口令亦称密码，是一个老生常谈的话题了。尽管在账户和权限控制系统中，可能技术控更喜欢诸如生物特称指纹识别、动态口令等多因子身份验证，但是口令仍然在广泛使用，您有没有问过您所使用的口令安全吗？黑客如何能破解人们的口令？人们该如何加强口令防范能力？我们请到一名从事信息安全工作10多年的“老司机”给您介绍一下这方面的情况。

一、人们使用的口令安全吗？

随着国家对信息安全的重视程度不断提高，空口令、“1234”、“123456”之类的弱口令正在从我们身边大幅度减少，但口令设置方面依然存在很多安全隐患：

• 工作系统口令通常包括单位、部门或应用系统的名称、电话号码、所在房间号等信息；
• 个人系统口令通常包括生日、结婚纪念日等重要日期、本人或家人姓名拼音或其缩写等；
• 相当一部分口令明显的利用了键盘顺序，如：qwerty、1q2w3e、1qaz2wsx等；
• 同一个口令可以登录多个系统的现象比较普遍，而且口令长期不变。

二、黑客是如何破解人们的口令的？

黑客破解口令的方式大致有如下几种方式：

1.暴力破解。 暴力破解口令是历史上常见的一种口令攻击方式，黑客利用一个海量口令字典，穷举用户口令。随着人们安全意识的增强，登录认证系统通常限制失败登录次数，目前这种攻击方式已显著减少。

2.网络嗅探。 网络嗅探口令方式通常利用某台主机进行网络监听，抓取网络数据来分析口令。目前口令等敏感信息多进行加密处理，所以这种攻击方式也受到了一定限制。但是对占比很高的Web应用来讲，黑客会嗅探未加密的HTTP通信，以获取网站的Cookie，进而不使用口令也能盗用身份。

3.利用系统漏洞破解。 利用系统漏洞破解口令的方式主要有三种形式：一种是利用系统存在的高危漏洞，直接侵入系统，破解口令文件；一种是利用系统漏洞运行木马程序，记录键盘输入以获取口令；还有一种是利用登录界面找回口令环节的程序设计缺陷，修改用户口令，登入系统。

4.社会工程学破解。黑客社会工程学破解口令是通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行欺骗、伤害等，以获取得用户口令。如冒充邮件管理员发送邮箱升级信息，把你引到钓鱼网站，盗取邮箱口令。现在这种攻击方式也比较普遍，国内某知名网络安全公司就曾遭到这种攻击，大量员工的口令被盗。

5.高级持续威胁破解。 长期搜集攻击目标的各种信息，进而利用其中的口令设置的安全隐患，形成有针对性的口令表，仅仅通过几次手工登录尝试，就能成功登录系统，这就属于近几年较为流行的“高级持续威胁”攻击。这种攻击方式相当隐蔽，很多安全设备无法识别，更需要我们引起足够的重视！新华社就曾报道过某边境城市办公室使用电话号码作为邮箱口令，遭到境外间谍机关破解的案例。

三、人们该如何加强口令防御能力呢？

如下，昆明亭长朗然科技有限公司网络安全意识宣教专员董志军向您提供一些口令安全方面的安全建议，希望能有助于提高您的信息安全防御能力：

1. 定期更改口令，新口令与历史口令不要有明显的规律，不设置通用口令；
2. 口令设置不要与个人及所在单位有明显的关系，注意个人及单位信息的保密；
3. 采用多因素认证方式，可以减少单一口令失效可能造成的身份失窃机率；
4. 定期对信息系统进行安全评估、安全渗透测试，以便及时发现口令安全隐患；
5. 加大信息安全宣传力度，做到“知己知彼”，从攻击者角度考虑和实施口令安全防御方面的强化措施。

四、关于口令安全的补充（广而告知）

为了帮助各类型的组织机构指导员工的口令安全，通过帮助保护人们的账户免于盗用，进而帮助保护组织机构的重要信息资产，昆明亭长朗然科技有限公司制作了大量的口令安全与身份保护指南，希望对您有所帮助。此外，我们还有更多可以用于针对商业环境中的用户安全意识培养的教程内容和素材资源。如果您有这方面的兴趣或需求，请联系我们洽谈业务合作。

• 电话：0871-67122372
• 微信：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

在家办公、异地办公和远程办公等词汇随着移动计算时代的到来也开始被逐渐包装成“移动办公”，不管如何，信息数据和计算终端走出公司原本划定的安全边界是不可争议的趋势。

现今的差旅人员总得随身带着笔记本电脑这一移动工作利器，以及用于快速沟通联络和打发旅途时间的平板设备或智能手机，携带自有设备BYOD逐渐流行，而信息安全问题也越来越多地浮出水面。

移动工作到底会面临哪些安全问题呢？昆明亭长朗然科技有限公司移动安全专员James Dong说：除了人员的人身安全、交通安全和食宿安全之外，大概就是个人财物以及计算设备本身密切相关的财产安全，以及工作相关的信息数据的安全了。

环顾全球，各国家和地区安全局势有异，部分地区战火不断，但即使是在社会安全状态较为稳定的国家，也不能对安全掉以轻心。文明程度较高的大中城市亦有不少贼偷劫犯，民风纯朴的乡镇荒村也有不少地痞流氓，所以说，时时处处，我们都面临着各种人身和财产的安全威胁。

移动在外，与相对固定的熟知环境不同，我们需要强烈的自我保护意识，在此基础之上方能建立起一套自适应式的安全网，进而从容应对各类复杂局势。熟悉行程和路线，避开高危区域，保持低调总是出差在外的第一安全要点；入乡随俗，遵守法纪，则是融入社区保障安全的重要准则。了解到这两点，您就不会偏在月黑风高之夜入住案件高发之地，并背着大笔金钱财物四处溜达，还高呼“天下无贼”。

保障人身和财产安全是人们比较容易理解的，在信息时代，我们不得不讨论移动办公的安全常识，移动计算设备，体积轻巧而且容易携带，自然也会面临不少的物理安全问题。人们把它们装在口袋或皮包里，或者在公共场所使用它们，它们可能被偷、被抢、从口袋里滑落或者被遗忘在某个地方。而且一旦移动设备丢失，找回的可能性是很小的。

其实除了保障设备实体安全（或物理安全）之外，最主要的则是信息数据的安全了。使用智能终端在公共交通工具上看看电子书、听听音乐或看看电影视频，则很无妨，但处理工作邮件和制定工作报告等等则需小心旁边人员的偷看。如果笔记本电脑没有安装防偷窥的保护屏，则注意使用角度。如果是使用移动电话讨论工作事务，也需小心防范偷听。

对于使用无线网络，小心基于WIFI无线的信息攻击则是重中之重，应对之道是在接入新的WIFI之前确认信号的真伪，然后在连接到WLAN之后立即开启到公司的VPN连接，以防无线攻击者窃取敏感网络通讯。

通讯方面的加密并不足够，俗话说：不怕一万，就怕万一，尽管我们竭尽全力，移动计算设备仍然可能遭难。我们还需要通过加密措施来保障移动设备中所存储的数据的安全，如果设备支持，使用全盘加密方案是最佳的选择，但是仍然要注意对敏感数据实施第二层的加密，以防工作相关的机密数据外泄。为防止窃贼或设备拾取者能够轻易访问设备，我们还需为智能终端设定登录密码、密文、密钥等保护，并且设置自动锁定的时间。

通过有效的保密措施如加密动作，让攻击者即使能够获得设备本身，也难获得重要的信息数据。不过我们可不应该让数据和设备一起“玉石同碎”，数据的重建可是需要花费大量时间和精力的，我们更不能因设备的意外丢失而让工作任务无法继续进行下去，所以，我们得使用数据远程（异地）备份措施。

为了帮助各类型的公司指导员工的移动工作安全，也为了差旅人士及广大移动设备的使用者能够获得安全的体验，昆明亭长朗然科技有限公司制作了些许移动设备安全使用指南，希望对您有所帮助。此外，我们还有更多可以用于针对商业环境中的用户安全意识培养的教程内容和素材资源。如果您有这方面的兴趣或需求，请联系我们洽谈业务合作。

电话：0871-67122372

微信：18206751343

邮件：info＠securemymind.com

QQ: 1767022898