最小密码长度的最佳实践：14个字符的密码真有必要吗？

　　问：我听到越来越多的安全专家说，为了阻止暴力密码黑客工具，密码应该超过14个字符。但是，对大多数企业用户群来说，这似乎有点儿要求太高了。您对这个标准的密码长度有何建议?

　　答：专家们建议的这个密码长度是有原因的，且并不是因为暴力工具。而是因为彩虹表(Rainbow Table，它是一张采用各种加密算法生成的明文和密文的对照表)，稍后我们将对此作出解释。首先，为安全起见，现代应用程序和操作系统不会明文存储用户密码。相反，因为用户重置密码，输入的字母数字字符会进行加密算法，创造了一个独特的加密哈希值，它代表密码，且它存储在系统中的一个文件里。当用户返回到访问系统，通过输入序列相同的字母和数字，系统生成一个动态哈希序列和它的值，将它与原始文件的值对比，确定用户输入的密码是否正确。

　　过去，哈希密码被认为是一个安全的办法，因为即使黑客能够获取系统的密码哈希文件，但以计算机的能力，采取随机输入密码与系统文件中已知的哈希值进行匹配，是一个不可能完成的任务。然而，由于这些信息的价值

　　以及当今计算机指数级的计算能力，黑客已经开始采取将每一个密码字符序列组合映射到它们的哈希值——从A，AA，AAA开始，通过整个字母数字序列，并将结果存储在公开可用的表被称为彩虹表。这当然需要许多小时的努力，但这种类型的工作正在进行中。从最初试图获取密码的哈希值开始，表的范围和规模都在不断增长，已经增长到密码低于12-14个字符长度的话，那它们的哈希值现在很有可能存储在彩虹表中的某个位置。这意味着，一个获得系统哈希文件的不怀好意的人可以轻松获得一个彩虹表(关于操作系统或应用程序的)，从而查找哈希值来获得用户存储在里面的密码。不幸的是，随着彩虹表的规模不断增长，密码必须变得更长更复杂，这样才能使别人获得用户哈希值的要做的努力更大更沉重。正在进行的组装彩虹表数据的工作，可能会很快让关于最小密码长度的最佳做法的讨论变得毫无意义，这也是很多专家认为对重要的有价值的数据的身份验证凭据来说，密码一个糟糕的选择的主要原因。

　　尽管密码哈希文件会带来危险，但使用强大的其他凭据，如软件/硬件令牌，生物识别技术和基于知识的认证，这个问题可以很容易地得到解决。但在今天的市场中，密码仍然是最常见的身份验证凭据。因此，针对企业系统执行更长的最小密码长度，可以帮助使密码不易受到暴力攻击。那么，怎样才能使用户使用长密码更加方便?答案很简单，通过使用“密码短语”。与其创建一个无意义的字符和数字的长字符串，人们可以利用熟悉的句子，建立他们心中的图像，有人觉得这样更容易回想、记住他们的密码。例如，如果用户有一个孩子在上学，他们很可能想到这句话，“我的孩子是五年级的优等生，”这可以很容易地被翻译成他或她记得的密码，如Bobbies#1OnThe5thGradeHR。或者一个人可能很喜欢音乐，然后想，“我高中毕业时最喜欢的乐队是Savage Garden，”这可以转变成这个密码N1998ILovedSavageGarden。这两个例子中的密码都很复杂且很容易就超过了14个字符的长度。短和独特的密码组合也可以，只不过在如何创建密码时需要一些想象力和不同的思考方式。