再次聊聊密码安全

2020年起密码法已经生效,密码法中的密码,是指采用特定变换的方法对信息等进行加密保护、安全认证的技术、产品和服务。主要功能是为了加密保护和安全认证。尽管这项法规中的“密码”强调的是“加密算法”和“加密方法”,与日常生活一般人用在电子邮件、社交媒体、手机上使用的“密码”不同,不过尽管如此,密码安全保护受到了法律的保护,违法使用密码者,最高民事罚款最高可逾一百万人民币。事实是,密码很方便。从计算机编程的角度来看,它们可以是添加访问控制方法、并以此提高安全性的一种非常简单的方法。从用户的角度来看,只需要记住一些字符并将其输入计算设备的界面中即可。

密码安全成为世界性的难题。

近年来,各类系统和应用越来越多,人们使用的密码也越来越多,为了防止“撞库”,密码还要各不相同,为了防止简单密码被“暴库”,安全的密码要求也很严格,通常长度上必须要至少8个字符,并且必须包括:一个大写字母;一个小写字母;一个数字码;和一个特殊字符(标点)。尽管如此,我们许多人仍然继续使用错误的密码。比如123456和password仍然是世界上最常用的两个密码。

强大的密码是一回事,但是密码的安全保护比密码的强度要重要。密码越难记住,人们将其写下来的可能性就越大。一项研究表明,53%的人在纸上写下了密码。更糟糕的是,许多人将密码写在电子文件中,并愿意共享那些密码。在一项调查中,有38%的IT专业人员承认与同事们共享过工作密码。

不过话说回来,要那么复杂的密码,还要各不相同,有几个人能记忆得住呢?这真是一个世界性的难题!对此,昆明亭长朗然科技有限公司网络安全研究员董志军称:一个好消息是最近由于生物鉴别和双因素鉴别技术的成熟,严格的密码创建控制时代已经过去了,根本不要强制执行复杂密码策略。如果您考虑一下,这无疑是一项很大的进步。如果网络黑客正在对系统使用蛮力攻击,如果系统启用了账户锁定策略的话,很快会导致账户锁定,在账户锁定状态下,不管正确还是错误的密码尝试都是劳而无功的。

因此,密码已成为一个致命的弱点。密码可能是控制对某物访问的一种简单方法,但是要付出一定的代价。我们必须学习如何保障密码的安全。这包括规范我们的安全行为方式,提升密码的强度以及使用其它可用的创新技术。接下来,就让我们看一看一些常规的密码安全使用要求吧!

1、让其不可猜测,通过猜测,很多黑客成功入侵了很多名人的帐户,这种新闻时不时就会出现在媒体的社会新闻版块上。因此,我们需要使用不容易猜到的密码。尝试修改一个生僻但可轻松记忆的句子,是让密码满足复杂度且不可猜测的好办法。

2、尝试使用密码管理器软件,要使用的系统和应用会越来越多,为它们设置各不相同的密码并记住它们的确是个挑战,使用密码管理器,可以让其帮助创建健壮且各不重复的密码,它们甚至可以通过识别欺骗性网站来帮助防止网络钓鱼,并提供设备密码同步的功能。市场上有许多密码管理器,包括免费版本。您可以对它们进行测试以找到最适合您的。

3、启用双因子认证(如果有提供的话),双因子(也称为多因素)身份验证是输入密码后使用的另一个登录凭据。例如,第二个因素可能是在移动应用程序上收到的一次性代码或面部、指纹等生物识别信息。使用双因素会增加一层以帮助提高安全性。

4、更改默认密码,很多僵尸网络都是黑客使用默认且易于猜测的密码而劫持了摄像头儿等物联网和路由器设备。因此,不管什么联网小玩艺儿,切记在首次登录后立即更改默认密码!详细情况可以查阅设备或路由器设置说明,厂商会告诉您默认密码是什么以及如何更改它们。

5、不要分享密码,共享密码是一件非常糟糕的事情,即使与您可以信任的人分享也不是一个好主意,很多情侣因为分享密码而造成人财两失,职场分享密码造成工作扯皮的事情也很常见。毕竟当人们分享了密码之后,他们的虚拟网络身份也就给了他人。因此,时刻将密码保存在自己的手中。

总之,密码安全看似复杂,其实只要遵守一些特定的步骤,加强密码安全意识,这样,黑客想窃取密码,盗用我们的身份就会很困难。当然他们可能会冒充他人,通过社会工程学的诈骗方式,只要我们牢记不分享密码,那黑客只能弄些虚假的招儿,比如通过构建钓鱼网站来骗我们自己输入密码。不过,这是另一个防社会工程学攻击的话题了。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898

TOTP多因子身份验证服务与Web安全

网络犯罪分子通过寻找各种可能的方式来攻破各类组织机构的网络,包括使用端口扫描、漏洞分析、数据库注入甚至网络钓鱼等等攻击方式,企图来找到各类安全弱点进而加以利用。

今天,越来越多的企业级应用开始向互联网迁移,传统的网络边界越来越模糊,甚至开始消退,犯罪分子便开始将目光转向Web服务和计算终端,亚马逊、京东、携程等一系列网站泄密案给互联网服务提供者一个惨痛的教训,于是纷纷开始加强Web网站安全的建设和保障工作,同时计算终端的安全状况也越来越引发关注,上网本、平板电脑、智能手机等便携式移动计算设备的价格越来越便宜、功能越来越强大、同时也越来越普及,远程工作、自带计算设备BYOD等成了流行趋势。

放置在Web服务端的企业应用很容易被资深的互联网攻击者发现,通过简单的域名查询、端口扫描、服务探测、搜索引擎、社交网络等技术攻击者可以搜集大量关于企业Web应用的数据,通过分析这些数据可以找到相关的Web网站安全漏洞并加以渗透攻击,同时通过数据分析也能得到关键的人员和联系方式,利用社会学工程攻击技术,结合终端渗透的各种方式如电信诈骗、网络钓鱼等等方式获得关键人员进入系统的帐户和密码,进而窃取机密数据或进行破坏活动。

在Web安全方面,网站服务提供商无疑需要加强诸多方面的安全控管,这些措施包括数据中心的场所安全、服务器硬件的可靠性、操作系统、数据库及应用平台的安全、网站的黑客入侵防范、Web安全监控、Web访问审计以及应急响应措施等等。

用户的身份验证一直是Web终端安全的一个头痛的事情,基于时间的动态令牌其实并不让人们陌生,尽管硬件令牌越来越便宜,但是仍然增添了保存和携带方面的麻烦,现在有了简易的低成本技术方案TOTP,终端软件可以直接安装在智能手机上而不使用专门的硬件,无疑会让众多Web安全为之一振。

多数网站,不管是托管服务还是自行管理,或多或少都实施了一定的物理安全措施,在软硬件平台上也都有进行一定的安全加固措施,但是这些并不足够,人们逐渐认识到,保护网站安全的重点工作在于日常的运维,网站的漏洞扫描、补丁管理、渗透测试、安全监控、日志审计、故障修复和应急响应等等都应该紧紧跟上。

昆明亭长朗然科技有限公司拥有由多名信息安全专家组成的安全服务团队,携手多家国内外知名的Web应用安全厂商,使用成熟稳定的TOTP技术方案,给云南甚至东盟地区的Web安全保障带来了新的生机和希望。

再让我们看一看终端安全领域,大多数的企业级用户开始注意到这方面的安全隐患,计算终端越来越普及,如果员工的安全使用意识和能力未能跟上去,设备和帐户的失窃很容易让攻击者获得企业级信息系统的远程访问甚至控制权限。

人员总是公司安全管理中最薄弱的环节,攻击者也知道通过搞定最终用户可以轻易实现进入企业系统的罪恶目的,所以加强对员工进行安全培育和培训,可以让他们主动识别出攻击者常用的下三滥手段,进而让攻击者无功而返。

然而,安全意识教育和培训也只能让攻击者很难对员工进行钓鱼或诈骗,然而坚定的攻击者还是不会轻易放弃,他们可能还会采取诸如猜解、暴力破解等手段来获得员工的密码,这时就需要我们加强身份验证机制,大型的网上银行几乎都已经实施了多因素身份验证机制,更多注重安全的企业级用户也应紧紧跟随,通过加强对终端用户的安全认证,确保即便黑客控制了终端计算设备,也难以登录关键应用系统窃取机密信息或进行进一步的破坏。

昆明亭长朗然科技有限公司通过与国内外多家顶级身份认证产品和服务提供商建立合作关系,致力于帮助云南本土的企业级用户实施多重身份认证解决方案,特别是移动互联网时代基于TOTP技术的低成本解决方案,欢迎与亭长朗然取得联系免费试用体验相关产品及服务。