Maria+Korolov著+Charles译

专家们认为，企业早就不应该依赖传统的密码了。他们应该转而采用更安全的访问方法，例如，多重身份认证（MFA）、生物识别和单点登录（SSO）系统等。据最新的《Verizon数据泄露调查报告》，81%黑客导致的泄露事件都与被盗密码或者弱密码有关。

首先，让我们来讨论一下密码破解技术。当攻击目标是企业、个人或者公众部门的时候，情况虽各有不同，但最终结果通常是一样的——黑客获胜。

从散列密码文件中破解密码

如果一家公司的所有密码同时被破解，那通常是因为密码文件被盗了。有的公司以明文列出密码，而安全意识强的公司则通常以散列的形式保存其密码文件。Verodin有限公司的首席信息安全官Brian Contos指出，哈希文件用于保护域控制器、LDAP和Active Directory等企业认证平台，以及很多其他系统的密码。

这些散列，包括加盐散列，已经不是那么非常安全了。采用散列方式对密码加扰，使密码不能再被解读。要检查密码是否有效，登录系统对用户输入的密码进行加扰，并将其与之前已存档并经过哈希处理的密码进行比较。

截获了散列密码文件的攻击者使用所谓“彩虹表”，通过简单搜索法来破解散列文件。他们还可以购买专门设计开发的密码破解硬件，租用亚马逊或者微软等公有云上的空间，构建或者租用僵尸网络进行破解。

攻击者如果自己不是密码破解专家，还可以外包。Contos说：“我可以租用这些服务几个小时，几天，甚至几周的时间——通常都能得到支持。这个领域有很多专业化的东西。……