研究发现常用增加密码强度的规则无效

根据《CNET》消息：当为一个新帐户创建密码时，您可能会遇到这样的规则提示：使用大写字母、数字和特殊字符的组合，这些规则旨在防止黑客入侵。但是，美国卡内基梅隆大学的研究人员表示，这些要求并不能让密码变得更强。

卡内基梅隆大学的CyLab可用性安全和隐私实验室主任Lorrie Cranor表示，她的团队创建了一个网站，该网站可以提示用户创建更安全的密码。用户在创建了至少10个字符的密码后，网站就会提出建议，例如用斜杠或随机字母来分解常用单词，以增强密码强度。

这些建议将密码强度计与其他提供强度估计值的计量器（通常使用颜色）区分开来。这些建议来自常见的陷阱Cranor的团队已经看到人们在实验室进行的实验中设置密码时会做出的选择。

这些建议来自Cranor的团队已经看到人们在设置密码时的常见陷阱。实验室发现，许多密码的问题之一是它们勾选了所有安全检查，但仍然很容易猜到，因为我们大多数人都遵循相同的模式。例如，提示数字，用户可能会在末尾添加“ 1”；提示大写字母，用户可能会使用其密码中单词的第一个字母；提示特殊字符，用户可能会使用“！”。

网站还会根据用户输入的内容提供其它建议，例如，提醒用户不要使用名称，或建议用户在密码中间放置特殊字符。

在一项实验中，用户在一个系统上创建密码，只需要输入10个字符。然后，系统用实验室的密码强度计对密码进行评级，并为更强的密码提供定制建议。测试对象能够想出安全的密码，他们可以在5天后回忆起来。这比向用户展示预设的规则列表或简单地禁止已知的坏密码效果更好。

该团队希望其工具未来能被网站制作者采用。（钉科技根据《CNET》消息编译）