僅過去一年間，超過20億個(gè)賬戶的記錄被網(wǎng)絡(luò)罪犯竊取。單純這一數(shù)字或許還不是很可怕，更高的風(fēng)險(xiǎn)在于，很多人使用相同的密碼管理自己所有的賬戶。許多年來，專家一直呼吁，應(yīng)該為每一個(gè)賬戶設(shè)置不同的密碼，并且每一個(gè)密碼都要足夠長，并包含特殊字符、大小寫字母和數(shù)字?？梢岳斫?，許多用戶都認(rèn)為這實(shí)在是太麻煩了，為此，為了盡可能地確保用戶賬戶的安全，安全行業(yè)必須開發(fā)更多額外的驗(yàn)證技術(shù)。不過，不要以為這些新的驗(yàn)證方法就是牢不可破的，其中大部分仍然是可以被破解的，真正安全的密碼替代品并不是沒有，但仍在開發(fā)之中。

與此同時(shí)，很多服務(wù)也開始提供更多的安全措施：兩步驗(yàn)證。在這種驗(yàn)證方式下，要通過驗(yàn)證，除了需要正確的密碼之外，還需要一個(gè)通過短信或者智能手機(jī)應(yīng)用程序收到或生成的驗(yàn)證代碼。兩步驗(yàn)證方式明顯地提高了安全性，但它同樣有可能受到黑客的攻擊。最常見的方式是利用鍵盤記錄器，攻擊者首先通過網(wǎng)絡(luò)釣魚等方式入侵目標(biāo)電腦，并在受害者的電腦上植入鍵盤記錄器等惡意軟件，不僅可以讀取用戶的賬戶密碼，同時(shí)也捕獲兩步驗(yàn)證的驗(yàn)證碼。接下來攻擊者可以通過中間人攻擊登錄到用戶的賬戶，獲取需要的信息或者直接更改賬戶密碼。

另外，大部分網(wǎng)絡(luò)賬戶設(shè)有忘記密碼時(shí)取回密碼或者賬戶的選項(xiàng)，許多用戶設(shè)置的問題都非常簡單，例如母親的姓，攻擊者只需要略做一些調(diào)查，即可獲得這些信息并取得賬戶的控制權(quán)，根本不需要通過兩步驗(yàn)證方式登錄。此外，入侵移動(dòng)系統(tǒng)是非常簡單的事情，除了網(wǎng)絡(luò)釣魚等方式之外，類似BadUSB之類的惡意軟件，只需要移動(dòng)設(shè)備連接到電腦上充電即可感染。在智能手機(jī)被入侵的情況下，攻擊者可以選擇通過智能手機(jī)獲取兩步驗(yàn)證的驗(yàn)證碼，也可以選擇直接通過智能手機(jī)嘗試取回賬戶密碼等方式獲得賬戶的控制權(quán)。

無需手機(jī)的雙因素密碼

要防止針對兩步驗(yàn)證方式的攻擊，可以考慮不使用手機(jī)作為第二驗(yàn)證因素，改為通過特殊加密的“通用第二因素”（Universal Second Factor，簡稱U2F）標(biāo)準(zhǔn)USB密鑰。以登錄Google服務(wù)為例，當(dāng)?shù)卿涍^程中Google要求輸入第二因素的驗(yàn)證碼時(shí)，USB密鑰將可以生成它。在這個(gè)過程中，數(shù)據(jù)的傳輸完全是加密的。但USB密鑰也不是完全沒有問題的：如果USB密鑰被盜，攻擊者同樣可以使用它，因?yàn)閁2F標(biāo)準(zhǔn)沒有為USB密鑰設(shè)置安全驗(yàn)證。當(dāng)然，攻擊者還需要知道用戶的賬戶密碼，不過，這個(gè)對于攻擊者來說難度要低很多，而且事情到了這一步，事實(shí)上雙因素密碼保護(hù)措施實(shí)際上已經(jīng)宣告失敗。除此之外，在一些服務(wù)中，誰擁有USB密鑰誰就可以重置賬戶密碼。

如果不希望隨身攜帶USB密鑰，也可以考慮依靠生物特征識(shí)別和身份驗(yàn)證技術(shù)?，F(xiàn)如今人臉識(shí)別非常受歡迎，通過一個(gè)內(nèi)置相機(jī)的設(shè)備捕獲用戶的圖像，存儲(chǔ)用戶臉部的生物特征用于身份驗(yàn)證，例如眼睛之間的距離。雖然人臉識(shí)別聽起來簡單、安全，但是它也有一些漏洞。例如來自混沌電腦俱樂部（Chaos Computer Club）代號(hào)為Starbug的黑客所展示的方法，通過一張攝像機(jī)前用戶的照片，即可解鎖電腦和登錄在線服務(wù)。因而，新一代的生物識(shí)別驗(yàn)證系統(tǒng)必須通過“生物檢測”技術(shù)來避免這一漏洞，例如要求用戶眨一下眼睛。然而，黑客可以非常容易地克服這些障礙，例如在照片的前面上下移動(dòng)一下筆。雖然這種破解方法不是總能生效，但對于類似Android的人臉檢測之類的很多軟件解決方案它們通常都可以奏效。

另一種生物特征身份驗(yàn)證技術(shù)虹膜識(shí)別可以提供更高的安全性，同時(shí)也支持U2F標(biāo)準(zhǔn)。該技術(shù)通過攝像頭掃描人的眼睛虹膜，并把它作為驗(yàn)證特征。以往，只有專業(yè)的解決方案提供虹膜掃描設(shè)備，而現(xiàn)在低成本的消費(fèi)者版本已經(jīng)推出，甚至在Windows 10中也已經(jīng)支持虹膜識(shí)別驗(yàn)證登錄。虹膜識(shí)別是非常安全的，1 500萬次驗(yàn)證中只有一次錯(cuò)誤報(bào)告。虹膜掃描儀的制造商投放的廣告基本上將其介紹成一種牢不可破的驗(yàn)證技術(shù)，但實(shí)際上通過分辨率非常高的照片仍然有可能突破防線。例如，從5m左右的距離拍攝德國聯(lián)邦總理安格拉·默克爾的照片，那么黑客有可能打印虹膜細(xì)節(jié)用于突破虹膜識(shí)別系統(tǒng)。專家警告說，普通的虹膜識(shí)別系統(tǒng)是可以破解的。

常用生物特征識(shí)別和身份驗(yàn)證技術(shù)中指紋掃描是較難以破解的，因而，許多手機(jī)、電腦都采用指紋掃描技術(shù)，但是指紋掃描同樣不是牢不可破的，2013年9月混沌電腦俱樂部的黑客花費(fèi)幾十元買了一點(diǎn)石墨、透明膠片和膠水，輕松地騙過了iPhone 5S的手指掃描儀。除此之外，混沌電腦俱樂部的黑客還表示，通過照片重建指紋同樣可以實(shí)現(xiàn)類似的效果，并通過德國前國防部長烏爾蘇拉·馮·德萊恩的照片進(jìn)行示范。當(dāng)然，實(shí)現(xiàn)類似的攻擊需要大量符合條件的照片，但是這已經(jīng)足以證明指紋掃描的所謂安全性是具有欺騙性的。

到目前為止，最安全、最成熟的生物特征識(shí)別和身份驗(yàn)證解決方案是靜脈檢測，這種驗(yàn)證方式通過紅外光裝置檢測手部血流的特征進(jìn)行驗(yàn)證。該驗(yàn)證技術(shù)僅有讀取裝置是不可能被攻擊的，黑客需要嘗試將其中的數(shù)據(jù)流轉(zhuǎn)到電腦再進(jìn)行處理，實(shí)現(xiàn)類似的攻擊是非常困難的。不過，靜脈檢測驗(yàn)證的設(shè)備非常昂貴，通常只有需要極高安全性的大公司和政府機(jī)構(gòu)才使用這種身份驗(yàn)證技術(shù)。

心率作為密碼

另外有一些生物特征識(shí)別和身份驗(yàn)證技術(shù)是基于物理特性的，例如通過專用心臟傳感器記錄一種特殊的心電圖，通過每個(gè)人不同的心臟泵血大小和位置作為識(shí)別特征。該技術(shù)已經(jīng)完善，能夠準(zhǔn)確地識(shí)別用戶，并允許心臟肌肉出現(xiàn)生理變化，例如尺寸和肌肉位置的變化，也能夠識(shí)別生物特征頻帶的載體由于應(yīng)力產(chǎn)生的改變以及物理病變或疾病的影響。

率先啟動(dòng)心臟檢測的是一家名為Nymi的加拿大公司，該公司采用臂帶測量心臟速率，通過兩個(gè)電極記錄皮膚電導(dǎo)和電壓的細(xì)微變化，并將這些信息記錄下來用于輔助心臟檢測。在用戶需要驗(yàn)證身份獲得授權(quán)時(shí)，可以讓設(shè)備檢測用戶的心臟活動(dòng)，如果識(shí)別為正確用戶，臂帶將把此前預(yù)先保存的一個(gè)加密密鑰通過加密的藍(lán)牙連接發(fā)送到兼容設(shè)備，例如智能手機(jī)或電腦。

目前，該公司已發(fā)布了一個(gè)程序員開發(fā)套件，一個(gè)消費(fèi)者版本計(jì)劃于2015年年內(nèi)推出。這種生物特征識(shí)別技術(shù)的優(yōu)勢在于，攻擊者很難騙過檢測設(shè)備。根據(jù)Nymi的介紹，攻擊者確實(shí)很難偽造相關(guān)的數(shù)據(jù)，即使攻擊者能夠模擬用戶的脈搏，也無法模擬其他相關(guān)的各種數(shù)值。根據(jù)Nymi公司的介紹，他們認(rèn)為成功的攻擊手段或許不是絕對不可能有，但是必須耗費(fèi)大量的時(shí)間和精力。而盜取用戶的臂帶是沒有意義的，因?yàn)閿?shù)據(jù)鎖或外殼被打開后臂帶將自動(dòng)鎖定，只有在正確檢測心臟數(shù)據(jù)后才能夠再次激活。

在未來記住你的密碼

伯克利大學(xué)正在研究一種比心臟檢測更安全的生物特征識(shí)別技術(shù)，通過腦電圖傳感器檢測腦電波，能夠發(fā)現(xiàn)用戶是否記得正確的密碼。這里所說的密碼不是字母和數(shù)字之類的組合，而是一個(gè)腦力任務(wù)，類似某種特殊的手勢或者某一曲調(diào)。用戶可以根據(jù)自己的喜好選擇任何形式的密碼，因?yàn)橛纱水a(chǎn)生的腦電波才是被檢測和識(shí)別的特征。但是預(yù)計(jì)需要再過幾年，腦電波檢測技術(shù)才可以服務(wù)于公眾，因?yàn)樵摷夹g(shù)需要若干臺(tái)電腦來評估腦電圖。該技術(shù)目前被認(rèn)為是安全的，因?yàn)楣粽邔?shí)在很難實(shí)施攻擊：既需要為受害者接上腦電圖檢測電極，還需要讓受害人想起自己的密碼。

將來有一天，掃描眼睛視網(wǎng)膜也可能會(huì)是一個(gè)非常安全的密碼替代品，該技術(shù)將通過紅外光掃描記錄眼睛血流方向等信息，這些數(shù)據(jù)對于每一個(gè)人類個(gè)體來說就像是DNA一樣的特別。不過，批評者認(rèn)為，該技術(shù)存在一定的攻擊性，目前還沒有關(guān)于長期掃描視網(wǎng)膜是否有不良影響的研究。

訪問控制部分，專家的意見認(rèn)為未來會(huì)通過DNA實(shí)現(xiàn)，盡管目前還沒有DNA檢測的消費(fèi)產(chǎn)品。由于沒有任何人的DNA是百分百的相同，所以毫無疑問通過DNA驗(yàn)證身份極為可靠，但是目前仍然缺少低成本的DNA檢測方法，雖然通過皮屑或毛發(fā)就可以檢測DNA，但也只有裝備精良的實(shí)驗(yàn)室可以做到。另外，DNA檢測用于替代密碼，還需要解決一個(gè)問題，那就是如何才能夠避免攻擊者用盜取的頭發(fā)或其他包含用戶DNA的物件解鎖。

英國牛津大學(xué)研究人員也利用DNA作為密碼替代品，不過，他們不需要實(shí)驗(yàn)室檢測DNA。他們的方法是，通過每一個(gè)人使用電腦時(shí)按鍵盤的習(xí)慣，也就是研究人員所說的所謂電子DNA來識(shí)別和驗(yàn)證用戶身份。據(jù)Oxford BioChronometrics公司的首席執(zhí)行官大衛(wèi)·謝克爾介紹，每一個(gè)人的電子DNA都清晰可辨。該項(xiàng)目仍處于研究階段，但是據(jù)著名的安全專家克里斯·米切爾介紹，這樣的密碼替代技術(shù)并不到位，因?yàn)殡娮覦NA需要持續(xù)的監(jiān)測，通過用戶的行為識(shí)別和驗(yàn)證用戶身份。不過，該方法的優(yōu)點(diǎn)是它不需要昂貴的傳感器，同時(shí)它也很難破解。

責(zé)任編輯：金雅文jin_yawen@chip.cn

收稿日期：2015-09-20

技術(shù)

從未改變密碼

幾乎一半的用戶從來沒有改變自己的賬戶密碼，只有約十分之一的用戶遵循安全建議，每兩到三個(gè)月設(shè)置一個(gè)新密碼。

你經(jīng)常改變在線密碼嗎？

虹膜和視網(wǎng)膜掃描

虹膜（左）可以通過簡單的手段被復(fù)制，例如通過高分辨率照片，掃描視網(wǎng)膜（右）被認(rèn)為是最安全的密碼替代方法之一，但是紅外掃描是否損傷眼睛仍未可知。

靜脈識(shí)別

掃描儀使用紅外光掃描手背靜脈，血流的過程中可以通過反射光讀取，該方法被認(rèn)為是可廣泛應(yīng)用的最安全生物識(shí)別技術(shù)之一。

檢測心率

新的生物識(shí)別技術(shù)包括心臟的脈沖和心電圖，因?yàn)槊恳粋€(gè)人的心臟工作模式不同，通過這種檢測可以準(zhǔn)確地識(shí)別用戶的身份，消費(fèi)者版本的檢測設(shè)備預(yù)計(jì)將于2015年年底進(jìn)入市場。

備選方案

今天的技術(shù)

目前，為了更安全地訪問在線服務(wù)，例如Google，首先我們必須啟動(dòng)兩步驗(yàn)證功能，其次是使用加密的USB密鑰。

在通過密碼驗(yàn)證之后，需要輸入通過智能手機(jī)應(yīng)用程序或短信獲得的驗(yàn)證碼，用戶才能夠登錄。

插入“通用第二因素”（Universal Second Factor，簡稱U2F）標(biāo)準(zhǔn)的USB密鑰驗(yàn)證和登錄。

明天的技術(shù)

研究人員正在不斷開發(fā)新技術(shù)，這些技術(shù)有望成為密碼的替代品，不過，它們還需要一些時(shí)間才能夠正式進(jìn)入市場。

目前，摩托羅拉正在測試密碼藥丸，通過用戶的胃酸產(chǎn)生動(dòng)力，通過身體發(fā)出的16位密鑰用于驗(yàn)證身份。

Nymi臂帶通過心臟檢測，以心臟的心電圖等信息作為識(shí)別的生物特征，目前該裝置正在開發(fā)，即將投入市場。

通過頭部的傳感器讀取腦電波，將用戶想象一個(gè)具體事物時(shí)產(chǎn)生的腦電波作為身份識(shí)別的生物特征。

在遙遠(yuǎn)的未來，人類DNA有望被用做密碼，但是目前缺少低成本的DNA讀取方式，作為驗(yàn)證方案也有一些細(xì)節(jié)需要完善。

密碼管理器

你只需要一個(gè)密碼

在生物特征識(shí)別技術(shù)可靠并適用于普羅大眾之前，我們應(yīng)該考慮使用密碼管理器，這樣我們只需要記住一個(gè)主密碼即可。

Windows

Password Safe Personal可以管理多達(dá)20個(gè)數(shù)據(jù)記錄，并提供密碼生成器以便幫助用戶創(chuàng)建安全的密碼，并提供確保密碼數(shù)據(jù)安全的備份功能。

MacOS

蘋果桌面系統(tǒng)的密碼管理器可以考慮KeePassX（www.keepassx.org），該軟件開放源代碼，因而我們不必?fù)?dān)心它是否有什么不為人知的后門，同時(shí)，該軟件對數(shù)據(jù)的加密方式被認(rèn)為是安全的。

iOS

使用SecureSafe，我們可以將密碼在線保存在一個(gè)瑞士的服務(wù)器上。美國國家安全局無法像訪問美國服務(wù)器一樣隨意地讀取其中的數(shù)據(jù)，而且我們還可以使用一個(gè)實(shí)用的附加功能：傳輸加密數(shù)據(jù)。

Android

LastPass除了具有密碼管理功能之外，還可以擴(kuò)展成為一個(gè)安全的瀏覽器，通過該安全瀏覽器上網(wǎng)，其他Android應(yīng)用程序無法窺探這個(gè)瀏覽器中的數(shù)據(jù)。如果我們在智能手機(jī)上訪問網(wǎng)上銀行，那么應(yīng)該考慮使用它。

確保主密碼安全的5個(gè)注意事項(xiàng)

根據(jù)以往數(shù)據(jù)泄漏的情況顯示，密碼的長度最少需要10個(gè)字符。

為了防范字典攻擊，我們應(yīng)該避免使用攻擊者可能用作字典的內(nèi)容作為密碼，避免人名、地名和已知單詞，將密碼英文字母的部分輸入Google進(jìn)行測試，如果沒有任何結(jié)果，那么這是一個(gè)好密碼。

不要使用任何看起來相時(shí)關(guān)的特殊字符來替換字母，例如使用“@”替換“A”。在進(jìn)行暴力破解時(shí)，類似的替換方式早已在攻擊者的預(yù)料之中。

我們可以通過兩句話來組成一個(gè)好記并且安全的密碼。例如，“我車牌號(hào)碼KM-XX-999的車停哪了？”和“在我的車庫！”，它們可以組成密碼“wcphmKM-XX-999dctnl？zwdck！”。

不同的服務(wù)不要使用相同的密碼，并且堅(jiān)持每兩到三個(gè)月修改一次密碼。