口令安全系列之三——教你使用自動化工具管理口令

發(fā)布時間： 2016-01-29 17:14:55  

分享到：

在前兩期中，我們介紹了弱口令的前世今生和設(shè)置一個強口令的技巧，相信大家對口令安全已經(jīng)有了比較深入的理解，也具備了自己設(shè)計強口令的能力，但是記憶口令畢竟是一件辛苦的事，有沒有更加簡便的方法來幫助更加方便的管理我們的口令呢？另一方面，即使我們設(shè)計了強口令，如果存儲口令的系統(tǒng)遭到破解也會導致我們的口令漏泄，如何降低這方面的風險呢？本期東網(wǎng)快訊教你借助工具提高口令安全。

一、利用口令管理軟件來管理口令

Keeppass是一款開源的口令管理軟件，通過密碼和密鑰，它能夠提供一個足夠安全的密碼存儲空間，在使用上也十分簡便，支持 Windows、Linux和 Mac 三大平臺,甚至還有移動操作系統(tǒng)版本，可以幫助我們有效的管理賬號口令。

Keeppass的安裝非常簡單，以windows版本為例，大家可以通過http://keepass.info/download.html進入下載頁面，點擊下圖所示的下載按鈕就可以下載windows版本的安裝包。

下載后雙擊EXE開始安裝，安裝時默認語言選擇English，按照提示完成安裝。安裝完成后到http://keepass.info/translations.html下載漢化包。

將下載好的文件解壓到 KeePass 的安裝目錄，然后啟動 KeePass，選擇 View 菜單，點擊 Change Language，在彈出的對話框中選擇 Simplified Chinese，在彈出框中點擊YES重啟KeePass就完成了全部安裝過程。

開始使用 KeePass 之前，首先需要創(chuàng)建密碼數(shù)據(jù)庫以保存密碼，步驟如下：

啟動 KeePass，選擇文件菜單，選擇新建選項。軟件會提示我們選擇數(shù)據(jù)庫文件保存路徑，這個文件就是存儲我們的密碼的文件。這個文件是經(jīng)過十分安全的算法加密的，只要我們設(shè)置一個足夠強大的管理密碼，就可以達到很高的安全性。

選擇文件路徑之后會要求創(chuàng)建管理密碼，建議采用管理密碼的方式來保護，采用上一期的密碼設(shè)計技巧設(shè)計一個強大的管理密碼來保護我們的密碼文件。

密碼設(shè)置以后會要求進行數(shù)據(jù)庫配置，通常情況下我們只需要輸入數(shù)據(jù)庫名稱并采用默認配置就可以了。以后每次打開KepPass時需要輸入這個管理密碼才能訪問我們的數(shù)據(jù)庫文件。

完成數(shù)據(jù)庫配置就可以開始使用了，當你需要記錄一個賬號的時候，可以在空白處點擊添加記錄。

在彈出的輸入框中輸入標題用戶名、密碼、網(wǎng)址備注等信息并點擊確定就可以生成一條記錄。

當我們要輸入密碼時，打開KeePass，郵件選擇相應(yīng)的記錄，點擊網(wǎng)址可以使用瀏覽器打開網(wǎng)頁，點擊“復(fù)制用戶名”、“復(fù)制密碼”等按鈕即可復(fù)制出用戶名和密碼，粘貼到網(wǎng)站上即可。

通過KeePass來管理口令可以有效減少口令的記憶量，只需要記住一個管理密碼即可管理所有的賬號口令。此外，KeePass的數(shù)據(jù)庫文件加密算法安全性很高，只要管理密碼的強度夠高，即使數(shù)據(jù)庫文件丟失也不用擔心密碼泄露的問題。

上述方式適用于在單臺計算機上存儲所有密碼，如果要在多臺計算機之間同步密碼庫的話，可以將數(shù)據(jù)庫文件上傳到Dropbox、Google Drive、onedrive等云平臺，在打開KeePass時點擊”文件”菜單下的打開菜單，點擊打開URL，輸入數(shù)據(jù)庫文件的網(wǎng)址和用戶賬號密碼，這樣多臺安裝了KeePass的計算機之間就可以同步密碼庫了。

在上述的基本功能之外，KeePass還能實現(xiàn)自動生成密碼、自動填寫密碼等一系列功能，大家有興趣可以自行在使用中進行嘗試。

除了KeePass以外，LastPass也是一款常用的口令管理軟件，LastPass是以瀏覽器插件的形式提供口令管理能力的，除了口令存儲記錄以外，還能實現(xiàn)很好的密碼自動代填功能，使用起來十分便利。但LastPass的密碼是存儲在云端由服務(wù)商進行維護的，之前曾經(jīng)出現(xiàn)過云端被入侵導致用戶信息泄露的事件，因此建議不要將網(wǎng)銀等重要業(yè)務(wù)賬號存儲在LastPass中，避免數(shù)據(jù)泄露帶來的風險。

二、巧用社工庫查看密碼泄露情況

隨著互聯(lián)網(wǎng)安全事件頻發(fā)，許多網(wǎng)站都收到過攻擊導致敏感信息泄露事件的發(fā)生，如何知道我們正在使用的密碼是否已經(jīng)泄露呢？一些信息安全技術(shù)人員或公司收集了互聯(lián)網(wǎng)上泄露的賬號密碼并提供了查詢服務(wù)，我們可以巧用這些社工庫來查詢我們的密碼是否被泄露。

通過百度搜索關(guān)鍵字“社工庫”可以找到很多社工庫相關(guān)的網(wǎng)站，使用方法基本類似，我們以http://www.xiumima.com/為例，打開網(wǎng)站后在關(guān)鍵字輸入框中輸入我們常用的賬號關(guān)鍵字，如QQ號、郵箱、手機號、用戶名等進行查詢，即可查看相關(guān)的密碼泄露情況。

以“liudh”作為關(guān)鍵詞進行查詢，可以看到大量的記錄，其中綠色圖標表示泄露賬號的網(wǎng)站或應(yīng)用，如CSDN，小米賬號、天涯論壇等，藍色部分則為用戶賬號、郵箱和密碼信息，其中密碼字段較長的通常為經(jīng)過MD5加密的密碼。

由于獲取完整密碼通常需要注冊，因此我們通?？梢酝ㄟ^用戶名和郵箱來判斷是否是自己的賬號，再結(jié)合泄露的來源就知道我們的哪些口令已經(jīng)泄露了，趕快去修改吧。

至此，口令安全系統(tǒng)的內(nèi)容已經(jīng)向大家介紹完畢，希望大家能夠通過我們的講解掌握提高口令安全的技巧，提升自己的信息安全水平。