好消息:别再为你的密码烦恼了

更新时间:2017年08月10日 17:31    来源:槽边往事    手机版我要报错

今天有一条真正的好消息:现行的密码设置原则是错的!

我们都知道,许多公司、网站、APP都推荐甚至强制我们设定所谓的“强密码”。也就是说,一个密码应该由大小写字母、数字和特殊符号组成,类似:

AABaCc2017@)!&

有些公司和网站,还会要求用户每90天要更换一次密码。比如说我当年在腾讯工作的时候就是如此,而且,每次要求密码不能和上次的一样,不允许有重复的部分,所以每过90天就要痛苦地构思一次密码,可以说是季度性头疼了。

强密码+定期更换,这就是现行的密码设置原则。它是怎么来的呢?说出来你可能不相信,全球那么多人,那么多公司忍受了那么多年的折磨,全只是因为一个人,他就是Bill Burr先生。2003年,Bill先生在美国国家标准与技术研究院工作期间,起草了一份密码指南。在这份指南里,他提出了这个密码设置原则。在其后的14年间,这个原则漂洋过海,成为全球性标准,一直荼毒我们到了今天。

但就在今天,Bill Burr接受华尔街日报采访的时候,向媒体表示说:他很后悔做了这些事情。因为他所设计的密码设置原则对于提高密码的安全性并没有帮助,相反的,它还可能提高了密码泄露的风险。

由于密码太过复杂,而且需要定期更换,人们难于记忆这些密码,这就导致人们会把密码写在计算机边上的即时贴、纸张、笔记本上。于是,这些看似强大的密码反而更容易被发现和破获。同时,字母和数字的组合对于使用暴力破解的黑客来说,也并没有增加多少难度,只不过是为难了用户而已。最后,由于定期强制更改密码,造成许多人只是修改密码中的个别字母或者数字,整体上密码的安全性和修改前并没有发生本质性的变化。甚至会造成用户在所有的服务上使用相同的密码,以避免记忆密码的麻烦,这样反而降低了密码的安全性。

有鉴于此,美国国家标准与技术研究院最近已经修改了它们的密码指南。和设置复杂多变的密码相比,它们更推荐使用那些很长但是容易记住的习惯用语或者个人密码,例如:

xlxhcdstg(小龙虾好吃但是太贵)

wlshzczwz(我裸睡时只穿着袜子)

dgggjysr2300(大咕咕咕鸡月收入2300)

sswnszykfqhh(世上无难事只要肯放弃哈哈)

laozhangnifenglemalaozhang(老张你疯了吗老张)

wdicyhszdrfcs1995n(我第一次约会是在大润发超市1995年)

buyaoxiangcaibuyaocongxiexielaoban(不要香菜不要葱谢谢老板)

这种非常长的习惯用语或者个人密码的长字符串,比大小写字母加数字的组合更加难以攻破。

分享完这个好消息之后,我还有几点个人感想:

1、一个人,一个机构决定了全球几十亿人的行为,这件事情看似不可思议,但是它的确在发生。尤其是一些行业标准和政策,尤其如此。比如说当年我在民航的时候,相关的业内标准大多直接引自美国FAA的标准,而且,会随着FAA标准的修改而随之修改。

2、一旦某个标准设立起来,想要改变和废除就变得相当困难。以密码设置的要求来说,Bill表示了遗憾和后悔,并不意味着银行、网站、公司的IT部门会立即随之调整政策,Apple公司的密码设置还会是那么艰难。以后的很多年里,我们还要因此而受苦。

一个典型的例子就是飞机上能否开手机的问题,它的缘起是有两次飞行员向FAA提交了报告,宣称飞机的仪表遭到了手机信号的干扰,以至于高度表失灵。于是,FAA下达了航行通告,要求不允许在飞行过程中使用手机,于是诸国航空公司都开始执行这个通告,变为航空公司自己的政策。·今天,这个政策已经遭到了很多挑战,部分航空公司做了让步,只是在起降阶段不允许使用,部分航空公司则提供了机上上网能力。但对于大部分正在执行这个政策的航空公司而言,废止这个政策意味着要签署文件,并且对此产生的安全后果负责。那么,哪一个CEO愿意去做这种事情呢?

3、在人类社会生活中,一小部分人的行为,会让所有人承担后果。从事密码盗窃的网络犯罪团伙,在人数上只是全世界网民里微不足道的一部分。但是因为他们的存在,所有人不得不提升自己的密码安全等级,每年为防御电脑病毒、木马程序和钓鱼网站耗费大量的资金,甚至使得后者成为了一个专门的产业。

2002年5·7大连空难过去15年了,直到今天中国人还在承受后果---上飞机前交出打火机和火柴,因为调查结果显示飞机坠毁是因为人为纵火。911事件过去16年了,直到今天全世界的人也依然在承受后果---上飞机前要专门拿出计算机和充电宝单独检查,因为恐怖分子曾经用它们作为炸弹的伪装;过安检要脱掉皮带和厚底鞋,交给安检人员仔细检查,因为恐怖分子曾经用它们作为夹带工具;全世界的民航飞机在飞行途中都实施驾驶舱全程锁闭政策,而且加固了驾驶舱门,在门上加装了摄像头,因为911时恐怖分子采取了冲击驾驶舱,控制飞行员的袭击方式......

在攻击与防御的博弈里,人类大量的时间、精力和智慧就这样耗散掉了。因此,世界的和平和稳定从经济学的角度看,对于每一个地球居民都是一种节约。而世界上哪里出现了问题,最终的结果很可能是所有人一起背负结果,支付代价---索马里的贫困和战乱是它的本地问题,但是,商船为了防御索马里海盗必须配备武装押运人员,有时候甚至需要出动军舰,而因此产生的费用,会体现在运输的货物价格上,并且通过消费环节放大。

4、人始终是人,向人们提供某种产品,某种建议,某种使用方式,不能脱离于人本身和人所处的环境。Bill Burr先生出于良善的目的,向人们提供了设置密码的指南。但是,他所思考的问题仅仅局限于密码本身的强度上,根本没有考虑过密码是由一个个具体的人去使用,而一个个具体的人处在各自不同的环境之中,有不同的缺陷和不足,这导致了使用密码的时候完全和设置初衷相悖。

如果Bill Burr先生的建议对象是一台机器,那么它大可以记住所有复杂的密码。但是,人的天性就是容易遗忘,增强密码强度的同时,也就增加了记忆密码的难度。为了降低记忆的难度,人们往往选择了那些极度提升密码泄露风险的方式。这是因为,对于绝大多数人来说,密码安全是一个重要问题,但是重要问题远远比不上易用性问题。绝大多数人,绝大多数时候并不会面临密码失窃的直接威胁,但他们会在每一天里面对想不起密码的真实痛苦。为了避免这种痛苦,他们可以做出各种匪夷所思的事情来,比如说:在电脑屏幕边上贴上写有密码的纸条。

因此,工程师、商人、UI设计师、工程师、产品经理在向用户交付产品和服务的时候,务必要把人和人所处的环境考虑进去,尤其是把人的天性、行为习惯考虑进去。在结束这篇太长的文章之前,我想分享一个案例:

意大利罗马达芬奇机场的吸烟室,大门是按照日式风格设计的,只能横向推拉。目的也非常明确,最大限度减少开关门的时候,把室内的烟雾抽吸出来,影响到外面的旅客。但是,设计师给大门安装了一个金属拉手,类似下图:

按照设计师的原意,这样的把手安装起来之后,因为金属条在固定螺丝的右方,用户应该理解这扇门是水平拉动。但事实上大多数用户不是那么理解的,当他们看到把手的金属杆的时候,本能地就向外直接拉。拉不动,就开始往里推。因为这么做的人太多,造成整扇门摇摇欲坠。用户往往要尝试好几次,在别人的提示或者自己的思索之后,才找到正确的开门方式---横向拉开。

我想,他应该是太看重玻璃门外表的美观和门的气密性了,以至于门框上没有空间去安装这种一目了然、绝无误解的门把手:

题图摄影:TheDigitalWay

图片授权基于:CC0协议

槽边往事和菜头 出品

【微信号】Bitsea

个人转载内容至朋友圈和群聊天,无需特别申请版权许可。

请你相信我:

我所说的每一句话,

都是错的

禅定时刻


文章转载自网络,作者观点不代表本网站立场,如需处理请联系客服

槽边往事其它文章

业余选手张小龙

业余选手张小龙

在昨天刚刚结束的欧巡赛-登喜路林克斯锦标赛中,微信之父张小龙和中国职业高尔夫球手李昊桐配对,以低于标准杆35杆的成绩,赢得了职业-业余配对赛冠军。什么意思?就是说,如果你是一名高尔夫球业余爱好者,那么你所能取得的最高荣誉,在欧洲就是登喜路林克斯锦标赛的职

2018年10月08日 17:09
此刻恍若昆明

此刻恍若昆明

这不是一年中北京最好的天气,北风劲吹,气温降低到10度。我还生活在夏天里,下楼前总是想不起来要换长裤穿外套。从门里出来,一把被冷风包住,它简直能吹透我的肉身,一直深入到脊椎里去,听见背后传来骨笛声。昆明的雨季在九、十月份结束,然后转入长达半年的旱季,大

2018年09月30日 22:33
朋友五首

朋友五首

今天,歌手臧天朔因病辞世,终年54岁。我一直记得他的歌曲《朋友》,有时候去卡拉OK,只要隔着门听到有人合唱这首歌,不用开门都能知道里面一定是一群大腹便便的中年男子,把T恤扎在裤带里,一手举着啤酒瓶,一手搂着身边另一条汉子的肩膀,声嘶力竭,汗流浃背,热泪盈眶

2018年09月28日 22:11
女生必备:iBag,关于包包的一切

女生必备:iBag,关于包包的一切

被我推荐过无数次的iDaily Media(前身:四叶媒体),今天又推出了他们的新品:iBag·包包,简称“爱包包”,中文含义是“我的包包”。熟悉这家公司和他们旗下系列产品的朋友不必再看下面的文字,页面麻烦拖到底直接去下载,反正对于各位而言,无论他们家出任何APP,你们

2018年09月28日 18:38
养了对猫

养了对猫

昨天,我写了一篇《想养只猫》。今天,就《养了对猫》。我知道,并非人人都喜欢猫,也不是人人都喜欢读与猫有关的文字。不过,前一篇文章有1700多位网友留言,就我询问的养猫一事善意地给出了个人意见,慷慨地分享了私人经验,我不能悄悄咪咪地抱只猫回家,假装一切都没

2018年09月27日 17:29
我的首页谁做主

我的首页谁做主

首先,今天的标题是错误的。说这句话的人,其实是想用“首页”指代“时间线”,但他们并不知道首页和时间线之间的区别。什么是首页?简单说,就是当你访问某个网站,输入网站域名,浏览器默认打开的那个页面。比如你访问腾讯网,输入:qq.com,然后你就看见:这个页面,

2018年09月21日 23:42
请尊称他“庭上”

请尊称他“庭上”

今天我为一段3分55秒的法庭审理视频所深深打动,我迫切地希望你也能看一下,这样我们好接着讨论。视频源来自腾讯,希望这一次不要我才发出文章就被删除。在海外的朋友如果看不到的话,可以去YouTube上搜索法官的名字Frank Caprio:看完了吗?视频里的法官名叫Frank Capri

2018年09月19日 19:36
周二搞事情:饭爷×和菜头

周二搞事情:饭爷×和菜头

和你说好了周二搞事情,那就一定要搞事情,说到做到!如今流行联名款,比如supreme就和NASA等等机构出过各种联名款衣服。虽然我只是个卖菌子的菜贩子,但也有出联名款的野望。之前在文章中透露过,我当时正在和饭爷谈合作。现在,林依轮先生和我联手打造的新品经过半年的

2018年09月18日 18:14
为什么玄幻剧会扑街

为什么玄幻剧会扑街

9月4日,我在微博上提问:迄今为止,好像只有女频改编的玄幻剧是成功的,男频改编的玄幻剧都不行。为什么?看完网友的各种回答之后,我总结说:好吧,不为难大家了。我这里宣布一下正确答案:男的不行。然后这条微博被娱乐圈的媒体看到,专门做了长文,详细分析为什么男

2018年09月17日 22:26
致“”老读者

致“”老读者

我为小读者写过不少文字,但很少写给老读者。今天,我收到了这样一条留言:万东:看着菜头从纯粹写码字码出众人无法言说的心声,到卖鸡枞卖月饼,无法言说的悲伤…商业社会无可厚非,但是作为菜头的多年粉丝,真的觉得,可惜。要被拉黑了,还是希望菜头一路走好。自从我

2018年09月16日 23:57
根治,是一种世界观

根治,是一种世界观

对于所谓“根治”概念的深度迷恋,我不知道是基于普遍的人性,还是来自中国人独有的天性。昨天接近午夜的时候,我发布了一篇《呼吸机》,介绍一年多来我是如何使用呼吸机治疗打鼾引发的呼吸暂停现象。尽管夜深人静,但是丝毫没有阻挡留言里的热切:请问,有根治打鼾的方

2018年09月06日 18:33
呼吸机

呼吸机

我使用呼吸机已经超过一年时间,应该有资格分享一下心得。人们一提到呼吸机,就会想起病人,或者ICU病房。人们一听说谁用呼吸机,就会表示关切,甚至深表同情。其实,这都是电影电视剧带来的负面影响。想要表现病重,全凭演员的演技和化妆是不现实的。呼吸机在视觉上很直

2018年09月05日 23:28
快问慢答:弄脏你的手

快问慢答:弄脏你的手

《槽边往事》读者Mayyi在2018年09月03日下午13:06提问:叔 ,我20大三,在南京一所二本师范类学校读贸易经济,思考考研的事情很久,但该不该考始终一头雾水,想要不就直接步入社会看了您的文章又有些不甘心,该怎么办啊!我的回答如下:每年都会有大学生跑到我这里留言,

2018年09月03日 17:43
写给小朋友:开学第一课

写给小朋友:开学第一课

9月1日是开学日,写一点文字送给即将进校和返校的小朋友们:在我上学的时候,心里一直有个问题:为什么要上学?去到了今天,我想我或许能给出个答案。为什么要去上学?那是因为你足够幸运。即便你看到周围的家家户户都在送孩子上学,但这个世界上还有许多孩子并没有这种

2018年09月02日 22:55
于海明先生的幸运日

于海明先生的幸运日

今天下午5点,昆山市警方宣布在8月27日夜间奋起自卫的于海明先生,其行为属“正当防卫,不负刑事责任,依法撤销案件”。在那个夜晚,他遭遇了突入自行车道的汽车,遭到了车上乘客的辱骂,面对过车主的利刃和伤害。最后,他抢到车主失手落地的刀,7秒之内挥出5刀自卫,导

2018年09月01日 19:34
人比松茸多

人比松茸多

周末了,没事的话听我这个菜贩子聊几句闲天。2000年的时候,我在香格里拉。在那里,我生平第一次见到野生的松茸和冬虫夏草。藏民从山上下来,带着新鲜的冬虫夏草,卖10块钱一根。那东西活着的时候一点都不像虫子,而是确凿无疑的植物根茎。等到完全晒干变色之后,看上去

2018年08月24日 18:31
写作课:虎皮青椒

写作课:虎皮青椒

在网上看到一位家长说自己的孩子写作文很困难,连300字都凑不足。于是打算给孩子看我写的《虎皮青椒》,希望孩子能从中学习和借鉴。这是很多家长经常会做的事情。孩子苦于无法完成作文,家长就找来一些他们认为的好文章,让孩子看看别人是怎么写的。所以,孩子不但要面对

2018年08月23日 19:07
几乎中年

几乎中年

说起来有点难为情,但我真的以为自己不会变成个中年人。和大部分男性一样,我罹患时间无感症。只要忙忙碌碌做点什么,兜兜转转想点什么,时间就那么过去了。我极少因为意识到一年过半而惊慌,而在30岁之后我对自己的岁数也变得不那么敏感,彻底没有了那种在多少岁之前一

2018年08月22日 22:27
心慌慌

心慌慌

不知道你发现没有?最近朋友圈里的创业者沉寂了,旅行九图里的地点距离国境线越来越近了,连微商也不大晒各种法拉利了。所有人都开始关注经济新闻,P2P、房租、WTO、汇率、贸易战、房产税、个人所得税、社保转税务......说实话,现在我有点怀念当初那个朋友圈。创业狗在

2018年08月21日 17:01
如何从大陆地区之外购买“孤儿药”

如何从大陆地区之外购买“孤儿药”

凌富贵,微博名@午后狂睡,资深医疗器械从业者。因为熟悉医药市场,经常义务帮助网友购买罕见病急需的药品。然而,个人的力量始终有限,病家的医药需求也只能靠自身努力。因此他把自己最近一次购买相关药物的经验写了一篇长文,公开在网络上发布,介绍了具体的方法和注意

2018年08月20日 17:42
槽边往事
槽边往事

最新文章