密碼評審方案1.前言隨著互聯(lián)網(wǎng)的發(fā)展與普及，各種社交平臺、電子商務(wù)平臺、金融交易平臺等的使用日益增加，而其中涉及到的個(gè)人敏感信息和財(cái)產(chǎn)等有諸多的安全隱患。為了保障用戶的隱私和資金安全，網(wǎng)站需要設(shè)計(jì)強(qiáng)度較高的密碼體系，并及時(shí)對一些容易被破解的密碼進(jìn)行評審和更新。本文就網(wǎng)站如何建立一個(gè)有效的密碼評審方案進(jìn)行詳細(xì)介紹。2.風(fēng)險(xiǎn)控制及密碼評審原則如果我們將山洪爆發(fā)比作是水的暴力攻擊，那么針對密碼的攻擊則相對于洪水，它是常年涓涓細(xì)流般的侵蝕。破解密碼的方法不斷更新變化，更加復(fù)雜隱蔽，常規(guī)的防護(hù)措施已經(jīng)不足以抵抗他們的攻擊。面對被攻擊的風(fēng)險(xiǎn)，網(wǎng)站需要采取一系列可行的風(fēng)險(xiǎn)控制措施，對于密碼體系要有以下評審原則：密碼規(guī)格要求。定義符合使用密碼的必須標(biāo)準(zhǔn)，其中包括密碼位數(shù)、使用字符種類、大小寫敏感性、有效期限等等。密碼復(fù)雜度。密碼復(fù)雜度是指密碼的難度，建議根據(jù)不同的用戶級別來分別設(shè)置。復(fù)雜度過高，用戶難以記憶，反而會降低安全性。常規(guī)更改。定期的更改密碼是防范密碼泄露的一個(gè)重要手段，因此密碼過期期限也應(yīng)定期檢查。身份驗(yàn)證。進(jìn)行身份驗(yàn)證時(shí)，應(yīng)使用多種方法，如非常規(guī)驗(yàn)證碼、圖形驗(yàn)證、聲紋等方式進(jìn)行身份驗(yàn)證。這些方式需要直接保障了用戶的安全性。3.密碼評審方案針對網(wǎng)站的惡意攻擊、黑客入侵等風(fēng)險(xiǎn)，我們需要實(shí)施一套完善的密碼評審方案。主要內(nèi)容包括：密碼規(guī)格定位、密碼對比匹配、密碼復(fù)雜度檢測、常規(guī)更改等。3.1密碼規(guī)格定位密碼位數(shù)。網(wǎng)站應(yīng)該要求用戶的密碼長度達(dá)到八個(gè)字符以上，過短的密碼容易被攻擊者通過撞庫猜解的方式破解。使用字符種類。網(wǎng)站應(yīng)該要求用戶的密碼要包含數(shù)字、字母、特殊符號等多種類型字符，這樣可以增加密碼詞典數(shù)量，使破解過程更為困難。大小寫敏感性。密碼中使用大寫字母和小寫字母是常見的密碼規(guī)格，可以增加密碼的復(fù)雜度，但在填寫密碼時(shí)可能會出現(xiàn)記錯(cuò)字母的情況。有效期限。針對需要更高安全級別的資金交易，設(shè)定有效期限也是必要的。如需進(jìn)行密碼更改，那么必須進(jìn)行完整的身份驗(yàn)證。3.2密碼對比匹配評審算法的核心就是密碼對比匹配，以下是常用的方法：無加鹽對比。這是最簡單的一種密碼對比方式，應(yīng)用最廣。直接對比輸入密碼和已存密碼作比較，但這種方式容易受到暴力破解攻擊，因此不適用于高安全級別的應(yīng)用場合。加鹽后對比。加鹽后對比的方式相對來說更加安全，同時(shí)，對每一個(gè)用戶都生成獨(dú)立的鹽值來增加破解難度，從而更有效增強(qiáng)密碼的安全性。3.3密碼復(fù)雜度檢測密碼復(fù)雜度預(yù)防重要且困難，畢竟最常見的密碼就是被收集制作出來的。我們可以采用以下幾種方法，對用戶密碼復(fù)雜度進(jìn)行評審和檢測：設(shè)置密碼策略:設(shè)置必須符合密碼規(guī)格標(biāo)準(zhǔn)的密碼策略；字典檢測:判斷用戶設(shè)置的密碼是否符合字典中的常用密碼；熵值檢測:計(jì)算密碼設(shè)置的隨機(jī)程度；語法檢測:判斷用戶的密碼是否具有按照規(guī)定排列等語法以上等級。3.4常規(guī)更改在密碼評審方案中，常規(guī)的更改是必不可少的一個(gè)環(huán)節(jié)。這里需要針對用戶等級進(jìn)行不同的設(shè)置，具體應(yīng)包括：基礎(chǔ)用戶。一年之內(nèi)改變一次密碼；普通用戶。3個(gè)月之內(nèi)改變一次密碼；高級用戶。1個(gè)月之內(nèi)改變一次密碼；除此之外，在更改密碼的時(shí)候，網(wǎng)站需要設(shè)計(jì)出良好的密碼找回或者重新設(shè)定密碼的程序，同時(shí)為了減少用戶的操作時(shí)間，我們需要設(shè)計(jì)出方便的界面和步驟，方便用戶自助查找或者更改密碼。4.總結(jié)隨著互聯(lián)網(wǎng)的快速發(fā)展，密碼評審已經(jīng)成為了一個(gè)非常重要的工作。一個(gè)好的密碼評審方案可以最大程度保障網(wǎng)站、客戶資料的安全。本文從風(fēng)險(xiǎn)控制、密碼評審原則、