復(fù)雜的密碼規(guī)則？強(qiáng)制修改密碼？這些措施對防范黑客不一定有幫助！
(adsbygoogle = window.adsbygoogle || []).push({});
為了保障網(wǎng)絡(luò)上的信息安全，密碼的關(guān)鍵性自然是重中之重。在過去，一旦發(fā)生信息事件時，許多網(wǎng)站或線上服務(wù)，都會要求使用者立即更改密碼，甚至設(shè)下無比復(fù)雜的密碼規(guī)則，只為了避免傷害進(jìn)一步擴(kuò)大。
但是，將密碼設(shè)得極其復(fù)雜，以及要求使用者頻繁、常態(tài)性的更換密碼，真的有助于保障個人帳號安全嗎？關(guān)于這點，我們或許得從另一個層面進(jìn)行思考。
數(shù)據(jù)庫被攻陷，改密碼也沒用
事實上，多數(shù)涉及個人資料外流的大規(guī)模信息安全事件，遭到攻破的目標(biāo)都不是個別或單一使用者，而是網(wǎng)站數(shù)據(jù)庫或服務(wù)提供商本身。由于業(yè)者在權(quán)限上的管理不當(dāng)，或者軟、硬件部分出現(xiàn)弱點，才使黑客有機(jī)可趁。
換句話說，即便使用者已經(jīng)做足一切信息安全防護(hù)措施，其實也阻擋不了儲存?zhèn)€人資料的服務(wù)器遭黑客攻陷，所以即便有著再復(fù)雜的密碼，也無法避免黑客從源頭下手。此外，許多業(yè)者要求立即更換密碼的行為，大多也沒有實質(zhì)意義，畢竟當(dāng)機(jī)密資料已經(jīng)從服務(wù)器外流，使用者即便想亡羊補(bǔ)牢，通過更換密碼來阻擋下次外泄，也改變不了之前資料已經(jīng)曝光的事實。
同時，黑客有著很高的可能性，在已經(jīng)攻破的設(shè)備上植入后門，等待下次攻擊機(jī)會，再度提取資料，服務(wù)器提供者若無法“清零”這些后門程序并補(bǔ)上漏洞，使用者若又于此時更換新密碼，等于是直接幫黑客打了一支新鑰匙。
更換密碼的意義在“損害管控”
既然如此，更換密碼的意義又是什么呢？站在資料安全的角度，受入侵后立刻更換密碼的行為，主要還是不希望讓災(zāi)情波及到其他服務(wù)，尤其是為那些偏好選擇同一組密碼，暢行多個線上服務(wù)的用戶，及時做好損害控管。
因此，用戶在帳號密碼上較為良好的管理習(xí)慣，應(yīng)該是有意識的讓不同的服務(wù)，各自擁有不同的密碼，而不是僅靠一、兩組密碼走天下，對于提供服務(wù)的網(wǎng)絡(luò)業(yè)者也該采行不信任態(tài)度，事先預(yù)設(shè)他們的數(shù)據(jù)庫，總有一天會發(fā)生信息安全事件。
只不過，由于網(wǎng)絡(luò)上的服務(wù)成千上萬，對于人類來說，如果每一個服務(wù)都要記憶不同的密碼，同時適應(yīng)嚴(yán)苛、復(fù)雜的密碼規(guī)則，對于腦袋而言是個很大的負(fù)擔(dān)，因此如 LastPass、1Password 這類的密碼管理器，其實就有著相當(dāng)不錯的應(yīng)用空間，若配合混合密碼生成器使用，既可以減少思考的麻煩，也能夠使帳號的安全保障更上層樓，并且避免資料安全損害擴(kuò)大。
沒有密碼就是最好的密碼
目前較主流的線上服務(wù)提供者，例如 Google、Facebook 與微軟，反而都意識到了最好的密碼其實是“沒有密碼”，他們選擇改以在用戶登入帳號時，發(fā)送信息到用戶綁定的手機(jī)、平板等設(shè)備，再一次進(jìn)行確認(rèn)登入的步驟，甚至于直接改采用經(jīng)過綁定誰被掃描 二維碼之類的方式進(jìn)行登入，完全拋棄帳號、密碼的概念。
假如所使用的服務(wù)還無法提供上述類似功能，那么現(xiàn)在資料安全的最基本要求，就是使用者必須盡可能的開啟兩步驟認(rèn)證（2FA，或雙因素認(rèn)證）。無論是通過接收手機(jī)短信、撥打認(rèn)定電話或輸入驗證器 App 所產(chǎn)生的 OTP 密碼，其實都能通過此大幅提升帳號安全，提供比超復(fù)雜密碼、經(jīng)常更換密碼等更有用的保護(hù)措施。