網站如何保護您的密碼？

這時候，聽到資料外洩的消息是很正常的。Gmail等熱門服務或 MySpace 等我們大多數人都忘記的軟體可能會發生洩漏。

駭客能發現的最糟糕的事情之一就是你的密碼。如果您違背標準建議並在多個不同平台上使用相同的登入名，則尤其如此。但密碼保護不僅僅是您的責任。

那麼網站如何儲存您的密碼呢？他們如何保證您的登入資訊安全？網站可以使用什麼最安全的方法來追蹤您的密碼？

最壞的情況：密碼以純文字形式保存

考慮這種情況：一個大型網站被駭客攻擊。網路犯罪分子已經繞過了網站所採取的任何基本安全措施，並且可以利用網站結構中的缺陷。你是客戶。網站已儲存您的詳細資訊。該網站確保您的密碼安全。但是，如果該網站以純文字形式儲存您的密碼，會發生什麼情況？

純文字密碼就像一個有利可圖的誘餌。它們不使用演算法，因此無法讀取。駭客可以像您閱讀本文一樣簡單地讀取密碼。

您的密碼有多複雜並不重要：純文字資料庫是每個人的密碼的列表，清晰地寫出，包括您使用的任何數字和附加字元。

即使駭客沒有破解網站，您是否真的希望網站管理員能夠看到您的秘密登入詳細資訊？

您可能認為這是一個非常罕見的問題，但據估計，大約 30% 的電子商務網站使用這種方法來「保護」客戶資料！

找出網站是否以純文字形式儲存密碼的簡單方法是，您在註冊後是否立即收到來自該網站的電子郵件，其中列出了您的登入詳細資訊。在這種情況下，您可能需要更改使用相同密碼的任何其他網站，並聯絡該公司以警告他們其安全性太差。當然不可能 100% 確認，但這是一個非常明顯的跡象，該網站確實不應該在電子郵件中發送此類內容。

編碼：聽起來不錯，但不完美

許多網站採用加密來保護使用者密碼。加密過程會擾亂您的訊息，使其無法讀取，直到兩個金鑰（一個由您持有（即您的登入詳細資訊），另一個由相關公司持有）同時出現。

您還在許多其他地方使用了加密。 iPhone 上的 Face ID 是一種加密形式。密碼是一樣的。互聯網運行在加密之上：您在 URL 中看到的HTTPS意味著您正在訪問的網站使用 SSL 或 TLS 協定來驗證連接和聚合資料。但實際上，加密並不完美。

加密可以讓您高枕無憂。但是，如果某個網站使用自己的密碼來保護您的密碼，則駭客可以竊取該網站的密碼，然後找到您的密碼並將其解密。駭客不需要花費太多精力就可以破解您的密碼；這就是為什麼主要資料庫始終是一個大目標。

如果您網站的金鑰（密碼）與您的密碼儲存在同一伺服器上，則您的密碼也可能是純文字形式。

• 駭客如何竊取WiFi密碼？如何防止這種情況發生？

哈希：出奇的簡單（但並不總是有效）

密碼雜湊可能聽起來像行話，但它只是一種更安全的加密形式。

該網站不是以純文字形式儲存密碼，而是透過雜湊函數（例如 MD5、安全雜湊演算法 (SHA)-1 或 SHA-256）運行密碼，將密碼轉換為一組完全不同的數字。這些可以是數字、字母或任何其他字元。

您的密碼可能是IH3artMU0。它可以變成7dVq$@ihT，如果駭客闖入資料庫，他只能看到這些。駭客無法再次解密原始密碼。

不幸的是，事情並不像你想像的那麼安全。這種方法比純文字更好，但對網路犯罪分子來說仍然不是問題。

重要的是特定的密碼會產生特定的雜湊值。這樣做有一個很好的理由：每次您使用密碼IH3artMU0登入時，它都會自動通過該哈希值，如果該哈希值與網站資料庫中的雜湊值匹配，則該網站將允許您訪問網站。

作為回應，駭客開發了彩虹表，類似於備忘單。它們是哈希列表，已被其他人用作密碼，複雜的系統可以快速運行，就像暴力攻擊一樣。

如果你選擇了一個非常糟糕的密碼，它將在彩虹表上排名靠前，並且很容易被破解。複雜的密碼將需要更長的時間。

目前最好的：加鹽和慢哈希

加鹽是大多數安全網站實施的更強大的技術之一

沒有什麼是堅不可摧的：駭客總是積極致力於破解任何新的安全系統。目前，最安全的網站實施了更強大的技術。這些是智慧哈希函數。

加鹽雜湊基於加密隨機數，這是為每個單獨的密碼產生的隨機資料集，通常非常長且複雜。

這些附加數字在通過雜湊函數之前被添加到密碼（或電子郵件-密碼組合）的開頭或結尾，以防止使用彩虹表進行嘗試。

一般來說，如果鹽與雜湊值儲存在同一台伺服器上，就沒有問題。破解一組密碼可能需要駭客花費大量時間，如果您的密碼很複雜，則更加困難。

這就是為什麼您應該始終使用強密碼，無論您對網站的安全性有多有信心。

網站也使用慢速哈希作為附加措施。最著名的雜湊函數（MD5、SHA-1 和 SHA-256）已經存在一段時間了，並且由於相對容易實現而被廣泛使用。

雖然鹽仍然適用，但慢速哈希甚至可以更好地防禦任何依賴速度的攻擊。透過限制駭客每秒的嘗試次數顯著減少，他們將需要更長的時間來破解，從而降低了嘗試的價值，同時也降低了成功率。

網路犯罪分子必須權衡是否值得攻擊耗時的慢速哈希系統與「快速修復」。例如，醫療機構的安全性往往較低，因此從他們那裡獲得的數據仍然可以以驚人的價格出售。

如果系統處於「壓力」之下，它的速度可能會更慢。前 Microsoft 軟體開發人員 Coda Hale 將 MD5 與最著名的慢雜湊函數 bcrypt（其他函數包括 PBKDF-2 和 scrypt）進行比較：

「我不會每40 秒破解一次密碼（如MD5），而是每12 年左右破解一次（當系統使用bcrypt 時）。您的密碼可能不需要這種安全性，您可能需要更快的比較演算法，但 bcrypt 可以讓您選擇速度和安全性之間的平衡」。

而且由於慢速哈希仍然可以在不到一秒的時間內執行，因此用戶不會受到影響。