口令安全系列之二——带你见证强口令的诞生

发布时间： 2016-01-11 11:42:18  

分享到：

在上一期中，我们介绍了弱口令的前世今生，相信大家已经了解了弱口令的产生以及一个强壮口令的判断标准。然而，很多人不禁会提出这样的疑问：我们要维护那么多的账号口令，如果每个口令都设置的比较复杂，怎么能记得住呢？本期信息安全资讯就来给大家介绍一些设置好用又好记的口令的方法。

一、口令分级

考虑到现代社会各类账号之间往往具有许多的关联性，如公司的邮箱账号和OA账号或其他办公系统账号是一样的，某个个人邮箱可能被作用于多个常用网站的用户。因此，当攻击者获取了某个用户账号和口令以后，可能会将该账号口令尝试登录多个常用的网站或系统以达到利益最大化。要真正避免上述情况的发生，只有为每一个系统配置不同的口令才能做到，然而实际生活中几乎没有人能够真正记住那么多数量的口令。因此，账号口令进行分类，针对不同类别的账号设置不同级别的口令成为了一种折衷和可行的方式。

根据账号口令泄露可能产生的风险程度，我们可以把账号口令分为重要、中等、一般三个不同的级别，针对每个级别设计不同的口令，这样我们就能够在只记录少量口令的情况下降低口令泄露带来的风险。

上述分级方式，我们只需要记录5~6个口令即可满足日常的需求，在实际使用的时候只要确认一下系统的级别，最多通过两到三次的尝试即可正常登录系统。采用上述分级方式设计口令通常重要级别的越高的口令，使用的范围越小，泄露的风险也越小，结合口令复杂度要求就能够很好的保护口令安全。

二、强口令设计技巧

通过口令分级的方式能够比较好的降低我们需要记忆的口令数量，但是记忆5~6个复杂口令依然不是一件容易的事，如何将口令设置的又强又好记呢？这里给大家介绍一些技巧。

1）选取合适的元素

在上一期中我们已经了解了黑客在建立弱口令字典的时候首先会选取一些常用和易猜测的元素，如常见的数字字母组合、常见的按键位置组合、用户名、公司名称、产品名称、日期年份等。因此，选取不易猜测的元素来组成我们的口令就是一个很关键的动作，这些元素首先要易于记忆，同时要与自身和系统关联性比较低，属于攻击者难以获取或不易联想的内容，满足这两个条件的元素就可以成为组成强口令的元素了。以下是一些比较合适组成口令的元素：

●兴趣爱好，如喜爱的书、音乐、电影、电视剧、明星、美食、运动等

●古诗词、俗语、谚语、名人名言

●具有特殊意义的人名、地名，如儿时的玩伴、邂逅美好爱情的咖啡厅等

●心底的愿望：要减肥、周游世界、中彩票等

2）将元素转化为口令

选取好合适元素之后，我们就需要将元素转化成口令，这里推荐两种转化的方法，替换法和拼接法。

替换法的核心思路是将元素先转化成拼音首字母，然后使用一些方式替换其中部分字母，形成不易猜测的口令，替换法通常用于较长的元素，如古诗词、俗语、谚语、名人名言等。常用的替换思路如下：

●用数字替换代表数字的字母

●用英文单词替换部分词语，建议替换部分变为大写

●用拼音全拼替换某个首字母，建议替换部分变为大写

●用某个相似的特殊符号代替某个首字母

●根据元素的语气在句末增加标点符号。

灵活运用以上部分，就可以形成又好记又能满足口令复杂度要求的口令。以“一行白鹭上青天”为元素的情况做例子，先将该诗句转化为首字母yhblsqt，然后进行替换：

使用第1、2、5条规则，用1替换字母y，使用SKY替换字母qt（青天），在句末加入句号，变为“1hblsSKY.”

使用第1、3、4条规则，用1替换字母y，用TIAN替换字母t，用$替换字母s，变为“1hbl$qTIAN”

以上两个口令长度均为10，包含数字、大小写字母、符号，口令复杂度高且只要记住古诗就很容易记住口令。

熟练掌握替换法可以设计出很多有趣又强大的口令，如

●y4yhl9DAY.（疑是银河落九天。）

●45DUjywtk~（45度角仰望天空~）

●1ghh3gHELP!（一个好汉三个帮！）

●4kr,sbkREN?（是可忍，孰不可忍？）

如果觉得上述方式太麻烦，或者选取的元素比较短不足以独立形成口令怎么办呢？那么可以使用更加简单快捷的拼接法。拼接法的思路更加简单，按照以下三个步骤就可以完成：

第一步：选择两个关联性小元素将其进行转化为首字母。（如元素1为歌名，则元素2不应为对应的歌手或电影，可以选择运动、美食、儿时伙伴等无关的元素）

第二步：选择一个喜欢的数字和符号，为了便于记忆，可以选择某个数字及在键盘上代表的符号，不同的口令可以选择相同的拼接符。

第三步：用选择的数字和符号将两个元素拼接起来，其中一个元素全为大写。

例如：

●QHC1!ychdzx（青花瓷拼接阳澄湖大闸蟹——最喜欢的歌和美食）

●myz2@WHKL（芈月传拼接文化苦旅——最喜欢的电视剧和书籍）

●XSKDJS3#ymq（肖申克的救赎拼接羽毛球——最喜欢的电影和运动）

●XBKDF4$ldh（星巴克咖啡拼接刘德华——最喜欢的咖啡店和偶像）

●WOJF5%zcp（我要减肥拼接中彩票——新年愿望）

掌握了上述的口令设计技巧，设计5~6个常用的强口令你还觉得困难吗？快去修改一下自己常用的口令吧。

当然，人们对美好生活的向往和追求是无止境的，也许还有人觉得记录5~6个口令还是太过繁琐，尤其是在应用系统较多的情况下如何将口令和应用对应起来还是比较困难，那么请关注新东网信息安全资讯口令安全系列下一期内容——教你使用自动化工具管理口令。