【英語島封面故事】資安防疫包:升級你的密碼(上)

根據美國資安產品公司 Digital Guardian 在2017 年針對一千名網友的調查,超過7成的人持有10個以上須設密碼的帳戶,而其中又有近三成表示「擁有太多帳戶數不出來。」到底密碼該怎麼設,又該怎麼保護及管理呢?



資安概念持續進化中

根據詐騙偵測公司CSID在2012年所做的調查,有超過6成的人會重複使用密碼,也就是多個帳戶是同組密碼,但卻有超過8成的人覺得自己的帳戶十分安全,而在密碼強度方面,超過6成的人設定強度低 (weak) 的密碼。

再觀察到Digital Guardian在2017年的調查,已經有7成的 人至少一年會換一次密碼,且有超過一半的受試者知道要用較複雜的密碼保護自己的個資。有將近 2/3 的人表示,在創建帳戶時,會先考慮設定密碼的安全性而非方便程度。



資安工程師來解惑

Q1有人知道我的密碼嗎?

登入帳密時,是否曾經懷疑電腦的另一端有人知道你的密碼呢? 基本上,如果網站使用不安全的密碼儲存方法,管理方有可能會知道用戶的密碼;但如果網站使用安全的密碼儲存方法,從運算後的數值非常難推回原密碼,就算駭客入侵或管理方都很難知道實際密碼是什麼。

至於自己的密碼有沒有加密,可以用一個小方法測試,在登入時按下「忘記密碼」,如果這時註冊信箱中收到了原始帳號密碼,便代表該網站的密碼沒有加密,管理方的確知道你的密碼喔。

Q2我的密碼真的可以被破解嗎?

一般來說,不安全的密碼儲存方式比較容易破解,但安全的密碼儲存方式還是有可能被暴力破解,也就是嘗試所有可能的密碼,一個一個猜,因此密碼長度跟複雜度會影響被破解的可能性,比方說 test123 和 jI32k7au4.a83Pc3dj4, 這兩個密碼的複雜度就差很多,後者便比較不容易被破解,這就是設定強度高的密碼的重要性。



Q3接到詐騙電話是因為密碼被破解,個資外流嗎?

雖然剛剛我們提到,密碼的確有可能被破解,但個資外流除了因為密碼被破解外,也可能是該網站被駭,導致交易內容被盜。另個常見的情況是,同樣的帳密在A網站被破解後,拿到B網站登入。

臉書執行長祖克柏的 Twitter 和 Pinterest 帳號便曾被駭客入侵,令人意外的是,祖克柏的密碼是強度超低的「dadada」,且駭客是先竊取了職業社群 LinkedIn 的資訊,而祖克柏的帳密也跟其他人的帳密一同 被放在黑市上交易,表示祖克柏將一組密碼用於多個帳戶,從今天開始改掉一個帳密登入多個網站的壞習慣吧。



*本文收錄於英語島English Island 2020年4月號