好消息:别再为你的密码烦恼了

更新时间:2017年08月10日 17:31    来源:槽边往事    手机版我要报错

今天有一条真正的好消息:现行的密码设置原则是错的!

我们都知道,许多公司、网站、APP都推荐甚至强制我们设定所谓的“强密码”。也就是说,一个密码应该由大小写字母、数字和特殊符号组成,类似:

AABaCc2017@)!&

有些公司和网站,还会要求用户每90天要更换一次密码。比如说我当年在腾讯工作的时候就是如此,而且,每次要求密码不能和上次的一样,不允许有重复的部分,所以每过90天就要痛苦地构思一次密码,可以说是季度性头疼了。

强密码+定期更换,这就是现行的密码设置原则。它是怎么来的呢?说出来你可能不相信,全球那么多人,那么多公司忍受了那么多年的折磨,全只是因为一个人,他就是Bill Burr先生。2003年,Bill先生在美国国家标准与技术研究院工作期间,起草了一份密码指南。在这份指南里,他提出了这个密码设置原则。在其后的14年间,这个原则漂洋过海,成为全球性标准,一直荼毒我们到了今天。

但就在今天,Bill Burr接受华尔街日报采访的时候,向媒体表示说:他很后悔做了这些事情。因为他所设计的密码设置原则对于提高密码的安全性并没有帮助,相反的,它还可能提高了密码泄露的风险。

由于密码太过复杂,而且需要定期更换,人们难于记忆这些密码,这就导致人们会把密码写在计算机边上的即时贴、纸张、笔记本上。于是,这些看似强大的密码反而更容易被发现和破获。同时,字母和数字的组合对于使用暴力破解的黑客来说,也并没有增加多少难度,只不过是为难了用户而已。最后,由于定期强制更改密码,造成许多人只是修改密码中的个别字母或者数字,整体上密码的安全性和修改前并没有发生本质性的变化。甚至会造成用户在所有的服务上使用相同的密码,以避免记忆密码的麻烦,这样反而降低了密码的安全性。

有鉴于此,美国国家标准与技术研究院最近已经修改了它们的密码指南。和设置复杂多变的密码相比,它们更推荐使用那些很长但是容易记住的习惯用语或者个人密码,例如:

xlxhcdstg(小龙虾好吃但是太贵)

wlshzczwz(我裸睡时只穿着袜子)

dgggjysr2300(大咕咕咕鸡月收入2300)

sswnszykfqhh(世上无难事只要肯放弃哈哈)

laozhangnifenglemalaozhang(老张你疯了吗老张)

wdicyhszdrfcs1995n(我第一次约会是在大润发超市1995年)

buyaoxiangcaibuyaocongxiexielaoban(不要香菜不要葱谢谢老板)

这种非常长的习惯用语或者个人密码的长字符串,比大小写字母加数字的组合更加难以攻破。

分享完这个好消息之后,我还有几点个人感想:

1、一个人,一个机构决定了全球几十亿人的行为,这件事情看似不可思议,但是它的确在发生。尤其是一些行业标准和政策,尤其如此。比如说当年我在民航的时候,相关的业内标准大多直接引自美国FAA的标准,而且,会随着FAA标准的修改而随之修改。

2、一旦某个标准设立起来,想要改变和废除就变得相当困难。以密码设置的要求来说,Bill表示了遗憾和后悔,并不意味着银行、网站、公司的IT部门会立即随之调整政策,Apple公司的密码设置还会是那么艰难。以后的很多年里,我们还要因此而受苦。

一个典型的例子就是飞机上能否开手机的问题,它的缘起是有两次飞行员向FAA提交了报告,宣称飞机的仪表遭到了手机信号的干扰,以至于高度表失灵。于是,FAA下达了航行通告,要求不允许在飞行过程中使用手机,于是诸国航空公司都开始执行这个通告,变为航空公司自己的政策。·今天,这个政策已经遭到了很多挑战,部分航空公司做了让步,只是在起降阶段不允许使用,部分航空公司则提供了机上上网能力。但对于大部分正在执行这个政策的航空公司而言,废止这个政策意味着要签署文件,并且对此产生的安全后果负责。那么,哪一个CEO愿意去做这种事情呢?

3、在人类社会生活中,一小部分人的行为,会让所有人承担后果。从事密码盗窃的网络犯罪团伙,在人数上只是全世界网民里微不足道的一部分。但是因为他们的存在,所有人不得不提升自己的密码安全等级,每年为防御电脑病毒、木马程序和钓鱼网站耗费大量的资金,甚至使得后者成为了一个专门的产业。

2002年5·7大连空难过去15年了,直到今天中国人还在承受后果---上飞机前交出打火机和火柴,因为调查结果显示飞机坠毁是因为人为纵火。911事件过去16年了,直到今天全世界的人也依然在承受后果---上飞机前要专门拿出计算机和充电宝单独检查,因为恐怖分子曾经用它们作为炸弹的伪装;过安检要脱掉皮带和厚底鞋,交给安检人员仔细检查,因为恐怖分子曾经用它们作为夹带工具;全世界的民航飞机在飞行途中都实施驾驶舱全程锁闭政策,而且加固了驾驶舱门,在门上加装了摄像头,因为911时恐怖分子采取了冲击驾驶舱,控制飞行员的袭击方式......

在攻击与防御的博弈里,人类大量的时间、精力和智慧就这样耗散掉了。因此,世界的和平和稳定从经济学的角度看,对于每一个地球居民都是一种节约。而世界上哪里出现了问题,最终的结果很可能是所有人一起背负结果,支付代价---索马里的贫困和战乱是它的本地问题,但是,商船为了防御索马里海盗必须配备武装押运人员,有时候甚至需要出动军舰,而因此产生的费用,会体现在运输的货物价格上,并且通过消费环节放大。

4、人始终是人,向人们提供某种产品,某种建议,某种使用方式,不能脱离于人本身和人所处的环境。Bill Burr先生出于良善的目的,向人们提供了设置密码的指南。但是,他所思考的问题仅仅局限于密码本身的强度上,根本没有考虑过密码是由一个个具体的人去使用,而一个个具体的人处在各自不同的环境之中,有不同的缺陷和不足,这导致了使用密码的时候完全和设置初衷相悖。

如果Bill Burr先生的建议对象是一台机器,那么它大可以记住所有复杂的密码。但是,人的天性就是容易遗忘,增强密码强度的同时,也就增加了记忆密码的难度。为了降低记忆的难度,人们往往选择了那些极度提升密码泄露风险的方式。这是因为,对于绝大多数人来说,密码安全是一个重要问题,但是重要问题远远比不上易用性问题。绝大多数人,绝大多数时候并不会面临密码失窃的直接威胁,但他们会在每一天里面对想不起密码的真实痛苦。为了避免这种痛苦,他们可以做出各种匪夷所思的事情来,比如说:在电脑屏幕边上贴上写有密码的纸条。

因此,工程师、商人、UI设计师、工程师、产品经理在向用户交付产品和服务的时候,务必要把人和人所处的环境考虑进去,尤其是把人的天性、行为习惯考虑进去。在结束这篇太长的文章之前,我想分享一个案例:

意大利罗马达芬奇机场的吸烟室,大门是按照日式风格设计的,只能横向推拉。目的也非常明确,最大限度减少开关门的时候,把室内的烟雾抽吸出来,影响到外面的旅客。但是,设计师给大门安装了一个金属拉手,类似下图:

按照设计师的原意,这样的把手安装起来之后,因为金属条在固定螺丝的右方,用户应该理解这扇门是水平拉动。但事实上大多数用户不是那么理解的,当他们看到把手的金属杆的时候,本能地就向外直接拉。拉不动,就开始往里推。因为这么做的人太多,造成整扇门摇摇欲坠。用户往往要尝试好几次,在别人的提示或者自己的思索之后,才找到正确的开门方式---横向拉开。

我想,他应该是太看重玻璃门外表的美观和门的气密性了,以至于门框上没有空间去安装这种一目了然、绝无误解的门把手:

题图摄影:TheDigitalWay

图片授权基于:CC0协议

槽边往事和菜头 出品

【微信号】Bitsea

个人转载内容至朋友圈和群聊天,无需特别申请版权许可。

请你相信我:

我所说的每一句话,

都是错的

禅定时刻


文章转载自网络,作者观点不代表本网站立场,如需处理请联系客服

槽边往事其它文章

姜文《邪不压正》观后

姜文《邪不压正》观后

昨天晚上,在北京古北水镇的长城城墙上看了一部露天电影。片名叫做《邪不压正》,导演是姜文。只有姜文,才会让数百人驱车一百三十多公里,花两个小时赶去看一部露天电影;也只有姜文的电影,才会无论他拍什么题材都让人充满期待,觉得那是一年里有数的几件事之一。在我

2018年07月11日 17:45
干巴菌:给幸运的少数

干巴菌:给幸运的少数

如果你对标题开头三个字不明所以,就不用点进来看了,它只是写给知道这个暗语的少数人。祝你周末愉快!当你看到这一段的时候,我会假设你是三类人之一:1、云南人中喜欢干巴菌的那一小群;2、来过云南,被干巴菌征服的外地人;3、对干巴菌这个名字好奇的人。我自己属于第

2018年07月08日 19:17
再次推荐《达拉斯买家俱乐部》

再次推荐《达拉斯买家俱乐部》

在发布《<我不是药神>观后》之后,有许多读者要求重发我2014年3月13日我关于《达拉斯买家俱乐部》的文章。如果你对这部片子有兴趣的话,我在文末提供了在线观看全本电影的地址(合法视频节目,不用担忧)。为了保持和原文一致,文章保留了5年前的分割线。如果有儿童不慎

2018年07月06日 20:49
飞行记-写在小米上市之前

飞行记-写在小米上市之前

小米公司即将在香港上市,不知道此时此刻雷军是否还记得他当年说过的那句话:站在风口上,猪都会飞。我没有买过任何一款小米手机,对于我而言,雷军这个人比他的手机更让人感兴趣。就像是当年他说出那句“猪会飞”的名言,就让我对他的感觉有些颠覆。在此之前,我一直认

2018年07月06日 19:40
《我不是药神》观后

《我不是药神》观后

我是在三周前看的《我不是药神》,看完了主办方问我:菜头老师,您觉得这片子怎么样?当时我就陷入了一种极为尴尬的境地,难于用言语表述。我相信你很快也会面临相同的状况,所以你可能需要在看电影之前读一下我这篇文章。为什么我会极为尴尬?因为在我的朋友圈里,打从

2018年07月05日 00:00
脱发者说《脱身》

脱发者说《脱身》

你应该猜到了,电视剧《脱身》播出,这里肯定会出一篇文章。作为名震江湖的职业坤吹,我肯定要聊一聊陈坤和《脱身》的那些事。陈坤这个人,总体上来说是比较懒的。不接戏,那是为了休息;接戏,那是为了更好的休息:你看,去年我接了两部戏,很辛苦,所以我现在得好生休

2018年06月12日 22:53
Naval:如何不靠运气致富

Naval:如何不靠运气致富

一般来说,富人不会分享自己发家致富的秘密。所以,有互联网以来,我看到许多在网上教人致富的人都发了财。在英文博客界,写关于如何发财的博文成为了一个专门的门类。而真正的有钱人只会用心灵鸡汤敷衍一下大众,根本不会提供任何方法论,更不要说是致富秘诀了。也有例

2018年06月11日 21:37
从一只烧鸡开始

从一只烧鸡开始

在我上大学的时候,学校每年都会提供困难补助,以此救济那些家境贫寒的学子。我是年级长,负责统计和上报困难学生名单。因为大家都住集体宿舍,每个学生平常的吃穿用度大家都看在眼里,找出需要补助的人并不困难,名单公布之后大家也没有什么意见。但是,补助金下发之后

2018年06月06日 19:29
有炒螺明的广州

有炒螺明的广州

我是云南人,炒螺明是广东人。许多广州本地人都未必知道这个名字,但我知道。对于我而言,他属于我心底里那个广州的一部分。每个人心里的广州大概都不相同,这大概是因为广州有太多面孔的缘故,足以包容任何一种接近它的角度。我和广州的缘分堪称古怪,生平第一次去广州

2018年05月28日 23:31
大学在人间-写在5·20

大学在人间-写在5·20

今天是南京大学成立116周年纪念日。我自1997年毕业之后,20年间再也没有返回过母校,甚至连南京都不曾重履。最后一次和母校发生联系是在2008年,当时我从国企离职,入职民企需要办理学历证明。现在,我自雇佣多年,岁数也过了绝大部分公司入职的最高限,于是连这最后一丝

2018年05月20日 22:15
北漂十年

北漂十年

十年前的今天,我离开家乡,开始自己的北漂生涯。同一天,我在昆明巫家坝机场的机舱里,得知汶川地震的消息。在那样的一个日子里抵达北京,随时都会感觉抱歉。所有人都在忙于和地震有关的事情,朋友们有的在捐款,有的在组织物资,有的在前往汶川路上,有的在24小时不间

2018年05月12日 21:18
微信公众号APP释出

微信公众号APP释出

传说中,微信官方有一款秘密APP,用于发布和管理微信公众号内容。数千万公众号写作者为此翘首以待年余,希望早日可以在手机上打理自己的公众号。但微信官方始终说是在持续内测中,不得一窥庐山真面目。今天,经过了漫长的内测和无数个版本迭代之后,这个神秘的APP终于释

2018年05月11日 16:15
不是所有的鱼都生活在同一片海里

不是所有的鱼都生活在同一片海里

我们多大程度上能安放好自己的人生,取决于我们如何认知身处的这个世界。你劳累了一天,下班坐公交车回家。这时你看到一个老人上车,你刚准备站起来让座,对方一把将你揪起来推开,骂骂咧咧地说:“年轻人不懂得让座的么?”。你为什么会感到气愤?因为你们生活在不同的

2018年04月28日 17:36
一种提升小说鉴赏能力的方法

一种提升小说鉴赏能力的方法

沿着那条实用阶梯,推开那扇门,看到永恒光荣的状景。这话是谁说的?好像是左小祖咒,在他那首《我不能悲伤地坐在你身旁》里。许多年里,我写过许多毫无任何实用价值的文章。比如说前天的《写作进阶教程:如何描写动物》,或者是昨天的《给女儿讲<了不起的盖茨比>》。人

2018年04月08日 23:22
给女儿讲《了不起的盖茨比》

给女儿讲《了不起的盖茨比》

有天我在微博上突发奇想,写了这么一段话:如果有个女儿,要开启她的阅读兴趣,那么应该指定她阅读三本书。第一本书《简·爱》,看完之后告诉她,这是所有大女主小说的鼻祖,区别在于意淫烈度的强弱;第二本书是《第一炉香》,看完之后告诉她,这本小说比生活更残酷也更

2018年04月07日 21:37
写作进阶教程如何描写动物

写作进阶教程如何描写动物

我写过一篇《鹦鹉大葱》,写得很满意,我自己也非常喜欢。下面是我的创作思路和过程:《鹦鹉大葱》是一篇基于真实事件撰写的文章,也许在细节上有些微的出入,但是基本的人物和事实都确实发生过。在整个事件里,最打动我的是一个场景:鹦鹉大葱的主人在公园里找到了他,

2018年04月06日 22:14
一个月里我跟踪了108个居民,发现一个特别好玩的事,80%的人手里都拿着一个尿壶

一个月里我跟踪了108个居民,发现一个特别好玩的事,80%的人手里都拿着一个尿壶

大家好。大家基本上不认识我,但刚才还是给予了一个过气网红应有的待遇。我是一席第505位讲者,我是所长。大家如果看过那个演讲的视频应该知道,我平常喜欢做一些奇奇怪怪的、很无聊的研究,但是在我们的建筑界有一个比我更无聊甚至更猥琐的一个人。这是我们当年的一个合

2018年03月20日 16:19
空中垂钓

空中垂钓

有一位叫做Tommie Sue Wilkey的女士,在30年前自己写过一首歌,录成了磁带,放在抽屉里,然后就忘记了这件事情。在30年里,她有了儿子,又有了孙子,她自己也慢慢变老,成为了老奶奶。2017年的圣诞节,儿子Robert Smith和孙子Travis Ryan Smith去探望她。很偶然的,他们

2018年03月09日 18:42
妇女节,成熟的你更有味道

妇女节,成熟的你更有味道

今天的题图来自凤凰卫视,或者准确说是来自凤凰卫视的微博官方账号管理员。把女性比喻为玫瑰的人有很多,但是比喻为猪蹄的这还是首创。尤其是在三月八日,简直是最佳负面教材,凤凰卫视用一种自杀式的公关宣传来提醒人们男女平权的道路还有多么漫长。为此,我也专门做了

2018年03月08日 17:53
你今年不应该错过的电影《三块广告牌》

你今年不应该错过的电影《三块广告牌》

好电影的一大特点,就是看完了之后让人回味再三。早在1月29日,我就通过文章《三块广告牌》、《奇迹男孩》以及《伯德小姐》隆重推荐过电影《三块广告牌》。一个多月的时间过去,我看了不少新片,包括《水形物语》、《花样女王》、《与神同行》等等。但是,其中没有哪一部

2018年03月02日 19:52
槽边往事
槽边往事

最新文章