十个常用网络密码安全保护实用技巧

来源：安全中国作者：佚名出处：巧巧读书 2008-06-03 进入讨论组

中国IT实验室报道，当前，大部分用户密码被盗多是因为缺少网络安全保护意识以及自我保护意识，以致被黑客盗取引起经济损失，今天我将讨论一下针对昨天十类破解方法的对策，也举出十类密码安全和保护措施，可以帮助用户提高网络安全意识。

1、使用复杂的密码

密码穷举对于简单的长度较少的密码非常有效，但是如果网络用户把密码设的较长一些而且没有明显规律特征（如用一些特殊字符和数字字母组合），那么穷举破解工具的破解过程就变得非常困难，破解者往往会对长时间的穷举失去耐性。通常认为，密码长度应该至少大于6位，最好大于8位，密码中最好包含字母数字和符号，不要使用纯数字的密码，不要使用常用英文单词的组合，不要使用自己的姓名做密码，不要使用生日做密码。

2、使用软键盘

对付击键记录，目前有一种比较普遍的方法就是通过软键盘输入。软键盘也叫虚拟键盘，用户在输入密码时，先打开软键盘，然后用鼠标选择相应的字母输入，这样就可以避免木马记录击键，另外，为了更进一步保护密码，用户还可以打乱输入密码的顺序，这样就进一步增加了黑客破解密码的难度。

3、使用动态密码（一次性密码）

动态密码（Dynamic Password）也称一次性密码，它指用户的密码按照时间或使用次数不断动态变化，每个密码只使用一次。动态密码对于截屏破解非常有效，因为即使截屏破解了密码，也仅仅破解了一个密码，下一次登录不会使用这个密码。不过鉴于成本问题，目前大多数动态密码卡都是刮纸片的那种原始的密码卡，而不是真正意义上的一次性动态密码，其安全性还是难以保证。真正的动态密码锁采用一种称之为动态令牌的专用硬件，内置电源、密码生成芯片和显示屏。其中数字键用于输入用户PIN码，显示屏用于显示一次性密码。每次输入正确的PIN码，都可以得到一个当前可用的一次性动态密码。由于每次使用的密码必须由动态令牌来产生，而用户每次使用的密码都不相同，因此黑客很难计算出下一次出现的动态密码。不过真正的动态密码卡成本在100到200元左右，较高的成本限制了其大规模的使用。

4、网络钓鱼的防范

防范钓鱼网站方法的方法是，用户要提高警惕，不登录不熟悉的网站，不要打开陌生人的电子邮件，安装杀毒软件并及时升级病毒知识库和操作系统补丁。使用安全的邮件系统，Gmail通常会自动将钓鱼邮件归为垃圾邮件，IE7和FireFox也有网页防钓鱼的功能，访问钓鱼网站会有提示信息。

5、使用SSL防范Sniffer

传统的网络服务程序，HTTP、FTP、SMTP、POP3和Telnet等在本质上都是不安全的，因为它们在网络上用明文传送口令和数据，嗅探器非常容易就可以截获这些口令和数据。对于Sniffer（嗅探器），我们可以采用会话加密的方案，把所有传输的数据进行加密，这样Sniffer即使嗅探到了数据，这些加密的数据也是难以解密还原的。目前广泛应用的是SSL（Secure Socket Layer）就可以方便安全的实现加密数据包传输，当用户输入口令时应该使用支持SSL协议的方式进行登录，例如HTTPS、SFTP、SSH而不是HTTP、FTP、POP、SMTP、TELNET等协议。Google的大多数服务包括Gmail都支持SSL，以防止Sniffer的监听，SSL的安全验证可以在不安全的网络中进行安全的通信。