123456又怎样?双因素认证搞定一切
作者:星期六, 二月 28, 20150

自2011年以来,123456和password这2个弱口令就一直稳居全球最弱密码排行榜前两名的位置。略令人欣慰一点的是,这两个密码的使用率从2011年的8.5%降至现在的1%。中国的略有不同,前10位全是数字。

6某白帽大咖列出的中国特色的弱口令TOP100

但无论中国也好,外国也好,对于普通人来说,某些无关痛痒的论坛或社交网络注册来说,即便使用这样的弱口令也无伤大雅。黑客入侵这样的账户几乎没有任何价值可言。但对于银行卡或处理敏感信息的邮箱来说,对于社会影响较大的名人来说,弱口令的危害就显而易见了。比如:

1好莱坞女星艳照

最初,弱口令的安全解决方案是加强口令设置的意识培训,或提供随机生成口令的安全工具。但这些传统方法的问题在于,它们都是非人性化的弥补措施。人们一旦放松警惕,或为了偷懒,是有办法省掉这些麻烦事的。比如,把密码贴到计算机上、设置密码自动完成功能、放弃动态口令工具等等。于是,一起又回到了起点。

这时,双因素认证闪亮登场。通过两个步骤来认证用户的登录过程,一下子大大的加强了账户登录的安全性,即使用户的口令被破译,大部分黑客还是对另一种非口令的认证方法一筹莫展。这也是为什么全球绝大部分的IT管理人员表示,要把一次性口令作为双因素认证策略的组成部分,以提升网络安全性。

IMG_4273.JPG那为什么双因素目前并没有得到应该得到的广泛应用,许多企业的IT部门并未说服董事会实施这种安全性极高的认证机制呢?

答案很简单,与任何有关网络安全的其他问题一样,矛盾在于便利性、资源和安全的平衡。说直接一些,就是在每台服务器或文件夹中部署双因素访问并不实际和方 便。同时,如果只针对某些文件实施双因素认证,又会造成整个系统的脆弱性。如同,给一间房子的所有门窗加锁,但却只留一扇门或窗不加锁,把希望寄于窃贼发 现不了这个未加锁的入口。实际工作中,一个很明显的例子就是远程访问。

令人欣慰的是,许多VPN目前已经采用了双因素认证。面对这种安全机制,即使用户使用123456作口令,任何黑客再想远程入侵你的账户也绝非易事。

安全牛评:安全机制与机构资源、数据重要性、后果影响程度、人员安全意识均息息相关。生物认证的成本高但身份唯一、使用方便,硬件认证的成本低但易遭破解和复用。要安全还是要效率,永远都是一个需要用心去平衡的问题。

 

申明:本文系厂商投稿收录,所涉观点不代表安全牛立场!


相关文章