网络安全教程-密码与Crack工具研究（5）

1.4 口令安全的建议
　　每个人都应该重视保护自己帐户的口令，降低被他人截取的可能性，从而保护个人的资料资料以及系统的安全。保护口令安全的要点如下：

不要将口令写下来。
不要将口令存于计算机文件中。
口令要容易记住。
不要用字典中有的词作为自己的口令。
不要用诸如自己的生日、电话号码、寻呼机号码、纯数字或纯字母做口令。
口令应包含特殊字符。
口令应该在允许的范围内尽可能取长一点。
不要在不同系统上使用同一口令。
为防止眼明手快的人窃取口令，在输入口令时应确认没有人偷窥。
定期改变口令，至少6个月要改变一次。

　　最后这点是十分重要的，永远不要对自己的口令过于自信，也许就在无意当中泄露了口令。定期地改变口令，会使自己遭受hacker攻击的风险降到一定限度之内。一旦发现自己的口令不能进入计算机系统，应立即向系统管理员报告，由管理员来检查原因。

　　以上分析的是传统的保障口令安全的方法。当前，也出现了一些新型的口令安全机制，例如：动态口令和利用使用者的生物唯一识别信息作为口令验证。

　　动态口令是周期性的改变口令，以减少口令被破解的机会、增强口令安全的机制，动态口令卡是一种最常见的应用。在口令卡和服务器中都存储同一口令种子（Seed）。验证口令时，口令卡取出当前时间与口令种子，经过单向函数的变换，计算出一个口令，服务器也采用同样的方法得到一个口令，比较这两个口令，得到验证。动态口令卡与服务器之间的时间同步是确保准确验证的前提。目前，一些安全方面的著名公司，如：RSA、HP等推出了动态口令卡产品。本实验室也研制成功了动态口令卡（DID卡），并广泛运用于银行、军队和政府部门。

　　利用使用者的生物唯一识别信息作为口令验证，这一先进的安全认证机制正在积极的研究与完善中，将逐渐应用于多种场合。可以利用的识别信息包括指纹、视网膜等，这些特征信息是个人唯一的，提取这些特征，可以用于个人的身份验证。提取的识别信息数据量过多，存在存储开销大、传输效率低等缺陷；数据量过少，又可能出现误判。因而如何准确的提取识别信息，是当前的一个研究热点。