有效口令的设置研究

摘要：北约对南联盟的轰炸引起了“黑客”世界大战，许多站点被攻击，安全专家又一次受到挑战。尽管安全保护措施不断出台，系统软件不断增加安全防范功能，但黑客的手段也日渐高超，正所谓“道高一尺，魔高一丈 ”，安全理论和技术在这场拉锯站中也将日臻复杂。
关键词：有效口令 设置 防范系统
前言
   再复杂的安全防范系统都有一道最重要的防线：身份认证——对想访问系统和其数据的人进行鉴别交检验其身份，这便引入了人为因素，因此，它就成了黑客最感兴趣的安全漏洞。
身份认证有四种主要方法：一是对用户所知道的信息进行认证，要求用户输入一些保密信息，如用户名和口令等；二是用所拥有的物理识别设备进行认证，如访问卡、钥匙或令牌等；三是对用户的基本特征进行认证，采用生物统计学系统，基于某种特殊的物理特征对人进行唯一性识别，如指纹、视网膜血管分布图等；四是用下意识动作进行认证，要求用户进行一些别人无法模仿的动作，如笔迹、击键习惯等，然后提取数据结果进行校验。后三种方法的实现非常困难，而且成本昂贵，一般除安全保密部门之外都不使用。最常见的身份认证方法是口令法，这种方法易于实现，并能有效识别用户的身份。
一、        对口令的攻击
在计算机安全系统中，用口令进行身份认证是防止入侵的 论文检测天使-免费论文检测软件http://www.jiancetianshi.com
第一道重要防线，黑客若没有获得一个有效的口令，要想闯入计算机系统就很困难。因此，黑客攻击的 论文检测天使-免费论文检测软件http://www.jiancetianshi.com
第一步便是设法收集口令。
口令丢失不仅是你个人的损失，而且黑客通过你的口令进入系统后，会利用你的帐户权限破坏整个系统，或以此为跳板攻击其他系统。因此，选择一个安全有效的口令是非常重要的。
什么样的口令才算有效呢？只有知道黑客如何破获口令的，才能设置出他们解不了的口令，这样的口令才算有效。
黑客破解口令时一般先尝试使用用户名及其各种排列或加上数字、标点符号等，如果他了解用户很多的信息，比如生日、电话号码、家人或宠物的名字等，他会不断地尝试，若都不正确，就会采用以下两种方法：
一是“口令入侵者”——可以解开口令或者屏蔽口令保护的程序。口令入侵者并不能真的解开单向加密的口令，而是使用仿真工具，利用与原口令程序相同的方法，通过对比分析，用不同的加密口令去匹配原口令。许多“口令入侵者”都借助字典文件进行“蛮力”攻击，以很高的速度一个接一个地去试，最终会碰到正确的口令。
二是利用“特洛伊木马”——提供了用户所需用要的功能同时隐含了不良动机的程序，它会在你不了解的情况下拷贝文件或窃取密码。这类程序可能通过各种途径进入计算机，但又很难被发现。比如有些窃取密码的程序伪装成系统登录屏，等你输入帐号和口令，然后提示“口令不正确”或“系统出故障，请重新登录”等信息，再转到真正的系统登录屏，有的程序会给用户造成一种系统无意中退出的印象，当重新显示登录屏时，用户就会输入登录信息，这样信息就被记录下来传给了黑客。

　　论文检测天使-免费论文相似性查重http://www.jiancetianshi.com
二、        选择有效口令
黑客攻击口令很厉害的一招是“蛮力搜索”——逐个尝试各种可能的口令组合，但他们往往不用这个方法，而是根据人们的习惯进行猜测。为此，选择有效的口令可从以下几个方面入手：
（1）       千万不要使用你的有户名或真名做口令。安全行业把用户名做口令的帐户称为Joe，它是黑客测试的 论文检测天使-免费论文检测软件http://www.jiancetianshi.com
第一个口令。
（2）       不要认为口令只能是数字，或只能是字母，口令可以使用：26×2（大小写字母）+10（数字）+33（标点符号）=95个字符。一个好的口令应包括大小写字母、数字、标点符号等，不要认为这很难记，如“1Q23L，yc45J.”可以记成“一去二三里，烟村四五家。”，这种口令虽然复杂，但很好记，又很难被搜索到。
（3）       口令越长，“蛮力搜索”需要的时间就越长。过去专家建议至少要取6位字符口令，而以现在的机器速度，6位口令并不可靠。如果取一个好的8字符口令，其各种组合大约为6.63E15种，在高速计算机上每秒算1百万次，使用“蛮力搜索”平均需要1百年时间。
（4）       不要使用你的配偶、孩子、宠物、朋友或所在地的名字，以及生日、证件号码、电话号码等有关你的任何信息做口令，因为有时黑客并不遥远，他可以搜集你的很多住处在你的机器上进行攻击，因此不可不防。说到此，还要提醒你提防“肩部冲浪者”他会在你键入口令时记住它。
（5）       不要使用任何语言的单词或单词的变形作口令，“口令入侵者”可以搜索很多词典，再加上破译过程是由程序自动完成的，因此，有可能只需几个小时，便可破译口令，它比“蛮力搜索”要快得多。
　　[8]电大学习网.免费论文网[EB/OL]. /d/file/p/2024/0424/fontbr />（6）       千万不要将口令以任何方式写下来，更不要存在文件中，如果脑子记不住，就换一个。
（7）       千万不要将口令告诉他人，无论他是谁或声称是谁！黑客是很好的“社会工程师“，他会不遗余力巧妙耐心地说服你将口令或其他敏感信息泄露给他，甚至伪装成系统管理员要求用户提供口令。
（8）       在不同的登录中不要使用同一个口令。有些口令的存放或传输是以明文或简单加密方式进行的，一旦被黑客获取，他便可以打入到你能进入的系统。
（9）       永远不要对你的口令过于自信，要定期更换口令，不能重复使用同一个口令，这样可以避免“执着”的黑客进行“蛮力搜索”，或即使口令泄露，黑客也无法长期使用它。
（10）   如果登录过程中出现了令人意外的现象，如你肯定输对了口令，系统却显示“口令不对”或“系统出故障，请重新登录”等信息时，要考虑到是否有“特洛伊木马”伪装的登录屏套取你的口令或用户名？此时可请系统管理员进行分析，以防患于未然。
如果每个用户都遵循以上十条规则，你的口令就会很有效，黑客也会对它大伤脑筋。笔者认为没有几个黑客会真的使用“蛮力搜索”，如果破坏不了口令，那他只能去搜录系统的其它漏洞了。
三、        设置用户帐户
目前，在有些操作系统中设计了较好的安全帐户策略，如Windows NT，如果用户能正确设置，口令就会安全有效。
以Windows NT（中文版）为例，系统安装完毕后，用户应首先进入“程序”→“管理工具（公用）”→“用户管理器”，在“策略”菜单中选择“帐号”，会出现“帐号规则”窗口（如图1所示）。其中各项的功能如下：
（1）       密码最长期限：用户应规定口令更换时间，到时强制更换口令，不能让口令永久有效。一个口令最多用四个月，故可将密码最长期限设为90-120天。
（2）       最短密码长度：用户应限定口令的最短长度，以目前的计算机速度来说，口令应在8字符以