用专家級「好密碼」保护自己是场网络戰爭

菲律賓曾以国家军隊攻擊中华民国的平民漁船，造成伤亡，导致我国人民在网络上与該国爆发一场现代化的网络攻防戰爭。

撇开利用漏洞攻擊网站的方式不談，对我们普通电脑使用者而言，防范攻擊者的各種防禦中，最基本的就是选用一组好密碼 — 或至少三组。好的密碼可以防止攻擊者用暴力破解法进行攻擊。

本文共分三个段落，第一段是介紹密碼強度与破解时间，第二段是教你如何设计一组好的密碼，第三段则是教你如何检查自己的密碼強度。

密碼強度与破解时间

記得网络这項新興科技才剛开始流行时，最多人喜歡的密碼是 12345678。

利用暴力破解法破解这组密碼，总共花費的时间只需要… 0.0002秒！

到了近代，人类智慧有了飞躍性成长（謎之音：难不成前面是尼安德塔人嗎？），懂得使用更複雜的密碼形式，提升密碼的強度，像是：

5201314 ---> 我爱你一生一世

ILoveYou ---> 我爱你

1.2448 seconds

23113731 ---> 总统府电話

10.4773 seconds

MaTheBumbler ---> 不解釋

14.025385 minutes

对了，有一组密碼可说是世界上超多人的最爱，说它是排在爱用密碼表前五名也不为過。

这组密碼就是 password 本身。

甚至許多网络机器的预设密碼就是 password，後面使用者也懶得更換。这項统计結果可是经過美国学术单位进行研究认证的呦。

如何设计一个好密碼

筆者接下来將提供幾点关於密碼设计的观念給大家，如果有误或不足处還請高手指正。

第一点，使用至少三组密碼。

筆者一再傳達的安全理念之一，就是网站主自己要认清网站的规模与实用度，詳細內文可參見《給网管的一封信: 符合网站重要度的密碼规则是重要的》。

反之，对我们使用者来说，在不同等級的网站，使用不同安全等級的密碼，就是相对方便与安全的一種选擇。

举个例子让大家方便瞭解，例如社交网站用 0000，电子信箱用 1234，银行交易用 6749。

大家应該可以从这三组密碼看出规律。

本质上就是字串的複雜度不同，这部分我会在第三点做更进一步的補充。

其实「不同複雜度」的使用方法只是筆者習慣，如果大家的記憶力超越常人，那每一组密碼都用極端複雜的组合也是很棒的，但我可是很懶惰的。

重点就是，不要贪图方便，只用一组密碼闖就想蕩网络世界。

在完成至少三组的密碼设计後，一定要記得，千萬不要在陌生网络及电脑环境中，使用最高安全等級的第三组密碼！

簡单说，越重要的密碼，越不要輕易使用。

所謂的陌生环境指的像是学校公用电脑、网咖、路邊隨意接上的 WIFI 無线网络，甚至連友人家的电脑都包括！

在这些陌生环境中，有太多的可能会被竊取密碼，無论是透過现实或虛擬技术，無论是有意或無意。

當你徹底執行上面所说的步驟後，对一般善良老百姓而言，唯二剩下可能会被竊取密碼的机会，大概就是遇到惡劣的网站设计者，以及自己使用电脑的不良習慣。这邊有机会等开新文章再来談吧。

第二点，定期更換密碼。

原则上建議每三个月到半年就要更新一次密碼。不過对於社交网络使用的密碼，除非发现異常狀況，否则我也懶得更換

。

第三点，使用好的密碼规则。

所謂好的密碼规则，簡单講就是越複雜越好。以「dQ&@Fj2w#!e3W」为例，破解密碼所需的时间就是…

在这个经過设计的密碼范例中，包括幾項重点：

1. 长度：密碼字串长度至少为 8 个，越长越好；但在一般网络环境中，不建議超過 16 个。以 8 个 A 的密碼 AAAAAAAA 为例，INTEL 告訴我们破解密碼的时间需要 6 小时，但是當长度由 8 个 A 提升到 9 个 A 时，便需要 6 天才能破解。順帶一提，如果是 16 个 A，则需要 144883728 年。
2. 構成：我將密碼的構成元素由簡单到複雜依序排列，包括「数字」、「小寫英文字母」、「大寫英文字母」、「符號（e.g. ~, @, #, $, %, ^, &, etc,.）」。其中，最簡单的密碼设计可以是单純的「数字」。进階版本则是加入「小寫英文字母」，像是 love1314（0.0272 秒）。因此，若想增加密碼強度，只要加入更多相異的元素便能達成。不過有些网站系统可能不支援数字及符號密碼，这也是需要注意的地方。
3. 组合：我用相同構成元素的兩组密碼「A1234#5678」及「A#12345678」来做个实验，破解时间分別是「0.0589 Seconds」以及「0.2266 Seconds」。我们可以知道，即使採用相同的構成元素，只要在组合时稍微花些巧思，也能有效的提升密碼強度，在这个例子中就差了將近四倍的时间。基本的大原则就是，將最複雜的構成元素擺在前面，这也是許多网站会嚴格要求第一个字母採用大寫英文的原因。

我们特別设计一套簡单易用的「密碼产生器（Password Generator），如果你不曉得該如何设定密碼，可以开啟「Mountos : Password Generator」小工具来找到超厲害的密碼喔！

第四点，如果网站本身提供第二道安全认证，使用它。

所謂第二道安全认证，是类似一種双重鎖的安全设计，它让使用者在特定狀況下，需要輸入第二密碼才能进入受保护的空间，更进一步的使用可見我所寫的文章《网络安全: 建議使用兩階段验证密碼 - 设定教学与手机 APPs 支援》。

例如，臉書在「帳號设定（Account Settings）」中的「帳號保安（Security）」选項，提供「登入許可（Login Approvals）」功能。Google 在帳戶设定中的安全性设定中，提供「兩步驟验证」服務（Google 官方兩步驟验证教学）。

这兩间不同公司卻提供相似的服務，目的就是在某人透過「陌生电脑」連上臉書或 Google 时，需要額外輸入经手机接收的安全验证碼（Security Code），以便确认是由本人親自登入。

另外，有些网站会主动要我们使用兩種密碼，以因应前、後台不同的使用时机，这样便能造成入侵者的困擾。

但是，我要特別声明，如果你发现网站甚至会自动幫你验证这兩種密碼是否相同时，不要高興太早，认为这让安全等級更高。

因为你的密碼已经暴露在風险下。原因是系统需要先知道你第一次设定的密碼內容，才能加以验证，这不是很荒謬嗎？

检查自己的密碼強度安全

如同本文剛开始的测试，如果你想检查自己的密碼強度，可以到 INTEL 提供的专屬网站进行检查，网址是：https://www-ssl.intel.com。

只要將密碼輸入文字框，按下 GRADE MY PASSWORD!，系统便会找出你的密碼需多久时间才能破解。

雖然是 INTEL 的官方网站，但我个人還是不建議輸入正在使用中的密碼。大家其实可以採用比較迂迴的方式，譬如 ILoveYou 換成 ILoveLin（害羞）。

Change your password.

比 ILoveYou 還簡单呦

。

……………