教育資訊安全/身份驗證
“密碼通常是抵禦入侵的第一道（也是可能唯一的）防線。”麥格雷戈 (2002)[1]
許多機構和企業投資鉅額資金來建立並確保所有利益相關者都擁有安全的計算機系統。資金的投入彙集了硬體、軟體、策略、程式、物理引數和培訓，為其資料、網路，最終為其使命構建了防禦堡壘。如果沒有安全計算機網路的感覺和假設，收入將損失，資料將被破壞，秘密將被洩露。
但每個系統都依賴於使用者的標識和身份驗證。如果沒有使用者訪問和使用系統的意圖，系統就不會被構建，無論該系統為使用者提供什麼。使用者幾乎總是從系統管理員以外的遠端區域訪問系統。他們需要有一種方法來識別每個使用者並驗證使用者的數字身份是否與坐在計算機或伺服器前面的物理使用者相匹配是強制性的。再加上使用者是人類這一戲劇性因素。這種本質正是導致最強大的堡壘中最薄弱環節的原因。正如施奈爾 (2000)[2] 所說，“將安全……視為一條鏈。整個系統的安全性僅與最薄弱的環節一樣強。”最薄弱的環節很多時候是系統使用者；在食物鏈中，人類佔據著顯赫的地位，而在計算機網路的訪問和安全方面，人類往往是弱小的獵物，或者說是安全漏洞的入口，假設是對正確使用者的識別和身份驗證。
一種常見的使用者身份驗證方法是為特定系統的每個授權使用者分配唯一的使用者名稱/密碼組合。 使用者名稱 識別使用者，密碼 認證他；換句話說，人類使用者證明其身份對非人類系統是真實的。密碼是“用於驗證使用者身份的單詞、短語或雜亂字元的組合”（Granger，2002）[3]。然而，唯一可以確定的是，使用者名稱和密碼組合與系統中有效授權使用者的資料庫中的使用者名稱/密碼組合一致。如果使用者遠端登入到系統，系統唯一確定的因素是輸入的組合與系統使用者的儲存組合匹配。
Rubens (2008)[4] 強調，Gartner 研究機構報告稱，94% 的企業只需要使用者名稱/密碼組合即可登入其各自的計算機系統。這種普及和依賴說明了許多商業機構對簡單標識和身份驗證訪問哲學的信任。與其他安全硬體和軟體相比，密碼是一種更簡單、更便宜的安全措施。密碼可以保護使用者的個人資訊，例如私人檔案、財務資料、身份資料或社會安全號碼。密碼還可以保護專業資料，這可能意味著智慧財產權、商業秘密、財務資料、人力資源記錄或客戶資訊。將這些資料中的任何一部分洩露給錯誤的人可能會對個人、專業人士或所有者造成損害和破壞。
正如施奈爾 (2008)[5] 所警告的那樣，“密碼的問題在於它們太容易失去控制。人們將其提供給他人。人們將其寫下來，而其他人則閱讀。人們將其傳送到電子郵件中，而電子郵件被攔截。人們使用它們登入遠端伺服器，他們的通訊處於開啟狀態。它們很容易被猜到。一旦發生這種情況，密碼將不再起身份驗證令牌的作用，因為您無法確定誰在輸入該密碼”（240）[5]。
所有這些密碼錯誤的共同點是“人”——人類具有不可預測和不完美的本性，企業將其最寶貴的資產委託給安全框架。
使用者名稱/密碼組合的普及揭示了企業和機構對人們保護其密碼隱私的依賴。考慮到人們不可預測和不完美的本性，使用使用者名稱/密碼組合確保安全的關鍵是教育和培訓使用者，讓他們養成一套規章制度，以保護和確保對使用者的準確標識和身份驗證。
可以透過猜測或發現密碼來獲得對計算機或計算機上資訊的未經授權的訪問，從而發現密碼。此過程稱為密碼破解。Granger (2002)[3] 指出，人們破解密碼最常用的方法是
- 使用單詞列表或字典攻擊軟體
- 使用密碼破解器（例如 Packetstorm 或 十大密碼破解器)
- 密碼嗅探器——檢視資料在網路或網際網路中傳輸時的漏洞，並且由於密碼的強度僅與其建立者和使用者的強度相同，因此必須教育人們養成保持密碼強大、私密和安全的習慣。
- 社會工程——一個人欺騙另一個人，誘騙其提供個人資訊，例如使用者名稱和密碼
- 使用者魯莽的密碼行為
一些安全的密碼實踐是建立在常識基礎上的，而另一些則採用更系統的框架。Schneier (2009)[6]建議以下密碼建議
- 最重要的建議？使用密碼管理器，這是一種跟蹤和管理使用者密碼的應用程式。
- 經常更改密碼。
- 不要重複使用舊密碼。
- 安排一個更改密碼的日期。密碼管理器可以為密碼分配過期日期，並在需要更改密碼時傳送提醒。
- 始終保密密碼。使用者不應手動或數字化記錄他們的密碼。不要信任任何人使用使用者名稱/密碼組合。
- 不要使用包含字典單詞、生日、常見序列（如連續數字或重複字元）的密碼。
- 不要對多個網站使用相同的使用者名稱/密碼組合。
- 不要允許計算機自動登入或啟動，也不要允許應用程式儲存密碼，因為使用者在指定時間內登入。
- 不要在另一人的計算機上登入使用者帳戶，以防安裝了鍵盤記錄器。
- 不要透過無線網際網路連線訪問需要登入的網站，除非使用了 https 協議。
- 不要透過電子郵件中的連結登入帳戶，以防是釣魚攻擊。在網路瀏覽器中輸入正常的 URL（統一資源定位器）以檢查請求資訊的方。
BlackBerry 裝置被吹捧為具有最安全的移動平臺（Sacco，2010）[7]。RIM，製造 BlackBerry 裝置的公司，已投入時間和資金，為他們的產品配備安全且強大的基礎設施、軟體和安全證書。然而，正如 Sacco (2010)[7]所說，這並不涵蓋 BlackBerry 使用者所實行的安全或缺乏安全。如果 BlackBerry 裝置被盜或丟失，裝置的安全性和機器上的資料取決於手機的人類所有者的安全實踐。
Sacco (2010)[8]建議移動裝置所有者在保護他們的 BlackBerry 及其資訊時使用五個指南，其中兩個與密碼有關。
- 如果公司在分配給您擁有和使用的公司手機之前沒有這樣做，請在 BlackBerry 上啟用密碼保護。
- 開啟 Blackberry 選項選單，向下滾動並點選“密碼”一詞。
- 選擇密碼欄位，然後使用彈出框啟用選項。
- 點選 BlackBerry Escape 鍵，儲存更改，並輸入密碼（BlackBerry 手機至少需要四個字元）。
- 再次輸入新密碼以確認。
- Blackberry 手機現在已鎖定。
- 啟用密碼保護後，輸入密碼以解鎖 BlackBerry。
- Blackberry 手機還提供其他密碼安全功能，例如
- 指定密碼嘗試次數。
- 選擇安全超時時間。
- 在下載新應用程式時強制使用密碼。
- 在 Blackberry 移動裝置上使用 Password Keeper 應用程式，該應用程式透過輸入密碼來開啟該應用程式，從而儲存所有使用者密碼。
- 在 BlackBerry 上開啟 Password Keeper 應用程式。
- 建立一個密碼來保護所有其他密碼。
- 選擇一個難以猜測的密碼，因為此密碼保護所有使用者密碼。
- 要輸入並登入每個使用者密碼
- 點選 BlackBerry 選單鍵，選擇“新建”以登入密碼。
- 為要儲存的每個密碼鍵入“標題”、“使用者名稱”、“密碼”、“網站”、“備註”的資訊。
- 儲存所有密碼後，使用者開啟 Password Keeper 應用程式並輸入主密碼以訪問儲存在裝置上的密碼。
Wagner (2010)[9]在他的 iPad 可用新應用程式列表中名列前茅，iPad 是最新的 Apple 計算機裝置，1Password 位列其中。這個應用程式是由 Agile Web solutions 開發的密碼管理軟體。該軟體也適用於 iPhone。
沒有這個特定應用程式，iPad 所有者仍然可以透過指定在使用應用程式之前輸入密碼來保護應用程式的密碼（Brandon，2010）[10]。
- 可以在 iPad 上啟用此密碼保護
- 設定 > 常規 > 限制
- 按下啟用限制。
- 鍵入一個難以猜測的四位數密碼（切勿使用出生日期、街道地址、電話號碼、社會安全號碼或電話號碼）。
- 開啟要保護的應用程式的限制。
- 如果應用程式需要密碼才能使用，例如 iTunes，使用者將不得不輸入兩個密碼（密碼保護的密碼和特定應用程式的密碼）。
Firefox 是一款網路瀏覽器，它為使用者提供名為主密碼的密碼保護功能。當用戶第一次開啟 Firefox 時，網路瀏覽器會提示使用者輸入密碼。由於人們意識到釣魚攻擊（一種欺詐性陰謀，在使用者不知情的情況下獲取使用者的敏感資訊），許多人對彈出視窗要求我們輸入密碼、使用者名稱等感到警惕。Horowitz (2010)[11]建議使用 [1] FreeOTFE 或 TrueCrypt 容器。這些是開源加密軟體程式，可在所有平臺上執行，透過建立虛擬加密磁碟來保護使用者的資訊。
Facebook 是一個社交網路網站，迄今擁有超過 4 億使用者，為其成員提供優質且強大的安全資訊（“統計資料”，Facebook，2010）[12]。Facebook 聲稱對使用者採取安全措施和實踐是有益的，因為該社交網路網站的許多使用者都是年輕人，這支援了高中和大學學生學習的許多相同的密碼安全指南。
- 其中一些指南包括
- 對不同的線上網站使用不同的密碼。
- 注意使用者輸入密碼的位置。注意網站的 URL。此外，將該 URL 複製並貼上到新的網路瀏覽器視窗中，以檢查請求者的數字來源。
- 不要與任何人共享密碼；如果組織實行良好的安全原則，任何人都不應該詢問密碼。
- 使用難以猜測的密碼；確保密碼不是用有關使用者的明顯資訊構成的。
- 建立包含大小寫字母、數字字元和符號的組合的密碼（“Facebook 安全”，Facebook，2010）[13]
.svg){kind=logo}
密碼強度由不同型別字元的組合、密碼的長度以及它是否與字典匹配來決定（Microsoft，2010）[14]。
- Microsoft 是全球領先的計算機技術公司之一，為使用者提供建立強密碼的建議
- 使用至少 14 個字元的密碼。
- 使用各種字元（字母、數字、符號）。
- 使用整個鍵盤；不要只使用經常使用的字元。
- 另一個關鍵因素是使用上述指南建立密碼，使用者可以記住這些密碼，並且由於其難度而不會記下來。
- Microsoft)[14]。Microsoft 提供以下建議來記住長密碼
做什麼 建議 示例 1. 從一個或兩個句子開始（大約 10 個詞）。 想想對你來說有意義的事情。 長而複雜的密碼最安全。我保密我的密碼。（10 個詞） 2. 將您的句子變成一排字母。 使用每個詞的第一個字母。 lacpasikms（10 個字元） 3. 使用數字增加長度。 在兩個句子之間加上兩個對你來說有意義的數字。 lACpAsIKMs（10 個字元） 4. 增加複雜性。 只將字母表前半部分的字母大寫。 lACpAs56IKMs（12 個字元） 5. 使用標點符號增加長度。 在開頭加上一個標點符號。 ?lACpAs56IKMs（13 個字元） 6. 使用符號增加長度。 在末尾加上一個符號。 ?lACpAs56IKMs"（14 個字元） Microsoft Create a Strong Password that You Can Remember Table)[14].
使用者完成上述步驟構建密碼後，可以使用 Microsoft 提供的密碼檢查器應用程式來檢查密碼的強度，從而檢查其安全性[14]。需要注意的是，使用者輸入的密碼示例不會儲存在 Microsoft 維護的此網站上。每個密碼都會在使用者自己的計算機上檢查，而不是由 Microsoft 的 密碼檢查器 檢查[14]。
即使使用者建立了強密碼，如果使用者沒有將保護密碼安全和私密的方法付諸實踐並養成習慣，那麼密碼保護的資料安全將無法得到保證。
- 微軟 (2010)[14] 建議了五條保護強密碼的建議：
- 永遠不要透過數字請求、電子郵件或彈出視窗提供密碼。
- 不要在其他人的電腦或公共電腦上輸入個人密碼。其他電腦可能安裝了鍵盤記錄器來捕獲訪客使用者的密碼。
- 永遠不要當面或透過電話告訴其他人你的密碼。要警惕社會工程學；有些人會偽裝成專業人士，要求你提供密碼來解決帳戶中可能存在的問題 (Schneier, 2000)[5]。
- 將記錄的密碼儲存在安全的地方。切勿將密碼儲存在自己的電腦上。
- 在不同的網站上使用多個密碼。
在 MAC OS X 中啟用韌體密碼保護
[edit | edit source]
預設情況下，開啟韌體密碼保護功能處於關閉狀態，但它可以為安裝了 MAC OS X 10.1 或更高版本的 Mac 電腦提供密碼保護。此軟體僅允許從具有正確密碼的使用者指定為啟動卷的卷啟動電腦。為了使韌體密碼安全有效，使用者必須付出努力來建立安全且強大的密碼，作為物理安全措施 (apple, 2010)[15]。
可以在 apple 網站上找到此密碼保護應用程式的完整說明和功能。
提供 韌體更新 列表。
Open Firmware Password 1.0.2 下載 可供使用。
如何保護無人看管的電腦
[edit | edit source]
使用者登入電腦後離開，如何保護電腦，防止他人坐下來使用電腦？一種方法是在 Windows 或 GNU/Linux 臺式電腦或筆記型電腦上設定螢幕保護密碼。
- 在 Windows 上執行此操作的步驟如下：
-
- 右鍵單擊桌面 > 選擇屬性 > 單擊螢幕保護程式
- 單擊密碼保護 > 更改
- 輸入安全密碼 > 單擊確定 > 單擊應用 > 單擊確定
離開電腦時將其關機是最安全的做法。
更好的密碼實踐
[edit | edit source]
Granger (2002)[3] 指出，最簡單的安全措施就是控制計算機網路中最薄弱的環節，即人類。如果人類養成更好的、更私密的密碼習慣，那麼規劃、構建和實施的基礎設施更有可能得到保障。
- Granger 提出了以下密碼安全最佳實踐：
- 不要使用專有名詞、字典詞或外語詞，無論是按拼寫順序還是倒著輸入。
- 不要使用個人資訊，例如自己或家人或朋友的姓名、寵物的姓名、街道地址、電話號碼或任何其他獨特的資訊。
- 建立一個具有長度、寬度和深度的密碼。長度表示密碼中使用的字元數量。Granger (2002) 建議使用 6 到 9 個字元。寬度是指不同型別字元的組合，即字母、數字、大寫字母、小寫字母、符號。建議至少包含以下一種型別的字元：
- 大寫字母
- 小寫字母
- 數字
- 特殊字元，例如符號和標點符號
- 備用字元，例如 µ、£、Æ
- 密碼的深度是指具有意義，但難以猜測的密碼。當用戶考慮短語和記憶技巧而不是單詞時，可以實現這一點。一個例子可以在密歇根大學 (2009)[16] 資訊與技術服務網站上找到
- 透過使用短語中每個單詞的首字母並結合其他規定的標準來建立一個強大且難忘的密碼。例如，“Four score and seven years ago our fathers brought forth” 變成 4S&7yaofb4th。
- 在不同的網站上使用不同的密碼
- 如果可以，請找到方法向登入密碼新增加密或一次性密碼功能。後者要求使用者擁有密碼生成器、密碼列表或安全卡。
- 永遠不要透過電子郵件、電話或面對面互動向任何其他方透露密碼。
- 永遠不要寫下密碼。記住它。如果必須寫下一些東西來記住密碼，請寫下密碼的提示，而不是密碼本身。
- 定期更改密碼。密碼保護的資訊越敏感，更改頻率就越高或間隔就越短。
- 不要讓任何人觀看或站在你身後，當你輸入密碼時。
Tim Tyson 博士，一位教育顧問和退休的中學校長，在他的“實用實踐”部落格中提供了以下建議：春季大掃除：密碼安全和組織.
教學生更好的密碼實踐
[edit | edit source]
在教學生了解他們在學校網路上的責任時，與該地區的可接受使用者策略相結合，我們作為教育者必須教授並強調良好的密碼實踐。這從 K12 級開始，一直持續到高等教育。以下學院和大學有特定的密碼協議、程式和教育頁面，教學生練習更好的密碼指南。
在 K12 級，教師可以將更好的密碼實踐作為該地區的可接受使用者策略的課程和安全措施的一部分，教授給學生。
值得思考的密碼實踐
任何密碼都可以被“破解”。建立一個難以猜測的密碼。
媒體：Electronic_lock_yl88_operation.ogg
參考文獻
[edit | edit source]
- ↑ MacGregor, T. (2001, May 13) “密碼稽核和密碼過濾以提高網路安全”。SANS 研究所。2010 年 4 月 13 日從 http://rr.sans.org/authentic/improve.php 檢索
- ↑ Schneier, B. (2000)。秘密與謊言：網路世界中的數字安全。印第安納波利斯，印第安納州：Wiley 出版公司。
- ↑ a b c Granger, S. (2002, January 17)。“最簡單的安全：更好地使用密碼的指南”。賽門鐵克安全。2010 年 4 月 9 日從 http://www.symantec.com/connect/articles/simplest-security-guide-better-password-practices 檢索 無效的
<ref>標記；名稱“Granger”定義了多次但內容不同 - ↑ Rubens, P. (June 2008)。超越密碼的使用者身份驗證。QuinStreet, Inc. 2010 年 4 月 1 日從 http://www.enterprisenetworkingplanet.com/netsecur/article.php/3756206 檢索
- ↑ a b c Schneier, B. (2008). Schneier on security. Indianapolis, ID: Wiley Publishing, Inc. Invalid
<ref>tag; name "Schneier" defined multiple times with different content - ↑ Scheier, B. (2009 年 8 月 10 日). Schneier on security [Msg 1]. Message posted to http://www.schneier.com/blog/archives/2009/08/password_advice.html
- ↑ a b Sacco, A. (2010 年 3 月 2 日). Five tips to keep your Blackberry safe. Computer World. Retrieved March 30, 2010 from, http://www.computerworld.com/s/article/print/9165238/Five_tips_to_keep_your_Blackberry_safe?taxonomyName=Security&taxonomyId=17 Invalid
<ref>tag; name "Sacco" defined multiple times with different content - ↑ Sacco, A. (2010 年 3 月 2 日). Five tips to keep your BlackBerry safe. Computer World. Retrieved March 30, 2010 from, http://www.computerworld.com/s/article/print/9165238/Five_tips_to_keep_your_Blackberry_safe?taxonomyName=Security&taxonomyId=17
- ↑ Wagner, M. (2010 年 3 月 23 日). Apple’s Ipad: Developers discuss their plans for apps. [Msg 1]. Computer World Blogs. Message posted to http://blogs.computerworld.com/15800/ipad_apps
- ↑ Brandon, J. (2010 年 4 月 9 日). 50 really useful iPad tips and tricks. Apple News. Retrieved April 11, 2010 at http://www.techradar.com/news/computing/apple/50-really-useful-ipad-tips-and-tricks-682306
- ↑ Horowitz, M. (2010 年 3 月 3 日). Trust no one and how it applies to Firefox passwords. [Msg 1]. Computer World Nlogs. Message posted to http://blogs.computerworld.com/15687/trust_no_one_and_how_it_applies_to_firefox_passwords
- ↑ “Statistics”. (2010). Facebook. Retrieved on April 13, 2010 from, https://#/press/info.php?statistics
- ↑ “Facebook Security”. (2010). Facebook. Retrieved on April 10, 2010 from, https://#/security?v=app_4949752878#!/security?v=app_7146470109
- ↑ a b c d e f Microsoft. (2010). Microsoft online safety and privacy education. Retrieved April 14, 2010 from, http://www.microsoft.com/protect/ Invalid
<ref>tag; name "Microsoft" defined multiple times with different content - ↑ Apple. (2010). “Setting up firmware password protection in MAC OS X”. Retrieved April 10, 2010 from http://support.apple.com/kb/HT1352
- ↑ Information and Technology Services. (2009 年 10 月). “ITSDocs: Choosing and changing a secure UMICH password”. University of Michigan. Retrieved April 16, 2010, from http://www.itd.umich.edu/itcsdocs/r1162/#protect