尚旭哲　王潤田　孫穎　付瑜菲

摘? ?要：隨著計算機網(wǎng)絡(luò)的不斷發(fā)展和網(wǎng)絡(luò)功能的日益完善，信息資源共享也愈發(fā)普遍，直接導(dǎo)致了信息安全保密問題突出、公民隱私權(quán)受侵害的風(fēng)險大幅提升等一系列問題。因此，及時發(fā)現(xiàn)和應(yīng)用信息安全維護措施尤為重要，口令安全作為信息系統(tǒng)安全的重要環(huán)節(jié)之一，是保護信息不受泄露的首道屏障?；诖?，文章以當(dāng)前口令保護研究現(xiàn)狀為背景，通過對口令破解、口令加密以及口令安全的研究，總結(jié)歸納出行之有效的信息安全保護技術(shù)，力圖為筑牢網(wǎng)絡(luò)安全“防護網(wǎng)”建言獻策。

關(guān)鍵詞：口令;口令破解;口令加密;口令安全

中圖分類號： TP393.08? ? ? ? ? 文獻標(biāo)識碼：A

Abstract： With the continuous development of computer network and the improvement of network function， the sharing of information resources is becoming more and more common， which directly leads to a series of problems， such as problems of information security and confidentiality， and the risk of infringement of citizens' privacy rights. Therefore， timely detection and application of information security measures are particularly important. Password security， as a part of information system security， is the first barrier to protect information from leakage. Based on this， based on the current research status of password protection， this paper summarizes the effective technology through the research of password cracking， password encryption and password security， and tries to make suggestions for building a network security "protective net ".

Key words： password; password cracking; password encryption; password security

1 引言

伴隨著互聯(lián)網(wǎng)時代的到來，計算機網(wǎng)絡(luò)在即時通信、商業(yè)溝通等領(lǐng)域得以廣泛應(yīng)用，信息安全保密問題日益突出，公民在獲得極大便利的同時面臨著個人信息泄露的風(fēng)險。如今的操作系統(tǒng)和常用軟件都不同程度地采用了加密技術(shù)，密碼的出現(xiàn)在一定程度上解決了信息的安全性問題，但是由于CPU運算速度與網(wǎng)絡(luò)傳輸速率的不斷加快，對于密碼強度和加密方法的要求也逐漸提高。有矛就有盾，有人破解，就會有人防范。對于用戶而言，最為有效的防范措施就是提高口令強度，即通過增加口令長度、采用非常規(guī)字符等方式實現(xiàn)口令的相對安全;對于系統(tǒng)而言，保證安全性就要安裝和管理補丁，正確配置系統(tǒng)參數(shù)，及時升級更新系統(tǒng)，防止因系統(tǒng)漏洞造成的口令泄露、刪除或修改。

在對口令安全進行分析論述之前，本文研究人員認(rèn)為有必要對口令的內(nèi)涵進行了解?？诹钍怯蓴?shù)字、字母、特殊符號組成的僅為被授權(quán)人所知的字符串。值得區(qū)分的是密碼和口令兩組概念，二者之間區(qū)別相對模糊，相較于密碼而言，口令的長度較短、強度較低、更容易受到攻擊與破壞。其實在一般情況下，可以忽略口令和密碼的細(xì)微區(qū)別，視為同一概念處理。

2 口令破解方式探析

2.1 直接獲取

直接獲取即通過監(jiān)聽、木馬等方法直接獲取用戶相關(guān)信息。有時獲取的密碼是經(jīng)過哈希加密后的密文，這一部分將在本文的暴力破解中進一步闡釋。

（1）木馬入侵

特洛伊木馬程序一般可以主動修改系統(tǒng)中的Telnet和login程序，以便將用戶的賬號和口令記錄到一個文件中，然后將這個文件發(fā)送給黑客。由于木馬在注入遠(yuǎn)程客戶機時成為了計算機內(nèi)部的合法程序，往往不易被管理者發(fā)覺。

（2）窺探監(jiān)聽

黑客利用與被攻擊系統(tǒng)接近的機會，安裝嗅探器或者對這些信息進行監(jiān)聽和竊取，從而獲取賬戶和口令。黑客所使用的嗅探器通常只收取而不發(fā)送數(shù)據(jù)包，所以在檢測過程中不易被管理員發(fā)現(xiàn)，對信息安全具有一定的威脅性。

（3）后門潛入

后門是計算機系統(tǒng)設(shè)計者預(yù)先設(shè)計的一種可以繞過系統(tǒng)已有安全設(shè)置獲取訪問權(quán)限的系統(tǒng)登錄方法，以方便設(shè)計者在開發(fā)期間對應(yīng)用程序和操作系統(tǒng)的調(diào)試和修改。通常在程序設(shè)計開發(fā)完成后，大部分后門會被刪除，不過仍然存在少數(shù)后門遺留情況。這些后門具有很好的隱蔽性，為熟悉系統(tǒng)的人員提供了越過對方安全設(shè)置潛入系統(tǒng)進行信息竊取和破壞的方法。

（4）社會工程學(xué)

社會工程學(xué)在信息安全領(lǐng)域被譽為“一種讓他人遵從自己意愿的科學(xué)或藝術(shù)”。當(dāng)黑客將社會工程學(xué)應(yīng)用于信息獲取時，無須入侵目標(biāo)系統(tǒng)即可實現(xiàn)。例如，某網(wǎng)站因系統(tǒng)漏洞，泄露了大量用戶信息，黑客便可以通過這些信息得出用戶在其他網(wǎng)站上的賬號及密碼，從而獲取種種權(quán)限。

再如近些年興起的電信詐騙案件，嫌疑人通過撥打詐騙電話、發(fā)送詐騙短信、構(gòu)造釣魚網(wǎng)站等一系列手段，充分利用被害人貪婪、恐懼等心理因素，套取其銀行賬戶密碼或脅迫其轉(zhuǎn)賬，這也是一種典型的社會工程學(xué)攻擊。

2.2 暴力破解

（1）字典窮舉法

當(dāng)直接獲取口令難以奏效時，黑客往往會利用字典窮舉法實現(xiàn)系統(tǒng)入侵。即首先采用“Finger遠(yuǎn)端主機名”找出主機上的用戶賬號，然后根據(jù)用戶的姓名、生日等信息生成一個字典，并從字典中選取一串字符作為口令輸入遠(yuǎn)端主機，申請登陸系統(tǒng)。若口令正確，則進入系統(tǒng);反之，程序?qū)凑兆值漤樞蜻M行嘗試，直至發(fā)現(xiàn)正確的口令或者字典中所有字符串被嘗試完畢。隨著計算機CPU處理能力的增強，字典攻擊成為最“簡單便捷”的口令破解方法。如表1所示，針對不同組合數(shù)字符集，不同系統(tǒng)完成“攻擊”所需時間不同且差異較大。

（2）哈希碰撞

由于哈希計算無法像函數(shù)那樣實現(xiàn)輸入與輸出的一一對應(yīng)，這就可能導(dǎo)致原信息經(jīng)過哈希計算后得到同一個“代號”，這種情況被稱為哈希碰撞。以MD5為例，一個MD5值由32個16進制數(shù)組成，也就是說所有的MD5值最多可以不重復(fù)地表示1632段不同的信息。假設(shè)現(xiàn)在有1632+1段互不相同的信息，根據(jù)鴿巢原理，這些信息中至少有一對信息的MD5值相同，即出現(xiàn)了MD5值的碰撞。

哈希碰撞在口令破解領(lǐng)域具有重要意義。如果黑客掌握了用戶口令的哈希值，那么只需找到與其對應(yīng)的哈希等價明文即可當(dāng)作口令使用。并且如果服務(wù)端程序出現(xiàn)重大漏洞，還可能會出現(xiàn)哈希偽碰撞的情況。例如，在使用Php腳本的Apache服務(wù)器中，如果哈希值的比對采用的是雙等號比較而非三等號比較，且比對的兩邊都是以“0e”開頭的不同哈希值時，這兩個哈希值會被當(dāng)做數(shù)字0的若干次方來處理，最終的結(jié)果是二者都為0，比對結(jié)果相同。任取一段信息，它的哈希值以“0e”開頭的概率高達1/256，在這種情況下，口令破解的效率被提高了1630倍。

（3）彩虹表破解

現(xiàn)階段應(yīng)用體系中，口令的鑒別通常是通過在服務(wù)端將用戶發(fā)送的口令進行哈希加密后與數(shù)據(jù)庫中的哈希值比對來進行的。因為哈希函數(shù)是單向函數(shù)，即便黑客獲取了服務(wù)器數(shù)據(jù)庫中的數(shù)據(jù)，也無法根據(jù)哈希值反推得到口令明文。破解哈希值的一種常用手段就是彩虹表破解。如圖1所示，彩虹表破解是一種典型的以空間換時間的破解方法，它將眾多哈希值及其明文提前計算并進行存儲，需要時根據(jù)哈希值查找明文即可實現(xiàn)破解。

雖然彩虹表有著驚人的破解效率，但是安全人員仍然有辦法防御彩虹表。最有效的方法就是“加鹽”，即在密碼的特定位置插入特定的字符串，這個特定字符串就是“鹽”。“加鹽”后的密碼經(jīng)過哈希加密得到的哈希串與“加鹽”前的哈希串完全不同，例如：“加鹽”前Hash（“hello”）=5D41402ABC4B2A76B9719D911017C592，“加鹽”后Hash（“hello”+“QxLUF1bglAdeQX”）=61819A2E9B721831243EBA1AEABA8486。黑客利用彩虹表得到的密碼也并非真正的密碼。即使黑客知道了“鹽”的內(nèi)容、“加鹽”位置，還需要對散列鏈進行修改，彩虹表也需要重新生成。因此，“加鹽”能大大增加利用彩虹表進行口令破解的難度。

（4）分布式破解

無論是在登錄界面多次嘗試進行暴力破解，或是對哈希值進行碰撞，都需要進行大量的計算與操作，此時就可以利用僵尸網(wǎng)絡(luò)進行分布式破解來提高效率。僵尸網(wǎng)絡(luò)是指采用一種或多種傳播手段，將大量主機感染僵尸程序，從而使攻擊者通過各種途徑傳播僵尸程序感染互聯(lián)網(wǎng)上的大量主機，而被感染的主機將通過一個控制信道接收攻擊者的指令，組成一個僵尸網(wǎng)絡(luò)。利用僵尸網(wǎng)絡(luò)進行分布式破解，就是增加用于破解的設(shè)備數(shù)量，給每個設(shè)備分配適當(dāng)?shù)钠平夥秶瑥亩岣咂平庑?。同時由于被感染主機的網(wǎng)絡(luò)地址各不相同，在進行在線破解時，數(shù)據(jù)量巨大且無序，防御方難以對攻擊流量進行有效的監(jiān)控和阻擋。

3 口令安全問題研究

3.1 口令加密技術(shù)研究

（1）口令鑒別機制

鑒別是任何加密方案的第一步，可以用來分辨用戶的真實身份，防止攻擊者假冒合法用戶獲取訪問權(quán)限。用戶鑒別的方法有很多，一般分為標(biāo)準(zhǔn)的身份驗證協(xié)議和可擴展的身份認(rèn)證協(xié)議。其中，最傳統(tǒng)的就是通過用戶名和口令進行鑒別。

最簡單的口令鑒別機制即明文口令鑒別。由于口令在存儲和傳輸過程中保持明文形式，一旦用戶數(shù)據(jù)庫被非法入侵或者用戶與服務(wù)器之間的通信鏈路被監(jiān)控，用戶信息便會被竊取。為解決這一問題，實際應(yīng)用中口令鑒別機制在鑒別用戶時，是在用戶計算機上通過某種算法對輸入的口令進行加密，得到口令的推導(dǎo)形式。計算機將這個口令推導(dǎo)形式發(fā)送到服務(wù)器中，在用戶數(shù)據(jù)庫中進行驗證比較。口令推導(dǎo)形式與消息摘要非常相似，所以也可以使用口令的消息摘要技術(shù)。

值得思考的是，這種方法并不能避免攻擊者獲得登錄權(quán)限。因為攻擊者只要在用戶名及口令的消息摘要傳送過程中進行截獲，隔段時間再向服務(wù)器發(fā)出，即可通過身份鑒別，成功登錄賬號，這就是所謂的重放攻擊。為有效防范此類重放攻擊，系統(tǒng)可采用一次口令技術(shù)，即通過非常規(guī)字符串口令以及時間戳驗證機制實現(xiàn)口令鑒別機制的相對安全。如圖2所示，基于RSA公鑰密碼體制的一次一密口令驗證模型是一種典型的一次口令技術(shù)。

（2）口令加密傳輸

用戶計算機具有加密功能，可以有效解決明文口令的傳輸問題。事實上，這種功能還可以應(yīng)用于對用戶口令的消息摘要加密隨機數(shù)。這對于客戶/服務(wù)器程序是可以完成的，但是對于Internet應(yīng)用程序，客戶機是沒有任何加密功能的Web瀏覽器，因此這種加密功能受到限制。

鑒于此，用戶需要在客戶機和服務(wù)器之間利用安全套接層協(xié)議（SSL）之類的技術(shù)進行連接，客戶機需要驗證服務(wù)器的數(shù)字證書以鑒別服務(wù)器，然后利用SSL加密客戶機與服務(wù)器之間的所有通信。這時口令不需要任何應(yīng)用層的保護機制，有效避免了加密功能受限的影響。其工作過程為：（1）用戶計算機用SSL對口令進行加密，并將加密后的口令同用戶名一同發(fā)送給服務(wù)器，請求登陸;（2）服務(wù)器的用戶鑒別程序?qū)τ脩裘鸵呀?jīng)加密的口令進行鑒別;（3）服務(wù)器將鑒別結(jié)果反饋給用戶計算機。

3.2 加強口令管理，防止口令猜測

口令是信息系統(tǒng)鑒別用戶身份合法性的重要憑證，而且口令的安全級別可以間接地決定系統(tǒng)的安全級別。因此，口令管理尤為重要?？诹罟芾淼膬?nèi)容主要包括口令的選取、保存、保密、定期檢查和更改周期等方面。具體的口令管理策略為：（1）設(shè)定最小口令長度;（2）設(shè)置口令最長使用期限，一般不得超過42天;（3）限制用戶登陸失敗次數(shù)（建議為3～5次）。如果超過次數(shù)，系統(tǒng)將自動鎖定賬號并禁止在一定期限內(nèi)登陸，或者需要管理員的認(rèn)證才可以再次登陸賬號;（4）目標(biāo)主機的管理員可以設(shè)置一些賬號誘騙黑客攻擊，以發(fā)現(xiàn)并查明黑客身份。

除加強口令管理外，使用強口令防止口令猜測也可以有效避免攻擊。強口令具有五個特點：（1）從大寫字母、小寫字母、數(shù)字、符號四類字符中任意選取三種以上組合形成口令，且避免連續(xù);（2）至少包含8個字符;（3）定期修改;（4）明顯區(qū)別于以往密碼且避免使用字典單詞;（5）使用KeePass等軟件幫助管理。

3.3 口令安全研究進展

（1）口令破解技術(shù)發(fā)展趨勢

口令只是防范攻擊者入侵的第一道防線，防止入侵者獲取口令，可以有效減少其攻擊系統(tǒng)的可能性。但是，獲取口令并不一定需要登錄系統(tǒng)，在不登陸系統(tǒng)的情況下，攻擊者仍然可以破解口令，進行系統(tǒng)攻擊。

目前，口令安全所面臨的威脅大致可以分為暴力破解、漏洞攻擊和社會工程學(xué)攻擊三個方向。隨著網(wǎng)絡(luò)安全技術(shù)的規(guī)范化和體系化發(fā)展，用戶口令的強度與漏洞攻擊的成本越來越高，實現(xiàn)也越來越困難。于是，諸如電信詐騙、釣魚攻擊以及誘餌計劃等社會工程學(xué)攻擊手段逐漸成為口令破解的主流。由于社會工程學(xué)攻擊往往利用的是人類思維或性格上的短板，因而無法像程序邏輯漏洞那樣進行修補。此外，攻擊者不需要掌握太多的技術(shù)基礎(chǔ)。低成本、多手段、高收益的特性使得社會工程學(xué)攻擊成為未來很長一段時間內(nèi)口令安全所面臨的主要風(fēng)險。

（2）口令安全防御演變進程

傳統(tǒng)理論認(rèn)為，所有的口令都是可以破解的。根據(jù)破解的難易程度，可以劃分密碼算法的安全等級。就現(xiàn)階段的研究而言，兩種情況的用戶口令相對安全，即被加密數(shù)據(jù)價值小于破譯算法的代價或者破譯密碼所需時間大于加密數(shù)據(jù)的有效期。

根據(jù)口令的不同特征，可將其分為用戶所知道的、用戶所持有的以及用戶所特有的三種。用戶所知道的口令是指字符串口令;用戶所持有的口令是指類似于U盾等實物令牌;而用戶所特有的是指指紋、虹膜等生物口令。由于方便快捷這一特性，字符串口令為絕大多數(shù)信息系統(tǒng)所普遍使用。同時針對該種口令的攻擊方式發(fā)展較為完備。目前，只能通過加強口令管理、提升口令強度的方式實現(xiàn)相對安全，但無法從根本上解決問題。于是，在未來一段時間內(nèi)，越來越多的高安全要求信息系統(tǒng)會采用數(shù)字證書、硬件令牌以及生物特征等口令形式。但是僅僅依賴于單一因子，系統(tǒng)無法徹底抵御社會工程學(xué)攻擊，將會再次面臨字符串口令所經(jīng)歷的類似問題。

因此，在對口令形式不斷創(chuàng)新的基礎(chǔ)上，系統(tǒng)需要嘗試使用（雙）多因素身份驗證，使得攻擊者僅僅通過口令猜測或口令破解無法獲取相關(guān)權(quán)限。作為（雙）多因子的一部分，諸如心跳、步態(tài)、腦電波等高級身份驗證方法也將成為口令安全防御的發(fā)展方向。此外，人機檢測、新型云WAF以及分布式集群防御等技術(shù)也需要進一步研究進而實現(xiàn)更深層次、更加智能的安全防護。

4 結(jié)束語

本文從口令破解、口令加密以及口令安全三個方面介紹了當(dāng)下口令保護研究現(xiàn)狀。從論證中不難看出，伴隨著網(wǎng)絡(luò)技術(shù)的不斷進步，加密系統(tǒng)的性能以及口令破解技術(shù)都有了充分的發(fā)展。口令安全是保護信息系統(tǒng)安全的第一道屏障，做好口令的保護措施也是信息安全維護的關(guān)鍵所在。無論是口令加密還是口令管理，其發(fā)展都將邁入一個新的臺階。正如前文所說，沒有任何口令是絕對安全的，也沒有任何系統(tǒng)是無懈可擊的，網(wǎng)絡(luò)攻擊者和防御者之間的博弈是信息安全領(lǐng)域的永恒話題。這不僅需要立法者從規(guī)范層面予以設(shè)定，亦需要全民信息安全意識的提升，從而實現(xiàn)網(wǎng)絡(luò)空間的相對安全和公民個人隱私權(quán)的有效保障。

參考文獻

[1] 胡志遠(yuǎn).口令破解與機密技術(shù)研究[M].北京：機械工業(yè)出版社，2003.07（黑客防線）.

[2] William，Stallings.密碼編碼學(xué)與網(wǎng)絡(luò)安全—原理與實踐（第三版）[M]. 劉玉珍譯. 北京：電子工業(yè)出版社，2004.

[3] 魏為民，袁仲雄.網(wǎng)絡(luò)攻擊與防御技術(shù)的研究與實踐[J].信息網(wǎng)絡(luò)安全，2012（12）：53-56.

[4] 高危險僵尸網(wǎng)絡(luò)攻擊模式全解析[J].計算機與網(wǎng)絡(luò)， 2010，36（19）：42.

[5] 王偉兵，文伯聰.基于彩虹表技術(shù)的分布式密碼破解研究[J].中國人民公安大學(xué)學(xué)報（自然科學(xué)版），2017，23（01）：79-84.

[6] 何文海，信佳佳.網(wǎng)絡(luò)信息安全中存在的問題及數(shù)據(jù)加密技術(shù)研究[J].網(wǎng)絡(luò)空間安全，2019，10（01）：24-26.

作者簡介：

尚旭哲（1999-），男，漢族，山東濟寧人，中國人民公安大學(xué)，本科;主要研究方向和關(guān)注領(lǐng)域：公安學(xué)、信息安全。

王潤田（1999-），男，漢族，山東煙臺人，中國人民公安大學(xué)，本科;主要研究方向和關(guān)注領(lǐng)域：公安技術(shù)、網(wǎng)絡(luò)安全。

孫穎（1999-），女，漢族，江蘇蘇州人，中國人民公安大學(xué)，本科;主要研究方向和關(guān)注領(lǐng)域：公安學(xué)。

付瑜菲（1999-），女，漢族，北京人，中國人民公安大學(xué)，本科;主要研究方向和關(guān)注領(lǐng)域：公安學(xué)、密碼學(xué)。

（本文為“2020年429首都網(wǎng)絡(luò)安全日”活動征文）