越復(fù)雜的密碼是否越安全

朱榮

如何在網(wǎng)絡(luò)社會(huì)中保護(hù)自己的個(gè)人隱私，長(zhǎng)久以來(lái)都是一個(gè)讓人揮之不去的現(xiàn)實(shí)問(wèn)題。幾十年的積累，現(xiàn)代人已經(jīng)完全掌握了密碼的“構(gòu)造”方法，自認(rèn)為從此便可以真的高枕無(wú)憂，然而事實(shí)卻遠(yuǎn)非如此。

一旦我們的頭腦中形成思維定勢(shì)，往往很容易被這種思維“慣性”所左右，例如當(dāng)環(huán)境或事物發(fā)生變化時(shí)，它會(huì)妨礙我們積極的去思考，或是失去辯證看問(wèn)題的能力而走進(jìn)那些我們沒(méi)有查覺的誤區(qū)當(dāng)中。例如，當(dāng)被問(wèn)到“是否越復(fù)雜的密碼也就越安全”這一問(wèn)題時(shí)，相信絕大多數(shù)的人會(huì)回答是，然而答案卻是否定的。

這樣的誤區(qū)你有嗎？

通常我們會(huì)認(rèn)為將賬號(hào)密碼設(shè)置的越復(fù)雜越好，例如將一個(gè)長(zhǎng)字符的單詞打散后在將其無(wú)規(guī)律的重新組合起來(lái)，并深信不疑的認(rèn)為這樣別人就很難猜到，然而這么做除了難為你自己以外，并不會(huì)對(duì)那些偷窺者造成“掉血”式的殺傷力。但對(duì)于那些企圖竊取別人隱私的人來(lái)說(shuō)，他們大可不必靠腦力運(yùn)用概率去猜密碼，而是只需將“解密”這件事交給計(jì)算能力更強(qiáng)運(yùn)算速度更快的計(jì)算機(jī)處理就行。

另一方面，隨著網(wǎng)絡(luò)社會(huì)的快速發(fā)展，賬號(hào)多了密碼也隨之增多，為了方便記憶，很多人都會(huì)為不同的賬號(hào)設(shè)置相同或相似的密碼，這些使用相似密碼的賬號(hào)，其安全隱患無(wú)疑是顯而易見的。

當(dāng)然，也有一部分人意識(shí)到了此問(wèn)題的嚴(yán)重性，為了避免這種情況而選擇將密碼分成兩部分，一個(gè)是例如123456的主要部分，另一個(gè)則根據(jù)不同賬戶來(lái)定，例如QQ密碼設(shè)為qq123456，Gmail密碼則設(shè)置成gmail123456等等諸如此類，倒是頗有掩耳盜鈴的意味。實(shí)際上，這才是真正危險(xiǎn)的，因?yàn)橐坏┮粋€(gè)賬戶的密碼被破解，很容易就看清其密碼的設(shè)置規(guī)律。

決定密碼安全等級(jí)的關(guān)鍵是什么？

那么問(wèn)題來(lái)了，決定密碼安全等級(jí)的關(guān)鍵是什么？答案是：密碼長(zhǎng)度。我們用信息學(xué)中的信息熵（對(duì)信息多少的量化稱信息熵）作為評(píng)估密碼強(qiáng)度的標(biāo)準(zhǔn)，其計(jì)算公式為H=L×log2N（L表示密碼長(zhǎng)度），至于當(dāng)中N的取值我們還是來(lái)看看下面這個(gè)表格。

根據(jù)公式可以知道，密碼強(qiáng)度（H）與密碼長(zhǎng)度（L）和字符種類（N）兩者有關(guān)。假設(shè)密碼的長(zhǎng)度單位是比特，8個(gè)比特為一個(gè)字節(jié)，如果一臺(tái)計(jì)算機(jī)的計(jì)算能力為每秒完成256次組合運(yùn)算，破解8個(gè)字符組成的密碼僅需4分16秒；若密碼長(zhǎng)度為16個(gè)字符，破解它需要149 745 258 842 898年。當(dāng)然，我們只是舉了一個(gè)比較極端的例子。實(shí)際上，只有95（26個(gè)小寫字母+26個(gè)大寫字母+10個(gè)數(shù)字+33個(gè)標(biāo)點(diǎn)符號(hào)）個(gè)字符能用來(lái)當(dāng)做傳統(tǒng)的密碼使用（生物識(shí)別另說(shuō)）。

介于以上種種，也有不少人將自己的密碼設(shè)置的既復(fù)雜又長(zhǎng)，然而在一次次的“設(shè)置-遺忘-設(shè)置”循環(huán)中，我們開始傾向性地選擇那些常用信息作為自己的密碼，例如姓名、生日、電話等等，這為暗處的黑客創(chuàng)造了肆意作惡的機(jī)會(huì)。有人曾專門研究人們?cè)O(shè)置密碼時(shí)的偏好，發(fā)現(xiàn)大多數(shù)的人都喜歡用人名、地名、字典詞匯和數(shù)字來(lái)設(shè)置自己的密碼，還有少數(shù)人直接把用戶名當(dāng)做密碼，然而不管哪種都存在極大的安全隱患。一旦黑客掌握了這些“偏好”，只需編寫一個(gè)密碼字典，就能暴力破解這些賬號(hào)的密碼。

如何設(shè)置一個(gè)靠譜的密碼？

一個(gè)好密碼應(yīng)當(dāng)兼顧安全性與可用性。這里我們給出一些設(shè)置密碼的方法，希望能夠幫助各位創(chuàng)建一個(gè)無(wú)法破解的密碼。

Bruce Schineier方法。這是2008年提出的一種密碼思路，即找一個(gè)句子（可以是任何一句話），將句子中的每一個(gè)單詞找出來(lái)，縮略為一個(gè)字母，然后通過(guò)獨(dú)特的方式組合成為一段密碼，最后一句話生成一個(gè)密碼。例如，W ow imp：：ohth3r→Where oh where is my pear Oh， there。

Electrum錢包法。知曉比特幣的朋友大概都知道錢包的“密碼”地址是怎樣形成的。Electrum是一個(gè)比特幣錢包服務(wù)，能夠?yàn)橛脩舻谋忍貛佩X包地址，通過(guò)哈希機(jī)制轉(zhuǎn)換為一個(gè)12個(gè)單詞組成的助記碼。。

PAO法。其實(shí)，是卡耐基梅隆大學(xué)計(jì)算機(jī)科學(xué)家建議使用的一種名為‘人-動(dòng)作-物品（即Person-Action-Object，PAO）的密碼助記方法，來(lái)創(chuàng)建和記憶高安全性的密碼。大致方法就是，找一個(gè)有趣的地方的一張照片、找一個(gè)你熟悉的人或名人的照片、想象這個(gè)人在這個(gè)地方做的一件事，例如傻臉娜在家做飯（selena gomez cook at home），形成sgcoho這樣一個(gè)隨機(jī)的6位密碼，當(dāng)然你可以創(chuàng)建不同長(zhǎng)度的密碼。

發(fā)音和肌肉記憶法。隨便找一個(gè)密碼生成器，生成至少20個(gè)至少10位長(zhǎng)的密碼，當(dāng)然要包括數(shù)字和字母，反復(fù)看并找到一些和單詞類似的發(fā)音結(jié)構(gòu)，找到那些勉強(qiáng)能夠發(fā)音出來(lái)的密碼，而且能夠大概寫成短句的，例如drEnaba5Et→doctor enaba 5 E.T.，又或是BragUtheB5→brag you the V5。