資安提醒：重新设定 Twitter 帳號密碼

Twitter 目前又发生一起可能造成資安危机的密碼管理失誤事件，在原本应該不被人輕易知悉的密碼傳輸与儲存管理過程中，因为程序设计師未能嚴格检查流程的臭蟲，导致密碼有可能以明碼暴露在外的危机。

根据 Twitter 表示，當用戶为帳戶设定密碼时，他们会使用一項技术將密碼遮蔽，使公司內部的人無法看見該密碼。 近日他们主动发现一項程序錯誤，导致儲存的密碼在一項內部記錄中出现未被遮蔽的情況。

实際上很多网站对於密碼的資安保护都有問题，筆者就曾在某网站後台直接叫出密碼明文，代表工程師可以隨意查看用戶密碼，屬於非常嚴重的資安漏洞。

Twitter 強調他们已修正这項程序錯誤，而調查也顯示並未发生任何入侵或濫用。並表示，为了慎重起見，建議使用此密碼的所有服務变更密碼。 用戶隨时都可以前往密碼设定頁面，变更安全密碼。

官方说明

系统一般透過一項程序来遮蔽密碼，此程序採用一種稱为 bcrypt 的密碼雜湊函式，可將实際的密碼取代为隨机的数字和字母组合，然後儲存在 Twitter 的系统中。 这可让系统無需揭露用戶密碼，就可以验证帳戶认证，屬於常見的業界标準。

但是，由於一項程序錯誤，导致密碼在完成雜湊程序之前就先寫入一項內部記錄中。 Twitter 表示是自己主动发现了这个錯誤，立即將密碼移除，並採取了一些方案来避免此程序錯誤再次发生。

維护帳戶安全的祕訣

Twitter 聲明，儘管他们不认为密碼信息曾经離开 Twitter 系统或遭到任何人濫用，但是用戶仍应該採取幾个措施来維护帳戶安全，包括：

1. 在 Twitter 和任何你可能使用相同密碼的其他服務上变更密碼。
2. 使用你未在其他服務中使用過的強式密碼。
3. 啟用登入验证，也就是雙因素验证。 若要提高你的帳戶安全性，这是你可以採取的一項最佳措施。
4. 使用密碼管理员，确保你在所有地方使用的都是高強度的唯一密碼。

延伸閱讀

1. 用专家級「好密碼」保护自己是场网络戰爭
2. 曼特斯：密碼產生器（Mountos Generator）