用一种称之为动态令牌的专用硬件，内置电源、密码生成芯片和显示 屏。其中数字键用于输入用户 PIN 码，显示屏用于显示一次性密码。每次输入 正确的 PIN 码，都可以得到一个当前可用的一次性动态密码。由于每次使用的 密码必须由动态令牌来产生，而用户每次使用的密码都不相同，因此黑客很难计 算出下一次出现的动态密码。不过真正的动态密码卡成本在100 到200 元左右， 较高的成本限制了其大规模的使用。 4 、网络钓鱼的防范 防范钓鱼网站方法的方法是，用户要提高警惕，不登录不熟悉的网站，不要 打开陌生人的电子邮件，安装杀毒软件并及时升级病毒知识库和操作系统补丁。 使用安全的邮件系统，Gmail 通常会自动将钓鱼邮件归为垃圾邮件，IE7 和FireFox 也有网页防钓鱼的功能，访问钓鱼网站会有提示信息。 5、使用SSL 防范Sniffer 传统的网络服务程序，HTTP 、FTP 、SMTP、POP3 和Telnet 等在本质上都 是不安全的，因为它们在网络上用明文传送口令和数据，嗅探器非常容易就可以 截获这些口令和数据。对于 Sniffer （嗅探器），我们可以采用会话加密的方案， 把所有传输的数据进行加密，这样 Sniffer 即使嗅探到了数据，这些加密的数据 也是难以解密还原的。目前广泛应用的是SSL （Secure Socket Layer ）就可以方 便安全的实现加密数据包传输，当用户输入口令时应该使用支持 SSL 协议的方 式进行登录，例如HTTPS 、SFTP、SSH 而不是 HTTP 、FTP 、POP 、SMTP、TELNET 等协议。Google 的大多数服务包括Gmail 都支持SSL，以防止Sniffer 的监听， SSL 的安全验证可以在不安全的网络中进行安全的通信。 6、不要保存密码在本地 将密码保存在本地是个不好的习惯，很多应用软件（例如某些 FTP 等）保 存的密码并没有设计的非常安全，如果本地没有一个很好的加密策略，那将让黑 客破解密码大开方便之门。 7、使用USB Key USB Key 是一种USB 接口的硬件设备。它内置单片机或智能卡芯片，有一 定的存储空间，可以存储用户的私钥以及数字证书，利用USB Key 内置的公钥 算法实现对用户身份的认证。由于用户私钥保存在密码锁中，理论上使用任何方 式都无法读取，因此保证了用户认证的安全性。由于USB Key 的安全度较高， 且成本只有几十元，因此USB Key 广泛应用于网上银行的数字证书加密。使用 USB Key 后，即使黑客完全远程控制了用户的电脑，也无法成功进行登录认证 交易。 8、个人密码管理 要保持严格的密码管理观念，实施定期更换密码，可每月或每季更换一次。 永远不要将