編者按：密碼作為一種重要的身份認(rèn)證手段，隨著時(shí)代的演變，也在不斷更新。在1976年，美國密碼學(xué)家迪菲和赫爾曼在一篇題為“密碼學(xué)的新方向”一文中提出了一個(gè)嶄新的思想，不僅加密算法本身可以公開，甚至加密用的密鑰也可以公開。

但這不意味著保密程度的降低。因?yàn)槿绻用苊荑€和解密密鑰不一樣。而將解密密鑰保密就可以。這一理論的提出，無疑打開了密碼學(xué)新篇章。本文節(jié)選了汪德嘉博士《身份危機(jī)》一書中的賬號(hào)密碼體系，帶大家一起解密賬號(hào)密碼的發(fā)展現(xiàn)狀及賬號(hào)密碼存在眾多的安全性及可用性問題。

賬號(hào)密碼發(fā)展現(xiàn)狀

20世紀(jì)90年代互聯(lián)網(wǎng)進(jìn)入千家萬戶以來，互聯(lián)網(wǎng)服務(wù)（如郵件、電子商務(wù)、社交網(wǎng)絡(luò)）蓬勃發(fā)展，賬號(hào)密碼成為互聯(lián)網(wǎng)世界里保護(hù)用戶信息安全的最主要手段之一。也是現(xiàn)今大多數(shù)網(wǎng)絡(luò)系統(tǒng)所使用的最簡(jiǎn)單的訪問控制方法，通過密碼的匹配來確認(rèn)用戶的合法性。

系統(tǒng)為每一個(gè)合法用戶建立一個(gè)ID/PW（賬號(hào)/密碼）對(duì)，當(dāng)用戶登錄系統(tǒng)時(shí)，提示用戶輸入自己的賬號(hào)和密碼，系統(tǒng)通過核對(duì)用戶輸入的賬號(hào)密碼與系統(tǒng)內(nèi)已有的合法用戶的ID/PW是否匹配，來驗(yàn)證用戶的身份。

“賬號(hào)+密碼”身份驗(yàn)證方式中提及的密碼為靜態(tài)密碼，是由用戶自己設(shè)定的一串靜態(tài)數(shù)據(jù)，靜態(tài)密碼一旦設(shè)定之后，除非用戶更改，否則將保持不變。這也就導(dǎo)致了靜態(tài)密碼的安全性缺點(diǎn)，比如偷窺、猜測(cè)、字典攻擊、暴力破解、竊取、監(jiān)聽、重放攻擊、木馬攻擊等。

另一方面，由于許多用戶為了防止忘記密碼，經(jīng)常采用諸如生日、電話號(hào)碼等容易被猜測(cè)的字符串作為密碼，或者把密碼記錄在一個(gè)自認(rèn)為安全的地方，這樣很容易造成密碼泄露。

當(dāng)然，為了從一定程度上提高靜態(tài)密碼的安全性，用戶可以定期對(duì)密碼進(jìn)行更改，但是這又導(dǎo)致了靜態(tài)密碼在使用和管理上的困難，特別是當(dāng)一個(gè)用戶有幾個(gè)甚至幾十個(gè)密碼需要處理時(shí)，非常容易造成密碼記錯(cuò)和密碼遺忘等問題，而且也很難要求所有的用戶都能夠嚴(yán)格執(zhí)行定期修改密碼的操作，即使用戶定期修改，密碼也會(huì)有相當(dāng)一段時(shí)間是固定的。賬號(hào)密碼的不足之處主要表現(xiàn)在以下幾點(diǎn)：

• 賬號(hào)密碼的易用性和安全性互相排斥，兩者不能兼顧，簡(jiǎn)單容易記憶的密碼安全性弱，復(fù)雜的靜態(tài)密碼安全性高但是不易記憶和維護(hù)；

• 賬號(hào)密碼安全性低，容易遭受各種形式的安全攻擊；

• 賬號(hào)密碼的風(fēng)險(xiǎn)成本高，一旦泄密將可能造成最大程度的損失，而且在發(fā)生損失以前，通常不知道靜態(tài)密碼已經(jīng)泄密；

• 賬號(hào)密碼的使用和維護(hù)不便，特別一個(gè)用戶有幾個(gè)甚至十幾個(gè)靜態(tài)密碼需要使用和維護(hù)時(shí)，靜態(tài)密碼遺忘及遺忘以后所進(jìn)行的掛失、重置等操作通常需要花費(fèi)不少的時(shí)間和精力，非常影響正常的使用感受。

靜態(tài)口令認(rèn)證技術(shù)在面臨上述形式的網(wǎng)絡(luò)攻擊時(shí)就顯得非常的脆弱，攻擊者非法獲得合法用戶的口令并入侵網(wǎng)絡(luò)系統(tǒng)的安全事件經(jīng)常發(fā)生。為了提高靜態(tài)口令認(rèn)證系統(tǒng)的安全性，一些系統(tǒng)對(duì)用戶的口令管理作一定的限制，例如限制口令的長(zhǎng)度和內(nèi)容

• 要求定期更換口令

• 要求用戶在固定時(shí)間段內(nèi)登錄

• 要求用戶在固定設(shè)備上登錄

• 不允許多人共享一個(gè)用戶名和口令等。

盡管賬號(hào)密碼存在眾多的安全性及可用性問題，同時(shí)也有大量的新型身份認(rèn)證技術(shù)被提出，這些替代型方案有的在安全性方面優(yōu)于賬號(hào)密碼，有的在可用性方面勝過賬號(hào)密碼，但幾乎都在可部署性(deployability)方面劣于賬號(hào)密碼，并且各自存在一些固有的缺陷。賬號(hào)密碼身份認(rèn)證方式憑借其簡(jiǎn)單易用、成本低、容易更改等特點(diǎn)，在可預(yù)見的未來，仍然是互聯(lián)網(wǎng)中最主要的身份認(rèn)證方式。

賬號(hào)密碼市場(chǎng)調(diào)研分析

靜態(tài)口令即賬號(hào)密碼，賬號(hào)密碼是由人生成的，因此賬號(hào)密碼的安全性與人有著必然的聯(lián)系，大多數(shù)用于為了記憶方便，習(xí)慣性使用弱密碼、多個(gè)平臺(tái)使用同一密碼、未定期更換密碼等。

比如，同樣是注冊(cè)12306賬號(hào)，有的人認(rèn)為該賬號(hào)不重要，使用弱口令“111111”作為密碼；也有的人采用“p@ssword”作為密碼，但是，如果其他人也有同樣設(shè)置密碼的習(xí)慣，攻擊者即會(huì)了解這一用戶行為，該密碼也就成為弱口令的一種；再有的人習(xí)慣用自己的生日作為密碼，甚至是多個(gè)平臺(tái)使用同一密碼，這一用戶行為大大降低賬號(hào)密碼的安全性。

在第二屆國家網(wǎng)絡(luò)安全宣傳周的啟動(dòng)儀式上，《我國公眾網(wǎng)絡(luò)安全意識(shí)調(diào)查報(bào)告（2015）》正式發(fā)布。該調(diào)查為我國首次開展的全國性網(wǎng)絡(luò)安全意識(shí)調(diào)查活動(dòng)，在一個(gè)月的時(shí)間里，回收有效問卷25萬余份，調(diào)查對(duì)象覆蓋我國31個(gè)?。▍^(qū)、市），年齡跨度從7歲的兒童至60歲以上的老年人。我國公眾使用賬號(hào)密碼安全性問題主要表現(xiàn)在如下三個(gè)方面：

1. 弱口令

1979年，Morris和Thompson在他們的開創(chuàng)性論文里分析了3289個(gè)真實(shí)用戶口令，發(fā)現(xiàn)86%落入普通字典，33%可以在5min內(nèi)搜索出來。后續(xù)大量研究表明，除了選擇單詞作口令，用戶常常將單詞進(jìn)行簡(jiǎn)單變換，以滿足網(wǎng)站口令設(shè)置策略的要求。

比如“123abc”可以滿足“字母＋數(shù)字”的策略要求。這些最流行的單詞及其變換就形成了國民口令。中文國民口令多為純數(shù)字，而英文國民口令多含字母，這體現(xiàn)了語言對(duì)口令行為的影響。有趣的是，愛情這一主題在國民口令中占據(jù)了重要地位。高達(dá)1.01%～10.44%的用戶選擇最流行的10個(gè)口令，這意味著攻擊者只要嘗試10個(gè)最流行的口令，其成功率就會(huì)達(dá)到1.01%～10.44%。

2. 未定期更換密碼：

《我國公眾網(wǎng)絡(luò)安全意識(shí)調(diào)查報(bào)告（2015）》顯示，定期更換密碼的被調(diào)查者僅占18.36%，而遇到問題才更換密碼的被調(diào)查者有64.59%，有17.05%的被調(diào)查者從來不更換密碼（見圖6-1）。

對(duì)此，工業(yè)和信息化部電子科學(xué)技術(shù)情報(bào)研究所所長(zhǎng)洪京一表示，定期更換密碼對(duì)保證個(gè)人賬戶安全、防止個(gè)人隱私泄露具有重要意義，尤其是個(gè)人網(wǎng)銀等較為重要的賬號(hào)應(yīng)該定期更換密碼。

圖6-1 公眾更換密碼情況分析

3.   多賬號(hào)同密碼

調(diào)查指出，公眾多賬號(hào)使用同一密碼的情況高達(dá)75.93%（見圖6-2），多賬戶使用同一密碼更容易遭到黑客攻擊，因?yàn)楹诳涂赏ㄟ^防御性較弱的網(wǎng)站獲取密碼信息，再登錄到賬戶中進(jìn)行信息竊取。

調(diào)查顯示，我國超七成被調(diào)查者存在多賬號(hào)使用同一密碼的問題，特別是青少年多賬號(hào)使用同一密碼的比例高達(dá)82.39%。

圖6-2 公眾密碼設(shè)置情況

技術(shù)原理

在賬號(hào)密碼技術(shù)的運(yùn)作過程中，系統(tǒng)將賬號(hào)密碼的配對(duì)信息以密文形式存儲(chǔ)在數(shù)據(jù)庫中，通過系統(tǒng)管理員分配給用戶，用戶在需要進(jìn)行身份認(rèn)證時(shí)，在頁面輸入注冊(cè)的用戶名及密碼，系統(tǒng)獲取這組輸入的信息后，將其與數(shù)據(jù)庫中存儲(chǔ)的用戶名，密碼進(jìn)行比對(duì)，比對(duì)一致即視為認(rèn)可該用戶為合法用戶，若比對(duì)不通過，則視為非法用戶。靜態(tài)密碼技術(shù)原理圖（見圖6-3）。

圖6-3 靜態(tài)密碼技術(shù)驗(yàn)證流程圖

用戶名（賬號(hào)）/密碼的對(duì)比校驗(yàn)支持在本地完成，對(duì)于無需網(wǎng)絡(luò)支持的系統(tǒng)或者移動(dòng)端信息系統(tǒng)，例如手機(jī)、平板電腦的開機(jī)密碼，我們稱之為本地密碼認(rèn)證，而與之相對(duì)的是遠(yuǎn)程密碼認(rèn)證，一般用于需要網(wǎng)絡(luò)支持的應(yīng)用及信息系統(tǒng)，由服務(wù)器端來負(fù)責(zé)驗(yàn)證，例如電子郵件、網(wǎng)絡(luò)游戲的賬號(hào)、密碼等。

賬號(hào)密碼的存儲(chǔ)方式分為：Hash雜湊存儲(chǔ)、鹽處理存儲(chǔ)等，詳細(xì)介紹如下：

Hash雜湊存儲(chǔ)

• 技術(shù)原理

使用雜湊函數(shù)為口令文件產(chǎn)生指紋，將每一個(gè)用戶的賬號(hào)和密碼的雜湊值存儲(chǔ)在一個(gè)口令文件（數(shù)據(jù)庫）中。當(dāng)用戶需要認(rèn)證身份時(shí)，輸入口令后，系統(tǒng)在計(jì)算口令的雜湊值，與數(shù)據(jù)庫中存儲(chǔ)的雜湊值比對(duì)。比對(duì)成功，則身份認(rèn)證成功；反之，若比對(duì)失敗，則身份認(rèn)證失敗。靜態(tài)密碼雜湊存儲(chǔ)技術(shù)原理（見圖6-4）。

圖6-4 靜態(tài)密碼雜湊存儲(chǔ)技術(shù)原理

加鹽處理

• 技術(shù)原理

加鹽加密是一種對(duì)系統(tǒng)口令的加密方式，它實(shí)現(xiàn)的方式是將每一個(gè)口令同一個(gè)叫做“鹽（salt）的n位隨機(jī)數(shù)相關(guān)聯(lián)。

無論何時(shí)只要口令改變，隨機(jī)數(shù)就改變。隨機(jī)數(shù)以未加密的方式存放在口令文件（數(shù)據(jù)庫）中，這樣每個(gè)人都可以讀。不再只保存加密過的口令，而是先將口令和隨機(jī)數(shù)連接起來然后一同加密，加密后的結(jié)果放在口令文件中。靜態(tài)密碼加鹽存儲(chǔ)技術(shù)原理（見圖6-5）。

圖6-5 靜態(tài)密碼加鹽存儲(chǔ)技術(shù)原理

在帶有鹽度值的安全哈希加密算法中，鹽度值的作用極其重要，通過系統(tǒng)為每個(gè)用戶隨機(jī)生成一個(gè)鹽度值，并與用戶提供的密碼相結(jié)合，使得用戶的密碼具有高度的隨機(jī)性，即便多個(gè)用戶提供了相同的密碼，但由于系統(tǒng)為他們隨機(jī)生成的鹽度值的不同，使得他們密碼的哈希值也是不同的。

這樣，即便攻擊者可以通過特定的密碼和其對(duì)應(yīng)的哈希值來找具有這個(gè)特定密碼的用戶，但是其成功率就明顯地降低了。

• 帶有鹽值的Hash算法優(yōu)勢(shì)

采用帶有鹽值的安全哈希加密算法對(duì)用戶密碼進(jìn)行加密后，即便多個(gè)用戶提供了相同的初始密碼字符串，但由于系統(tǒng)為每個(gè)用戶隨機(jī)生成的鹽值不同，而使得加密得到的密文不同，這就使得利用字典、彩虹表進(jìn)行攻擊的攻擊者需要為每個(gè)鹽度值創(chuàng)建一條字典記錄，這將使攻擊變得非常復(fù)雜。

此外，通過將系統(tǒng)提供的較長(zhǎng)的、含有特殊字符的附加碼和用戶輸入的密碼相結(jié)合，可以使得明文密碼進(jìn)一步隨機(jī)化，并且增加了明文密碼的長(zhǎng)度，這也在一定程度上增加了攻擊者利用字典、彩虹表進(jìn)行攻擊的難度。因此，采用帶有鹽度值的安全哈希加密算法對(duì)用戶密碼進(jìn)行加密可以很好地提升用戶密碼的安全性。

結(jié)束：

在現(xiàn)代密碼學(xué)中，除了信息保密外，還有另一方面的要求，即信息安全體制還要能抵抗對(duì)手的主動(dòng)攻擊。

所謂主動(dòng)攻擊指的是攻擊者可以在信息通道中注入他自己偽造的消息，以騙取合法接收者的相信。主動(dòng)攻擊還可能竄改信息，也可能冒名頂替，這就產(chǎn)生了現(xiàn)代密碼學(xué)中的認(rèn)證體制。該體制的目的就是保證用戶收到一個(gè)信息時(shí)，他能驗(yàn)證消息是否來自合法的發(fā)送者，同時(shí)還能驗(yàn)證該信息是否被竄改。在許多場(chǎng)合中，如電子匯款，能對(duì)抗主動(dòng)攻擊的認(rèn)證體制甚至比信息保密還重要。

社會(huì)已逐步步入了信息時(shí)代，隨著數(shù)據(jù)庫技術(shù)和計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)用的不斷深入，信息的安全傳輸也有著廣闊的應(yīng)用前景。

PKI是一種遵循標(biāo)準(zhǔn)的利用公鑰加密技術(shù)為電子商務(wù)的開展提供一套安全基礎(chǔ)平臺(tái)的技術(shù)和規(guī)范。用戶可利用PKI平臺(tái)提供的服務(wù)進(jìn)行安全通信。PKI的理論基礎(chǔ)是基于密碼學(xué)，它所使用的基礎(chǔ)技術(shù)包括加密（非對(duì)稱和對(duì)稱）、數(shù)字簽名、數(shù)據(jù)完整性機(jī)制、數(shù)字信封、雙重?cái)?shù)字簽名等。在下篇文章中將帶大家一同了解什么PKI體系？又是什么？敬請(qǐng)期待！