Day 12 - 密码攻击的因应

出於书本 Chapter 7. Passwords

因应对策

一开始书上举了最简单的例子便是「建议使用者为不同的系统建立不同的密码」，但缺点便是要想办法记下这群密码，直觉可能是暂时的抄在某个地方，但就不是一件好事情。

密码的强度是很重要的，但是也不太可能期待使用者都记住霹雳无敌复杂的密码，或者每一两周就去更新密码。反过来说，也不可能为系统设定强度很低的密码，或是乾脆不要设定。也就是 必须要在**安全性与便利性**之间取得平衡

密码保存

将密码锁在安全的地方，或是记录在加密的档案或是资料库里。其中一个可以使用 PGP (Pretty Good Privacy) 加密软件进行加密。

不要再把密码抄在 N 次贴上了

管理策略

可以向使用者展示如何建立较为安全的密码，强度较强的密码会遵循以下原则

• 至少大小写字母与数字混用
• 不要用有意义的单字或单字做为密码
• 至少半年或是一年变更密码
• 每个系统都使用不同的密码，而且长度不相同
• 不要用与英文字母长相相似的数字代替字母，比如 password ⇒ pa55word 等
• 更换密码时，至少在轮替过四组或五组之後在重复使用。
• 使用有密码的萤幕保护程序
• 千万不要与人分享密码
• 避免将密码放置在不安全的地方，比如没有加密的表单上。

还有教育使用者如何避免被社交工程攻击。

其他对策

• 使用安全性稽核方式来监控以及追踪攻击
• 使用工具来检查是否有密码被永久存放在记忆体或是硬碟里，或是安装防毒与反间谍程序保护系统
• 保持系统都有被 Patch
• 定期关闭或是删除太久没有被使用的使用者帐号
• 开启连续尝试密码Ｘ次後就锁住使用者帐号
  • 如果有设定自动重置密码的功能，重置的周期不要设定太短，30 分钟蛮刚好的
• 更强的认证 (authentication) 方式，像是 challenge/response、token 或是数位签章

保护作业系统

以 Linux 与 UNIX 系统来说，可透过以下几种方式来预防密码攻击

• 确保系统使用 shadowed password [1]
• 避免弱密码在系统中被建立，可以使用作业系统里内建的 password filtering 或是其他密码稽核程序。
• 确认没有重复的 root UID 在 etc/passwrd 档案里

终於把这章文字的部分给读完了，明天想装个密码破解软件试试。

[1] shadowed password，简单的说是指真正的密码被存放在另外一份档案，原本的 /etc/passwd 没有包含密码资讯 (参考这里)