【两高一弱】两高一弱之弱口令

“两高一弱”之弱口令

弱口令：指那些强度较弱、容易被猜测或破解的密码。过于简单的密码很容易被黑客通过暴力破解的方式攻破。常见的弱口令包括：123456、888888、password、admin、abcdefg、生日、电话号码等。

弱口令问题门槛低，极易被别有用心之人攻击利用，进入后台获取权限、数据，轻易操作财务转账、计费修改、实时监控等等，对单位、企业的正常生产经营造成严重影响。

弱口令是对易被猜测或破解的计算机信息系统口令的统称，这样的口令往往由简单字符组合而成，自身复杂度、长度不足。弱口令的长期使用，存在被别有用心之人非法或违规利用的突出风险，被用于窥探甚至窃取计算机信息系统内的重要、敏感数据或获取系统管理权限，对计算机信息系统的正常运行实施破坏。弱口令问题的长期存在，成为大量境内外网络安全案事件的重要导火索之一，对此类问题的排查整改工作刻不容缓。国家网络与信息安全信息通报中心梳理总结了5类工作中发现的常见、风险突出的弱口令类型，提示广大网络运营单位、个人用户尽快全面清除弱口令，构建并使用强口令，提升系统和数据的安全防护水平。

安全防护提示

弱口令问题既是管理问题，也是技术问题。一方面，网络运营者内部教育培训不到位，系统管理员、普通用户安全意识不足，为图便利而使用弱口令。另一方面，通过系统功能的设计，可强制用户使用强口令、定期更换口令，避免口令被轻易猜测破解。广大网络运营者可通过以下方式防范弱口令问题风险：

2、由系统强制提醒用户定期更换口令，并限制口令更换的间隔时间、限制设置与过去使用的口令相似口令的情况。

3、避免用户将口令设置为常见词汇、用户名、生日等易于猜测的内容。

4、鼓励用户为不同的系统和应用设置不同的口令，避免使用相同口令。

5、设置多因素认证措施，启用验证码、限制IP登录频次等防御暴力破解机制。

6、设置尝试登录失败的次数限制，超过限制后暂时锁定账户或延长下次尝试的时间。

7、定期审计账户的口令使用情况，及时发现并强制纠正可能涉及弱口令的行为。监控异常登录活动，如异地登录、非常规时间登录等，发出可疑行为、异常行为告警并及时响应等。

原文始发于微信公众号（利刃信安）：【两高一弱】“两高一弱”之弱口令