关键词:  
首页 > 槽边往事文章 > 槽边往事视频

好消息:别再为你的密码烦恼了

2017-08-10 17:31:22 来源:网络 编辑:槽边往事

好消息:别再为你的密码烦恼了

今天有一条真正的好消息:现行的密码设置原则是错的!

我们都知道,许多公司、网站、APP都推荐甚至强制我们设定所谓的“强密码”。也就是说,一个密码应该由大小写字母、数字和特殊符号组成,类似:

AABaCc2017@)!&

有些公司和网站,还会要求用户每90天要更换一次密码。比如说我当年在腾讯工作的时候就是如此,而且,每次要求密码不能和上次的一样,不允许有重复的部分,所以每过90天就要痛苦地构思一次密码,可以说是季度性头疼了。

强密码+定期更换,这就是现行的密码设置原则。它是怎么来的呢?说出来你可能不相信,全球那么多人,那么多公司忍受了那么多年的折磨,全只是因为一个人,他就是Bill Burr先生。2003年,Bill先生在美国国家标准与技术研究院工作期间,起草了一份密码指南。在这份指南里,他提出了这个密码设置原则。在其后的14年间,这个原则漂洋过海,成为全球性标准,一直荼毒我们到了今天。

但就在今天,Bill Burr接受华尔街日报采访的时候,向媒体表示说:他很后悔做了这些事情。因为他所设计的密码设置原则对于提高密码的安全性并没有帮助,相反的,它还可能提高了密码泄露的风险。

由于密码太过复杂,而且需要定期更换,人们难于记忆这些密码,这就导致人们会把密码写在计算机边上的即时贴、纸张、笔记本上。于是,这些看似强大的密码反而更容易被发现和破获。同时,字母和数字的组合对于使用暴力破解的黑客来说,也并没有增加多少难度,只不过是为难了用户而已。最后,由于定期强制更改密码,造成许多人只是修改密码中的个别字母或者数字,整体上密码的安全性和修改前并没有发生本质性的变化。甚至会造成用户在所有的服务上使用相同的密码,以避免记忆密码的麻烦,这样反而降低了密码的安全性。

有鉴于此,美国国家标准与技术研究院最近已经修改了它们的密码指南。和设置复杂多变的密码相比,它们更推荐使用那些很长但是容易记住的习惯用语或者个人密码,例如:

xlxhcdstg(小龙虾好吃但是太贵)

wlshzczwz(我裸睡时只穿着袜子)

dgggjysr2300(大咕咕咕鸡月收入2300)

sswnszykfqhh(世上无难事只要肯放弃哈哈)

laozhangnifenglemalaozhang(老张你疯了吗老张)

wdicyhszdrfcs1995n(我第一次约会是在大润发超市1995年)

buyaoxiangcaibuyaocongxiexielaoban(不要香菜不要葱谢谢老板)

这种非常长的习惯用语或者个人密码的长字符串,比大小写字母加数字的组合更加难以攻破。

分享完这个好消息之后,我还有几点个人感想:

1、一个人,一个机构决定了全球几十亿人的行为,这件事情看似不可思议,但是它的确在发生。尤其是一些行业标准和政策,尤其如此。比如说当年我在民航的时候,相关的业内标准大多直接引自美国FAA的标准,而且,会随着FAA标准的修改而随之修改。

2、一旦某个标准设立起来,想要改变和废除就变得相当困难。以密码设置的要求来说,Bill表示了遗憾和后悔,并不意味着银行、网站、公司的IT部门会立即随之调整政策,Apple公司的密码设置还会是那么艰难。以后的很多年里,我们还要因此而受苦。

一个典型的例子就是飞机上能否开手机的问题,它的缘起是有两次飞行员向FAA提交了报告,宣称飞机的仪表遭到了手机信号的干扰,以至于高度表失灵。于是,FAA下达了航行通告,要求不允许在飞行过程中使用手机,于是诸国航空公司都开始执行这个通告,变为航空公司自己的政策。·今天,这个政策已经遭到了很多挑战,部分航空公司做了让步,只是在起降阶段不允许使用,部分航空公司则提供了机上上网能力。但对于大部分正在执行这个政策的航空公司而言,废止这个政策意味着要签署文件,并且对此产生的安全后果负责。那么,哪一个CEO愿意去做这种事情呢?

3、在人类社会生活中,一小部分人的行为,会让所有人承担后果。从事密码盗窃的网络犯罪团伙,在人数上只是全世界网民里微不足道的一部分。但是因为他们的存在,所有人不得不提升自己的密码安全等级,每年为防御电脑病毒、木马程序和钓鱼网站耗费大量的资金,甚至使得后者成为了一个专门的产业。

2002年5·7大连空难过去15年了,直到今天中国人还在承受后果---上飞机前交出打火机和火柴,因为调查结果显示飞机坠毁是因为人为纵火。911事件过去16年了,直到今天全世界的人也依然在承受后果---上飞机前要专门拿出计算机和充电宝单独检查,因为恐怖分子曾经用它们作为炸弹的伪装;过安检要脱掉皮带和厚底鞋,交给安检人员仔细检查,因为恐怖分子曾经用它们作为夹带工具;全世界的民航飞机在飞行途中都实施驾驶舱全程锁闭政策,而且加固了驾驶舱门,在门上加装了摄像头,因为911时恐怖分子采取了冲击驾驶舱,控制飞行员的袭击方式......

在攻击与防御的博弈里,人类大量的时间、精力和智慧就这样耗散掉了。因此,世界的和平和稳定从经济学的角度看,对于每一个地球居民都是一种节约。而世界上哪里出现了问题,最终的结果很可能是所有人一起背负结果,支付代价---索马里的贫困和战乱是它的本地问题,但是,商船为了防御索马里海盗必须配备武装押运人员,有时候甚至需要出动军舰,而因此产生的费用,会体现在运输的货物价格上,并且通过消费环节放大。

4、人始终是人,向人们提供某种产品,某种建议,某种使用方式,不能脱离于人本身和人所处的环境。Bill Burr先生出于良善的目的,向人们提供了设置密码的指南。但是,他所思考的问题仅仅局限于密码本身的强度上,根本没有考虑过密码是由一个个具体的人去使用,而一个个具体的人处在各自不同的环境之中,有不同的缺陷和不足,这导致了使用密码的时候完全和设置初衷相悖。

如果Bill Burr先生的建议对象是一台机器,那么它大可以记住所有复杂的密码。但是,人的天性就是容易遗忘,增强密码强度的同时,也就增加了记忆密码的难度。为了降低记忆的难度,人们往往选择了那些极度提升密码泄露风险的方式。这是因为,对于绝大多数人来说,密码安全是一个重要问题,但是重要问题远远比不上易用性问题。绝大多数人,绝大多数时候并不会面临密码失窃的直接威胁,但他们会在每一天里面对想不起密码的真实痛苦。为了避免这种痛苦,他们可以做出各种匪夷所思的事情来,比如说:在电脑屏幕边上贴上写有密码的纸条。

因此,工程师、商人、UI设计师、工程师、产品经理在向用户交付产品和服务的时候,务必要把人和人所处的环境考虑进去,尤其是把人的天性、行为习惯考虑进去。在结束这篇太长的文章之前,我想分享一个案例:

意大利罗马达芬奇机场的吸烟室,大门是按照日式风格设计的,只能横向推拉。目的也非常明确,最大限度减少开关门的时候,把室内的烟雾抽吸出来,影响到外面的旅客。但是,设计师给大门安装了一个金属拉手,类似下图:

好消息:别再为你的密码烦恼了

按照设计师的原意,这样的把手安装起来之后,因为金属条在固定螺丝的右方,用户应该理解这扇门是水平拉动。但事实上大多数用户不是那么理解的,当他们看到把手的金属杆的时候,本能地就向外直接拉。拉不动,就开始往里推。因为这么做的人太多,造成整扇门摇摇欲坠。用户往往要尝试好几次,在别人的提示或者自己的思索之后,才找到正确的开门方式---横向拉开。

我想,他应该是太看重玻璃门外表的美观和门的气密性了,以至于门框上没有空间去安装这种一目了然、绝无误解的门把手:

好消息:别再为你的密码烦恼了

题图摄影:TheDigitalWay

图片授权基于:CC0协议

槽边往事和菜头 出品

【微信号】Bitsea

个人转载内容至朋友圈和群聊天,无需特别申请版权许可。

请你相信我:

我所说的每一句话,

都是错的

禅定时刻