前言
良好的習慣是人生產生複利的有力助手。
2020年第八篇文章，繼續今年的flag：每週至少更新一篇文章。
今天的問題來源於內部的一次分享，關於密碼的儲存問題。
在網際網路時代，大家每天接觸的app和網站太多了，註冊賬戶大部分的場景都需要密碼。
密碼的生成和儲存成為了大家日常生活中常見的事情。
很多朋友面對這樣的情況，一部分朋友的選擇是設定和記憶最多三個以內的密碼，太多實在記不住。有時候密碼還設定的非常弱，比如常見的弱口令 123456，123123等等。另一部分的朋友，則會把每個網站或者app的密碼都分別存到本地，或者同步到雲(網盤或者文件)，用的時候去搜尋和複製。
這樣的密碼生成和儲存方式，從安全和易用角度來說都有一定的問題。
一.密碼生成與儲存安全
1. 多應用相似/相同密碼
密碼制度本身因安全需求而生，但是由於密碼的生成和儲存麻煩，使用者為了省事使用同一套密碼，帶來了“撞庫”這類的風險。各種資料和案例也已經證明，“撞庫”攻擊早已日夜相伴於我們的身邊，已極具規模化和專業化。
“撞庫”按中文的字面意思解讀，就是“碰撞資料庫”的意思，“資料庫”中往往儲存著大量敏感資料，比如我們登入一個網站所需要的使用者名稱、密碼，再比如手機號、身份證號等個人隱私資訊。撞庫的主要場景是通過已有的賬號密碼列表，通過登陸正常應用的形式，試圖獲取正確的賬號/密碼組合，大白話就是“盜號”。值得注意的是，盜號並不是撞庫攻擊的唯一目的，驗證某個賬號有沒有在一個站點中註冊過也是常見的撞庫目的。
撞庫離我們遠嗎？實際情況如何？事實證明這類例子並不少見。
- 攜程因出現技術漏洞，導致個人資訊、銀行卡cw安全碼等資訊洩漏
- 小米被爆使用者資料洩漏，涉及800萬小米論壇註冊使用者資訊
- 多家快遞公司被爆網站存在漏洞遭入侵，有1400萬條個人資訊被洩漏
- 智聯招聘86萬使用者簡歷洩漏
- 東方航空大量使用者訂單洩漏
- 12306火車訂票網站被人撞庫
隨著近年來物聯網裝置的爆炸性增長，導致人們對資料流量的可見性普遍缺乏，從而大大增加了整體威脅面和公司的漏洞。資料洩露事件不斷增加，導致撞庫攻擊成為近年來常用的一種入侵辦法。
2. 密碼的儲存
密碼的儲存方式，在前言的說明中，有朋友則會把每個網站或者app的密碼都分別存到本地，或者同步到雲(網盤或者文件)，用的時候去搜尋和複製，這樣也是有問題的。
-
本地儲存的時候，沒辦法多平臺同步，在家或者工作地方都用密碼的時候就會很麻煩，易用性較差。
-
雲上同步，比如很多網盤和線上文件工具，都可以用來儲存密碼，也可以多平臺同步，但是無論哪個廠商也無法保證自己的資料永遠不會洩露，而且每次使用密碼，都需要開啟儲存密碼的應用搜尋查詢 感覺很麻煩。
二.使用者側的解決方案
思路
解決密碼生成的安全問題，主要是為了防止撞庫，最好的辦法當然是不同的網站用不同的密碼，而且網站密碼強度要很高，比如密碼中必須要有數字和大小寫字母。
當然這麼多密碼怎麼記？這就涉及密碼的儲存問題，我個人的建議是不要儲存，每次都自動生成，這樣就不用記憶密碼，也不用擔心洩露了。參考 github.com/ls0f/pwm 開源專案，給大家提供一下思路：
使用者只需要記一個salt,也就是密碼生成中的“加鹽”策略，不同網站的密碼按照(salt+domain+account)的拼接生成sha1,其中domain為域名，account為賬戶名，然後取sha1的前面15位生成密碼，然後再固定規則轉換大小寫和數字，滿足網站的強密碼要求。
這種方式，只要你的salt安全，你的密碼就會安全。
show code
下面給大家提供Python 和js 的實現方式，大家可以把頁面 部署到自己的VPS或者github Page裡，這樣就可以隨意生成密碼了。
Python:
def gen_passwd( raw):
if sys.version_info > (3, 0):
h = hmac.new(self.key.encode(), raw.encode(), sha1)
base64 = b64encode(h.digest()).decode()
else:
h = hmac.new(self.key, raw, sha1)
base64 = h.digest().encode("base64")
_passwd = base64[0: self.passwd_length]
return _format_passwd(_passwd)
def _format_passwd(passwd):
# 格式化密碼，必須包含大小寫和數字
self.num_str = "0123456789"
self.low_letters = "abcdefghijklmnopqrstuvwxyz"
self.upper_letters = "ABCDEFGHIJKLMNOPQRSTUVWXYZ"
passwd = passwd.replace("+", '0')
passwd = passwd.replace("/", '1')
list_passwd = list(passwd)
if re.search(r"[0-9]", passwd) is None:
list_passwd[-3] = self.num_str[ord(passwd[-3]) % len(self.num_str)]
if re.search(r"[a-z]", passwd) is None:
list_passwd[-2] = self.low_letters[ord(passwd[-2]) % len(
self.low_letters)]
if re.search(r"[A-Z]", passwd) is None:
list_passwd[-1] = self.upper_letters[ord(passwd[-1]) % len(
self.upper_letters)]
return ''.join(list_passwd)
gen_passwd("salt+domain+account")
複製程式碼javascript:
function gen_passwd(key, raw){
var shaObj = new jsSHA("SHA-1", "TEXT");
shaObj.setHMACKey(key, "TEXT");
shaObj.update(raw);
var hmac = shaObj.getHMAC("B64");
console.log(hmac);
var passwd = hmac.substring(0, 15);
console.log(passwd);
passwd = passwd.replace("+", '0');
passwd = passwd.replace("/", '1');
console.log(passwd);
passwd="abcdefg123789123";
var list_passwd = passwd.split('');
if (!RegExp("[0-9]").test(passwd)){
console.log("[0-9]",passwd[13]);
list_passwd[13] = "0123456789"[passwd[13].charCodeAt(0) % 10]
console.log("[0-9]",list_passwd[13]);
};
if (!RegExp("[a-z]").test(passwd)){
console.log("[a-z]",passwd[14]);
list_passwd[14] = "abcdefghijklmnopqrstuvwxyz"[passwd[14].charCodeAt(0) % 26]
console.log("[a-z]",list_passwd[14]);
};
if (!RegExp("[A-Z]").test(passwd)){
console.log("[A-Z]",passwd[15]);
list_passwd[15] = "ABCDEFGHIJKLMNOPQRSTUVWXYZ"[passwd[15].charCodeAt(0) % 26]
console.log("[A-Z]",list_passwd[15]);
};
// charCodeAt
var final_passwd = list_passwd.join('');
console.log(final_passwd);
return final_passwd;
}
複製程式碼在部署的頁面上試一下，再也不用每次去記憶，搜尋密碼了。
三.廠商側的解決方案
一句話，不用傳統的賬號密碼登陸體系，手機登陸，二維碼登陸都挺好。
最後
關注公眾號：七夜安全部落格
- 回覆【1】：領取 Python資料分析 教程大禮包
- 回覆【2】：領取 Python Flask 全套教程
- 回覆【3】：領取 某學院 機器學習 教程
- 回覆【4】：領取 爬蟲 教程
- 回覆【5】：領取 編譯原理 教程
- 回覆【6】：領取 滲透測試 教程
- 回覆【7】：領取 人工智慧數學基礎 教程
本文章屬於原創作品,歡迎大家轉載分享，禁止修改文章的內容。