令人感到荒谬的美国运通密码策略

ZDNet安全频道原创翻译 转载请注明作者以及出处

　　薄弱的密码策略是一回事。但对它进行滑稽无耻的解释就完全是另一回事了。

　　---------------------------------------------------------------------------

　　在《如此薄弱的密码策略是怎么出现的?》一文中，我们对一个人在没有经过分析或者分析不足够的情况下创建的密码策略会对安全带来极大的损害这一问题进行了相当深入的讨论。在这里提到的例子就是涅內特学生贷款公司，它的密码安全策略非常薄弱，而且还带着滑稽的色彩，根本没有任何合理的意义。例如：

　　密码中不能包含两个单独的数字(即作为密码Abc12ef34将是无效的)

　　也许开发者非常担心有人会在密码中使用4+7，在某种程度上会导致SQL做出一些危险的处理。但如果数据库是如此脆弱以至于不能处理这样数据的话，那包括加号之类的特殊字符也无论如何也是不应该被容许的(同一网站上关于薄弱策略的另一个典型例子)，无论如何我们都有理由相信该公司应该不相信任何私人数据。

　　还会有比这更可笑的密码策略么?

　　为什么一个如此可笑的密码策略会出现，它对安全造成了非常糟糕的影响，可以说是完全荒谬的，　甚至应该说是十分愚蠢的。下面。我们就来解释一下为什么该密码策略是如此糟糕的。

　　显然，美国运通就是一个典型的代表。一位顾客收到了一封彻底疯狂的客户服务电子邮件，对密码策略中将密码长度限制在八个字符以及禁止使用特殊字符进行了解释。在这次事件中最令人难以置信的是，电子邮件的内容读起来就像是由一名尼日利亚骗子写的，但它确实是从美国运通“电子邮件服务团队”那里发出的。

　　邮件中疯狂解释的关键部分包括了：

　　Ø 我们不鼓励使用特殊字符，因为黑客软件可以非常容易地识别它们。这里指的可能是键盘记录工具会捕获密码，但实际上密码检测并不依赖于使用的字符。对于密码识别来说，象单词(或者非文字字符的字符串)之类的关键因子出现在其他按键内容之外，一个相对短的独立字符串在时间上的变化都比输入的是否是星号更重要。

　　Ø 密码长度被限制在8个字符，可以减少键盘信息之间的联系。一些软件可以破译基于“最常见按键”信息的密码。利用按键的共性，来进行统计以达到识别密码的目的，这样的话，你的密码将要长得令人难以置信的。否则，每次你键入施乐、日期或时间、或表情符号时，有人就会试图对按键信息进行解析来确定是否属于一个密码的组成部分。对不起——这部分解释的合理性甚至低于第一部分。

　　从星期六开始，这封宝贵的电子邮件象野火一样在在线社区中流传开来，让人们对“安全”有了全新的认识，大家一致认为，不论此人是谁，他或她都完全不知道什么是“安全”。人们只能希望此人是无中生有来娱乐客户，而不是代表了美国运通官方实际的“安全”策略。

　　另一种情况实在是太可怕了，我简直不可想象。