幾家公司最近承認以純文字格式儲存密碼。這就像在記事本中儲存密碼並將其儲存為.txt檔案。為了安全起見，應該對密碼進行加密和雜湊，那麼為什麼2019年不會發生這種情況呢？

為什麼密碼不能以純文字形式儲存

designer491/Shutterstock

當一家公司以明文形式儲存密碼時，任何擁有密碼資料庫或密碼儲存在任何其他檔案中的人都可以讀取密碼。如果駭客獲得檔案訪問許可權，他們可以看到所有的密碼。

用純文字儲存密碼是一種可怕的做法。公司應該對密碼進行加密和雜湊，這是另一種說法，即“在密碼中新增額外的資料，然後以無法逆轉的方式進行加密”。通常這意味著，即使有人從資料庫中竊取了密碼，它們也無法使用。當您登入時，公司可以檢查您的密碼是否與儲存的加擾版本匹配，但他們不能從資料庫中“反向工作”並確定您的密碼。

那麼，為什麼公司要用明文儲存密碼呢？不幸的是，有時這些公司並不重視安全問題。或者他們選擇以方便的名義危害安全。在其他情況下，公司在儲存密碼時會做所有正確的事情。但他們可能會新增過於熱心的日誌記錄功能，即用純文字記錄密碼。

有幾家公司的密碼儲存不當

因為Robinhood、Google、Facebook、GitHub、Twitter和其他公司都以純文字形式儲存密碼，所以您可能已經受到了糟糕做法的影響。

以谷歌為例，該公司對大多數使用者的密碼進行了充分的雜湊和鹽漬處理。但G套件企業帳戶密碼是以純文字形式儲存的。該公司表示，這是給域名管理員提供恢復密碼工具時遺留下來的做法。如果谷歌正確地儲存了密碼，那是不可能的。只有密碼重置過程才能在正確儲存密碼後進行恢復。

當Facebook也承認用明文儲存密碼時，它沒有給出問題的確切原因。但您可以從稍後的更新中推斷出問題：

…we discovered additional logs of Instagram passwords being stored in a readable format.

有時公司在最初儲存密碼時會把一切都做好。然後新增導致問題的新功能。除了Facebook，Robinhood、Github和Twitter意外地記錄了純文字密碼。

日誌記錄對於查詢應用程式、硬體甚至系統程式碼中的問題非常有用。但是，如果一家公司不徹底測試這種日誌記錄功能，它可能會導致更多的問題，而不是解決問題。

以Facebook和Robinhood為例，當用戶提供使用者名稱和密碼進行登入時，登入功能可以在輸入使用者名稱和密碼時看到並記錄它們。然後將這些日誌儲存在其他地方。任何有權訪問這些日誌的人都擁有接管帳戶所需的一切。

像T-Mobile Australia這樣的公司很少會忽視安全的重要性，有時會以方便的名義。在Twitter被刪除後的一次交易中，一位T-Mobile的代表向一位使用者解釋說，該公司以明文形式儲存密碼。透過這種方式儲存密碼，****代表可以看到密碼的前四個字母以進行確認。當其他Twitter使用者恰當地指出如果有人入侵公司伺服器會有多糟糕時，這位代表回答說：

What if this doesn’t happen because our security is amazingly good?

該公司確實刪除了這些推文，後來宣佈所有密碼都將很快被加密和雜湊。但沒過多久，該公司就有人違反了它的系統。T-Mobile說，被盜的密碼是加密的，但這還不如雜湊密碼好。

公司應該如何儲存密碼

公司不應該儲存純文字密碼。相反，應該先對密碼加鹽，然後再對其進行雜湊。重要的是要知道什麼是salting，以及加密和雜湊的區別。

鹽漬新增額外的文字到您的密碼

鹽漬密碼是一個直截了當的概念。這個過程本質上是向您提供的密碼新增額外的文字。

把它想象成在常規密碼的末尾新增數字和字母。您可以鍵入“Password123”（請不要使用這些密碼中的任何一個），而不是使用“Password”作為密碼。Salting是一個類似的概念：在系統雜湊您的密碼之前，它會向其中新增額外的文字。

因此，即使駭客闖入資料庫竊取使用者資料，也很難確定真正的密碼是什麼。駭客不知道哪部分是鹽，哪部分是密碼。

公司不應該在不同的密碼之間重複使用鹽漬資料。否則，它可能會被偷走或損壞，從而變得毫無用處。適當地改變鹽漬資料也可以防止碰撞（稍後將詳細介紹）。

加密不是密碼的合適選項

正確儲存密碼的下一步是雜湊它。雜湊不應與加密混淆。

當你加密資料時，你會根據一個金鑰對它進行輕微的轉換。如果有人知道鑰匙，他們可以把資料改回來。如果你玩過一個解碼器環，它告訴你“a=C”，那麼你就加密了資料。知道了“A=C”，你就會發現這個資訊只是一個奧瓦爾丁廣告。

如果駭客闖入一個加密資料的系統，並設法竊取加密金鑰，那麼你的密碼也可能是純文字。

雜湊將您的密碼轉換為亂碼

密碼雜湊從根本上把你的密碼轉換成一串無法理解的文字。任何人看一個雜燴都會覺得亂七八糟。如果您使用“Password123”，雜湊可能會將資料更改為“873kldk#49lkdfld#1”。公司應該在將您的密碼儲存到任何地方之前對其進行雜湊處理，這樣它就不會記錄您的實際密碼。

雜湊的這種性質使它成為儲存密碼的一種比加密更好的方法。雖然你可以解密加密的資料，但你不能“解密”資料。因此，如果駭客真的闖入資料庫，他們就找不到解鎖雜湊資料的金鑰。

相反，當你提交密碼時，他們必須像公司那樣做。Salt密碼猜測（如果駭客知道使用什麼Salt），對其進行雜湊運算，然後將其與檔案上的雜湊值進行比較以獲得匹配。當你向谷歌或你的銀行提交密碼時，他們會遵循同樣的步驟。有些公司，比如Facebook，甚至可能會額外“猜測”一個拼寫錯誤。

雜湊的主要缺點是，如果兩個人擁有相同的密碼，那麼他們最終會得到雜湊。這種結果被稱為碰撞。這是新增不同密碼的鹽的另一個原因。一個經過充分加密和雜湊處理的密碼不會有任何匹配項。

駭客可能最終會突破雜湊資料，但這主要是一個測試每一個可能的密碼，並希望有一個匹配的遊戲。這個過程仍然需要時間，這給了你時間來保護自己。

如何防止資料洩露

你不能阻止公司不正確地處理你的密碼。不幸的是，這比應該的更普遍。即使公司確實正確儲存了您的密碼，駭客也可能會破壞公司的系統並竊取雜湊資料。

考慮到這個現實，你永遠不應該重複使用密碼。相反，您應該為您使用的每個服務提供不同的複雜密碼。這樣，即使攻擊者在一個網站上找到你的密碼，他們也無法使用它登入到你在其他網站上的帳戶。複雜的密碼是非常重要的，因為你的密碼越容易猜測，駭客就可以越快突破雜湊過程。透過使密碼更復雜，您可以爭取時間將損害降到最低。

使用唯一的密碼也可以最大限度地減少這種損害。最多，駭客將獲得一個帳戶的訪問許可權，你可以更容易地更改一個密碼比幾十個。複雜的密碼很難記住，因此我們建議使用密碼管理器。密碼管理器為您生成並記住密碼，您可以根據幾乎任何站點的密碼規則進行調整。

有些，比如LastPass和1Password，甚至提供檢查當前密碼是否被洩露的服務。

另一個好的選擇是啟用兩步身份驗證。這樣，即使駭客真的洩露了你的密碼，你仍然可以阻止未經授權的訪問你的帳戶。

雖然你不能阻止一家公司錯誤地處理你的密碼，但你可以透過正確地保護你的密碼和帳戶來將影響降到最低。

相關：為什麼你應該使用密碼管理器，以及如何開始