避免多賬號(hào)密碼重復(fù)使用

胡金魚(yú)
密碼重復(fù)使用似乎是很多人的常用做法,但這種行為卻會(huì)對(duì)企業(yè)的網(wǎng)絡(luò)安全產(chǎn)生一定影響。當(dāng)用戶在多個(gè)賬戶中重用密碼時(shí),這便為黑客進(jìn)行破壞創(chuàng)造了一個(gè)黃金機(jī)會(huì)。

本文來(lái)自微信公眾號(hào)“嘶吼專業(yè)版”,作者/胡金魚(yú)。

密碼重復(fù)使用似乎是很多人的常用做法,但這種行為卻會(huì)對(duì)企業(yè)的網(wǎng)絡(luò)安全產(chǎn)生一定影響。當(dāng)用戶在多個(gè)賬戶中重用密碼時(shí),這便為黑客進(jìn)行破壞創(chuàng)造了一個(gè)黃金機(jī)會(huì)。

企業(yè)可能有自己強(qiáng)有力的密碼策略,但如果重用密碼廣泛,可能會(huì)造成一種錯(cuò)誤的安全感。

密碼重用如何造成破壞

假設(shè)每一個(gè)終端用戶都被提示創(chuàng)建一個(gè)由隨機(jī)字母組成的多個(gè)字符的密碼短語(yǔ),那可以對(duì)照最常用的密碼列表進(jìn)行檢查。從表面上看活動(dòng)目錄的密碼安全性很強(qiáng),但當(dāng)用戶在不太安全的個(gè)人設(shè)備、網(wǎng)站或應(yīng)用程序上重用這個(gè)密碼時(shí),危機(jī)就開(kāi)始了。

黑客可能會(huì)在安全性差的情況下侵入網(wǎng)站的數(shù)據(jù)庫(kù),并訪問(wèn)每個(gè)用戶的密碼。從那里,他們可以試圖找出個(gè)人在哪里就業(yè),并查閱他們的工作帳戶。攻擊者還可以通過(guò)網(wǎng)絡(luò)釣魚(yú)等社會(huì)工程攻擊個(gè)人來(lái)獲得證書(shū)。

在密碼被泄露的情況下,黑客們使用自動(dòng)化的工具系統(tǒng)地在各種網(wǎng)站和應(yīng)用程序中,包括那些與目標(biāo)工作地點(diǎn)相關(guān)的網(wǎng)站和應(yīng)用程序,測(cè)試被盜的用戶名和密碼組合。這使企業(yè)電子郵件帳戶、內(nèi)部系統(tǒng)、文件存儲(chǔ)庫(kù),甚至行政權(quán)限均處于危險(xiǎn)之中。

一旦進(jìn)入網(wǎng)絡(luò),攻擊者可以橫向移動(dòng)探索不同的系統(tǒng),并升級(jí)他們的特權(quán)。攻擊者可以訪問(wèn)敏感數(shù)據(jù),破壞其他帳戶、安裝惡意軟件,或在網(wǎng)絡(luò)中發(fā)起進(jìn)一步攻擊。他們可以過(guò)濾敏感數(shù)據(jù)、操縱或刪除信息、破壞業(yè)務(wù),或扣留數(shù)據(jù)作為勒索籌碼。

為什么人們會(huì)重復(fù)使用密碼

密碼重用主要是為了方便。用戶傾向于選擇易于記住的密碼,并經(jīng)常在多個(gè)賬戶中循環(huán)使用,以避免管理眾多復(fù)雜密碼的麻煩。

當(dāng)我們考慮到用戶在記住和管理多個(gè)密碼方面的負(fù)擔(dān)增加時(shí),密碼重用的出現(xiàn)并不奇怪。人們被他們需要管理的帳戶和密碼的數(shù)量所淹沒(méi),這種疲勞導(dǎo)致了密碼重用等捷徑。

即使最終用戶通過(guò)培訓(xùn)意識(shí)到了風(fēng)險(xiǎn),也常常會(huì)有一種“不會(huì)是我”的心態(tài),最近的一項(xiàng)調(diào)查結(jié)果顯示,有84%的人在多個(gè)賬戶中使用相同的密碼。

改變這種行為需要的不僅僅是用戶教育和安全意識(shí)培訓(xùn),也需要技術(shù)支持。

解決密碼重用問(wèn)題

解決密碼重用問(wèn)題需要將用戶教育、技術(shù)解決方案和組織政策結(jié)合起來(lái)。要改變用戶行為,提高認(rèn)識(shí),并采用安全的身份驗(yàn)證方法,以減少對(duì)密碼的依賴。

安全和方便之間有微妙的平衡。企業(yè)需要實(shí)施強(qiáng)有力的安全措施,以減少密碼重用,但還必須考慮用戶體驗(yàn),避免造成用戶負(fù)擔(dān)。

用戶教育和認(rèn)識(shí)

定期舉辦網(wǎng)絡(luò)安全培訓(xùn)班,以教育員工了解密碼重用的風(fēng)險(xiǎn)和設(shè)置強(qiáng)有力密碼的重要性。人們需要明白,即使是強(qiáng)大的、獨(dú)特的密碼,也會(huì)處于危險(xiǎn)之中。

多因素認(rèn)證

設(shè)置MFA作為額外的安全層。通過(guò)要求用戶提供多種形式的身份驗(yàn)證,比如密碼和發(fā)送到他們的移動(dòng)設(shè)備上的唯一代碼,黑客就很難破壞帳戶。不過(guò),MFA不是絕對(duì)安全的。

密碼管理員

密碼管理器安全地存儲(chǔ)和生成不同帳戶的復(fù)雜密碼,要求用戶只記住一個(gè)主密碼。這消除了記住多個(gè)密碼的需要,并減少了重用密碼的誘惑。但如果最終用戶重用他們的主密碼,這將使他們的所有帳戶都處于風(fēng)險(xiǎn)之中。

連續(xù)加密密碼掃描

針對(duì)密碼重用的最好防御是實(shí)現(xiàn)一個(gè)解決方案,利用方案連續(xù)掃描活動(dòng)目錄密碼和全面的數(shù)據(jù)庫(kù)受損害密碼,以便能夠?qū)崟r(shí)檢測(cè)到受損密碼,降低未經(jīng)授權(quán)訪問(wèn)的風(fēng)險(xiǎn),并對(duì)安全事件作出快速反應(yīng)。

THEEND

最新評(píng)論(評(píng)論僅代表用戶觀點(diǎn))

更多
暫無(wú)評(píng)論