天聯科技公司

密碼的強度 2005年7月24日

有不少關於選擇密碼的文章。通常指出較弱的密碼是極不安全而專家們提議採用較強的密碼。

較弱密碼包括閣下的名稱，生日，配偶名稱或與個人有關物件的名稱。這會給知道閣下名稱及個性的人較高機會找出。另一組較弱的密碼是有意義的名詞，即是可以在一般或黑客專用的字典找到的。

曾經有一個例子。一個兒子輕易地破解了他父親的密碼，因為他熟悉父親的嗜好，所以很快就可以找出所用的密碼。如果他父親是籃球迷，選用的密碼極可能是他的偶像球員的名稱。

較強的密碼是有不少形式，可以綜合成三個特徵：

1 沒有任何意義
2 混合大寫小寫及數目
3 以七位轉或以上的長度

有些建議採用增加的符號，但由於不少原因，絕大部份機構不會接受，因為部份符號是保留給電腦系統的特殊用途。

根據一個報告，如果我們採用7位的密碼，以每秒十萬次的破解速度，1.67分鐘可以找出只有數目的密碼，22.3小時可找出只有小寫的密碼及9.07日才可找出混合字母及數目的密碼。

如果我們採用8位的密碼，以每秒十萬次的破解速度，16.7分鐘可以找出只有數目的密碼，24.2日可找出只有小寫的密碼及10.7月才可找出混合字母及數目的密碼。

這正是為什麼專家提議採用8位混合式的密碼了。

密碼的強度大，我們也難以記憶。所以必須根據其重要程度來決定。任何有關財產包括銀行戶口，信用卡等，應採用可接受的最強密碼。其他只是用來閱讀某些網站或不涉及有價值的情況，可以採用較弱而容易記憶的密碼，生活才有樂趣。

肯定的是無論我們密碼有那個強度，如果成為黑客的目標，被破解的機會絕對存在。我們需要倚賴有關機構的鑑定程序來預防。他們是否提供黑客無限次的嘗試？正常來說，數次錯誤的密碼輸入，系統應該有警覺性來禁止。

我們可以採用一些特製程序來產生密碼。事實上，設計一個密碼是很容易。例如，我們想出了ABC及xyz，把它們混合一些數目，可以是4Az8C0xB7z或z9C3y5Bx等。在相同長度的任何混合方式都會有相同的強度。

多年前，第一次採用提款卡時，不少人把密碼記在一張紙上與提款卡一起。這樣便極容易同時失去提款卡及密碼。所以，如果不能在腦袋中記得所有密碼，最重要是找尋安全的方式來處理了。

儲存個人密碼的問題 2005年7月15日

這個時代的人士往往會通過互聯網處理銀行戶口，或是閱讀有訂閱的網站等。

在繁忙的工作及生活中，要記錄多個不同密碼等是一件較難的事項。除了與網站有關的密碼外，更有不少銀行提款卡等都需要採用密碼。一般來說，把一切戶口採用同一個密碼的機會不大，因為不同的情況會有不同的密碼字數限制。

把這一切記錄在電腦上以便查閱是很自然的事，可是由於出現了木馬等的間諜軟件，這也有安全的問題。對大機構來說，因為有專人負責電腦網絡等的保安事務，基本上是不會出現錯失。不過，最近在美國接二連三出現了個人或信用卡資料被盜，更是發生於規模相當的機構，似乎令人對這方面出現了信心危機了。

個人甚至中小企也會因沒有專人負責，面對的危機理想上應該是大得多。如何處理個人密碼的確是有相當困難。

有一些軟件採用保密方式來記錄這些密碼，在功能方面雖然不能說是百份百安全，但對水準不太高的黑客仍有一定的預防作用。

這是說如果有極高水準的黑客，例如那些可以入侵大機構以至政府甚至國防部的高手，根本上不用找尋我們的密碼也可以進入防禦較低的系統。當然，我們的個人事項絕不會吸引這些黑道高手吧。

剛提及的保存密碼軟件，有不少採用較難應用的格式。事實上，作為記錄我們的密碼主要是使被盜取時不能即時查出而已。坦白說，能夠入侵我們的電腦，更可能查出所採用的保存密碼軟件，這樣又怎能是絕對安全呢？我們不是說這種方法是無效，只是指出所採用較複雜的方法，只是給使用者增加麻煩而沒有實際的效果。

所以我們正研究這方面的情況，將會為我們客戶提供較容易採用的保存密碼方法。