“密码专家：多而杂密码以及频繁更换并不安全”

【科技在线】

据北京时间8月10日下午的新闻报道，一位专家在10多年前就计算机密码问题向客户提供过指南，毕尔伯是导游的作者。 伯克为当时的一点建议而后悔。

比尔 伯尔曾建议客户每隔90天撰改一次密码，在词汇中加入大写字母、数字或者符号，例如， protected 可以变成 pr0t3ct3d4! 。现在伯克相信，这种建议在实践中遭遇挫折。他已经知道2003年的手册搞错了对象。 按照现在的建议，客户不需要频繁更换密码，因为客户在更换时通常只会对现有密码进行微小的撰改，比如将 monkey1 变成 monkey2 ，要推断并不难。 另外，事实说明如果将词汇随机混合，破解会更难一点，比如 pig coffee wandered black ，用容易记住的部分替代词汇反而更容易破解，比如换成 br0k3n! 。 美国国家标准技术研究所(nist)曾经推广过伯尔的建议。之后指南撰改过几次，近一个版本是6月份发布的。萨里大学(university of surrey)教授阿兰 伍德沃德( alan woodward)认为： nist发布的任何东西都是有影响很大的，所以这些指南影响了很长一段时间。 他还说： 在相当长的一段时间内，我们已经知道这些指南造成了不良影响。例如，如果你让客户频繁更换密码，他们选择的密码通常会变弱。因为我们有多个线上帐户，情况变得更多而杂，所以会鼓励客户采取一点行动，比如采用跨系统重复采用密码。 年，英国国家互联网安全中心(national cyber security centre，简称ncsc)也发布了自己的指南。ncsc建议机构放弃之前的政策，不要鼓励客户定期重设密码，应该让客户采用密码管理器，所谓密码管理器是一种程序，它能存储几百个不同的登录密码，不需要每一个都记住。

伦敦大学研究生院博士史蒂夫·默多克( steven murdoch )认为，根据新的迹象提出升级密码是件好事。 但是，在计算机安全的其他行业中，一些旧的提案已经广泛传播，我们知道它们没有用。 有必要让研究知道什么样的安全提案能够改善现状，政府和公司应该多注意结果。