哈啦閒聊的時刻 /z/compiling
4
當廠商都要說密碼該又臭又長，微軟卻告訴你：太亂的密碼根本沒用 (www.techbang.com)
15 則討論 kaif 張貼於

haocheng 積分 0 編輯於

補篇 FB 上看到的: Allen Own FB1

1
https://www.facebook.com/allenown/posts/10152732162636459?pnref=story
回應

ericj 積分 1

你的連結貼錯了，但是你貼的連結原文論點也沒錯， 這篇文章的標題是斷章取義的．密碼安全最重要的是強度和長度也沒錯．

但是如果你把整個 use case 拉到使用者和系統互動的層級來看， 一昧的加強長度和強度是不夠而且不切實際的．

微軟這篇研究的譯文在這邊 微软：暴力破解面前，增强密码复杂性基本没用1 當 use case 的層級拉大，你會發現暴露出來的風險會更多 網站採取什麼機制去保護密碼和資料，使用者採取什麼方法去輸入和使用密碼

這些複雜相關的東西，就跟一個水桶能保存多少的水，是取決于最短的那片木板．

你以為你的密碼夠長夠強，加了一塊超長的木板， 卻不曉得為了做這件事，你必須多安裝其他木板 或者以為只要做了這個就可以裝滿滿的水.....

1
http://www.freebuf.com/articles/web/53184.html
回應

haocheng 積分 3

不小心貼到剛剛想贊助的遊戲...

回應

chchwy 積分 0

Bloodstained 好玩嗎? (歪樓)

回應

haocheng 積分 0

2017 才會出喔... =_=

回應

qrtt1 積分 0

還好只是遊戲的 link (逃

回應

haocheng 積分 0

真的，還好不是什麼奇怪的 link ... Orz

回應

haocheng 積分 0

標題有點誤導...

如果用 Password manager 的話，不同網站用不同密碼可以減低密碼外洩的傷害

回應

ericj 積分 0

但是你得到另外一個風險.... 你把雞蛋都放在同一個籃子裡了...

回應

haocheng 積分 0

看你覺得這跟在所有網站都用同樣的密碼哪一個風險大了

回應

ericj 積分 0

為什麼不用“自己也記不起來的超高複雜度密碼” 就只能所有網站都用同樣的密碼?

我贊同的是這篇文章的兩個論點 一個是中等強度勉強可以記憶 （一定等同於全部網站都用同一個密碼嗎?） 和一個是自己完全記不起來的超高複雜度之間的取捨

另外選了 password manager 則又是另外一個取捨 或許它解決了超高複雜度密碼和每個網站都可以用不一樣的密碼 可是你暴露出來的另外風險又是哪些呢?

伺服器端應該提供的保護有哪些 而使用 password manager , 也是有一樣的問題 並不是將所有的責任都推給使用者就好了不是嗎?

回應

haocheng 積分 1

重點不只是強度，人能記憶的密碼不管強弱都一定有某些規則(不然我們的大腦記不起來)，有規則的密碼就更容易被破解

password manager 當然有缺點，就看你怎麼取捨而已，或許你可以參考一下 Bruce Schneier 1 的意見

網站當然有該做好的事情，不過這就不是我們能掌控的部份了

1
https://www.schneier.com/blog/archives/2014/09/security_of_pas.html
回應

ericj 積分 0

我同意你的論點，我也使用 password manager ，但是就跟我一開始說的一樣，我更贊同的是原文提出的其他觀點． 從整個系統的層級來看，一直鬼打牆的強調密碼要多長多強根本不能夠完全解決問題．系統端的加密和防護機制，甚至 multi factor authentication 等機制，都是跳出密碼強度和長度框架，而從其他觀點來增強安全性的

如果你單純相信密碼夠長夠強系統就是安全的，那用 password manager 真的就天下太平了．

回應

haocheng 積分 0

我只說「不同網站用不同密碼可以減低密碼外洩的傷害」，其他我都沒說喔

回應

anthonychen 積分 0

不知道有沒有可以用中文當密碼的一天

回應