计算机口令安全

《计算机口令安全》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、计算机口令安全。。。    相信提到计算机安全很多人都会首先联想到口令安全,确实,很多病毒、木马编写者都乐意把口令猜解功能集成到程序里面，原因很简单，获得了口令的同时也就获得了口令对应帐户的权限，而大多数个人计算机用户都不认为口令安全是一件很重要的事，计算机管理员口令往住为空或是1234什么的，不信你拿"流光"或"X-scan"或"SSS"到internet上扫描下，得到的空口令或弱口令的数量之多想必会让你大吃一惊。或者你拿"LC5"或"saminside"之类的工具去扫一下你的本地计算机，你就会难过地发现你一直以为健壮的口令是多么不甚一击。那么，什么样的口令才算是安全的呢？

2、    还是先让我们来简单了解一下计算机口令的存储和验证过程，假设我们在本地计算机上创建了一个Boy的帐号和一个我们认为安全的密码口令，这时计算机会把Boy的口令通过加密散列算法进行加密并存储在安全帐户管理器sam数据库中，散列是一种把可变长度的二进制输入经过处理后生成固定长度的二进制输出的结果。使用一个优秀的散列算法那么理论上来说两个不同的输入不会产生相同的输出。也就是说相同的输入总是产生唯一的输出。由于加密散列是单向函数，所以该过程是不可逆的，也就是说，加密散列不能被解密。当用户登陆时，用户输入的口令就会被同一加密散列加密，并把结果与sam中存储的散列值进行比较，如果相同

3、，那么表示口令匹配，用户就通过了身份验证。    在2000以后的系统，交互式登陆使用的是"NTLM"(或NTLMv2)身份验证算法。该算法较之2000之前的操作系统使用的LM算法要先进和安全许多。具体表现在,支持128个字符的口令长度，支持使用Unicode字符集，进行口令散列的时候不用像"LM身份验证算法"那样要先分成两段,再分别进行加密。但是为了在局域网内保证与旧版本的操作系统的兼容性，网络身份验证的时候仍然使用LM对98等旧版本操作系统进行身份验证。也就是说sam数据库中同时保存了某一口令的NTLM和LM两种算法的加密散列，这就导致了安全风险，一但我们获得了某一计算机

4、的sam文件，LM算法会帮助我们更快地破解出加密口令。为什么这么说呢？我们来看下LM大概的加密过程就知道了，首先，LM会先将口令一律转换成大写，并分成两个7字符长度的段，如果口令不足14个字符，LM会自动用0对口令进行填充补足14个字符，然后单独加密每个段，来创建LM口令散列。这样生成的口令很容易被破解，因为只需要分别对两个段进行独立的破解，再把结果拼起来我们就获得了完整的口令。对于强力的口令破解工具而言，不用一会的功夫就能把你自认为强健的口令破解出来。。。等下,你刚才不是说通过散列加密的口令是不能被解密的吗?那破解工具是如何破解口令的呢?其实很简单,破解工具压根不会去解密口

5、令,他们对字典穷举或暴力破解算法产生的口令字进行散列加密(算法是公开的),然后逐个与sam数据库里对应的你要破解的帐号口令进行比较,来判断所猜解的口令是否正确...那么看来LM散列看来很危险,有没有办法删除呢?有的,如果我们不想让LM散列保存在我们的sam数据库中,那么你要做以下步骤:    1。开始运行里输入secpol.msc，打开“本地安全策略”管理单元，选择本地策略，选择安全选项，找到“网络安全：不要在下次更改密码时存储LanManager的Hash值”条目，把它设为启用。如图：      2。更改想要保护的帐号的密码并重新启动。（这样系统就不会再为新的口令创建LM的

6、散列值并存储了，散列也称哈希）        回到我们最先的话题，什么样的口令才算是安全口令呢？    1。要足够长，越长的口令越难破解，这地球人都知道，我建议大家用短语口令，长度最好14个字符以上。    2。要足够复杂，复杂性要求至少包含：大小写英文字母、数字、特殊符号四类字符中的三类。（这是微软建议的密码复杂策略的其中一条）    3。在口令中使用Unicode字符，NTLM及其后续版本支持Unicode字符，Unicode字符对口令来说是个很好的选择，一般普通的口令破解程序在它们的强力算法中都不包含Unicode。要包含Unicode字符，按住Alt键并使用数字键盘按

7、下三到四个阿拉伯数字。    注意:并不是所有的Unicode字符都能提高安全性。有些只能简单地表示可由键盘输入的字符。具体参见：        http://www.microsoft.com/smallbusiness/support/articles/select_sec_passwords.mspx）帐户权限配置。。。    在大多数与安全相关的培训课程和文档中我们经常会见到"最小特权原则"这个词，好，让我们先来了解一下最小特权原则：    最小特权原则规定，所有用户应该使用仅具有完成当前任务所