網(wǎng)絡(luò)安全是國家安全的一項基本內(nèi)容，隨著網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，網(wǎng)絡(luò)安全威脅也日益增多。其中，“兩高一弱”（高危漏洞、高危端口、弱口令）猶如潛伏在網(wǎng)絡(luò)世界的“定時炸彈”，時刻威脅著我們的信息安全和個人隱私。
其中，密碼過于簡單，如連續(xù)數(shù)字、電話號碼、姓名生日等組合形成的弱口令，不僅極易被猜中或破解，還有可能遭到境外黑客攻擊，成為網(wǎng)絡(luò)安全防護中最薄弱的突破口。在日常的滲透測試及網(wǎng)絡(luò)攻防演練過程中，通過弱口令獲取權(quán)限的情況甚至超過90%，各個組織都存在不同程度的弱口令，一旦用戶的賬號密碼泄露或被破解，將導(dǎo)致大量的內(nèi)部信息泄露，更有甚者，會給一些重點涉密部門帶來泄密風(fēng)險。
一、什么是弱口令
網(wǎng)絡(luò)安全“三高一弱”高頻事件中的“弱”指的便是弱密碼，專業(yè)名稱為“弱口令”。
一般來講，口令的強度分為三種，即弱/中/強三級。弱口令是對易被猜測或破解的計算機信息系統(tǒng)口令（密碼）的統(tǒng)稱，這樣的口令往往由簡單字符組合而成，自身復(fù)雜度、長度不足。
二、弱口令危害
?個人賬戶被盜
弱口令非常容易被黑客破解，一旦賬戶被盜，黑客可以訪問個人信息，如銀行卡、電子郵件、社交媒體賬戶等，造成財產(chǎn)和個人隱私的損失。
?信息泄露
信息系統(tǒng)、網(wǎng)站和虛擬機的管理員采用弱密碼、默認密碼和通用密碼，或者長期不進行修改，容易被黑客使用暴力破解軟件直接破解本地密碼，導(dǎo)致服務(wù)器被黑客控制，成為他們進行不法行為的跳板或僵尸網(wǎng)絡(luò)的一部分，或服務(wù)器內(nèi)部資料泄露，造成群體性危害事件等。
三、常見的弱口令類型
◆連續(xù)或重復(fù)的數(shù)字：如123、123456、987654、111、222333等。
◆連續(xù)或重復(fù)的字母：如aaa、abc、abcdef、zyx等。
◆鍵盤上常見的連續(xù)按鍵：如：1qaz@wsx、qwert、asdfghjkl;、！@#、147258369（數(shù)字鍵盤）等。
◆日期或年份：如800128（生日）、2012、19251120等。
◆與用戶相關(guān)的名稱信息：如changtai（公司名稱）、zhangsan（姓名全拼）、zjl（姓名縮寫）、oa（產(chǎn)品名稱）、admin（用戶名）、手機號等。
◆具有特殊含義的字符串：如520、1314、woaini等。
◆其他常用的字符串：root、abc123！、administrator、test等。
四、弱口令安全事件案例
?案例一
2024年6月12日，梧州網(wǎng)警工作中發(fā)現(xiàn)，某學(xué)校運營的信息系統(tǒng)存在弱口令漏洞的情況，遂前往現(xiàn)場進行網(wǎng)絡(luò)安全檢查及技術(shù)檢測。
經(jīng)查，該學(xué)校涉及安全隱患的信息系統(tǒng)是一款記錄學(xué)校師生考試成績信息的系統(tǒng)，該學(xué)校為方便老師進入系統(tǒng)查詢，設(shè)置了弱密碼。進一步檢查發(fā)現(xiàn)，該學(xué)校網(wǎng)絡(luò)安全制度缺失，無網(wǎng)絡(luò)安全防護技術(shù)措施，無網(wǎng)絡(luò)安全應(yīng)急預(yù)案，漏洞掃描顯示信息系統(tǒng)存在大量高危漏洞，被網(wǎng)絡(luò)攻擊及數(shù)據(jù)泄露的安全隱患極大。
根據(jù)相關(guān)法律法規(guī)，梧州網(wǎng)警對其進行了行政處罰，并責(zé)令其立即整改。
?案例二
國家安全機關(guān)工作發(fā)現(xiàn)，某境外論壇上出現(xiàn)了我國某企業(yè)的內(nèi)部數(shù)據(jù)，數(shù)據(jù)內(nèi)容包含該企業(yè)多個合作客戶姓名、身份證號、家庭住址以及手機號碼等個人隱私信息，如落入不法分子手中將造成嚴重安全隱患。經(jīng)核查，該數(shù)據(jù)之所以被竊取，是因為企業(yè)網(wǎng)絡(luò)管理員在開展運維測試后，未及時刪除測試賬號，而該賬號恰好具備管理員權(quán)限且口令極易猜解，導(dǎo)致一些客戶的數(shù)據(jù)泄露。
?案例三
今年8月，國家安全機關(guān)接到某單位報警稱，其單位在官方網(wǎng)站公布對外電子郵箱賬號用于聯(lián)絡(luò)收信，為方便查閱歷史郵件，該單位工作人員將所有郵件及附件長期存儲于郵箱云空間。近期，郵箱頻繁出現(xiàn)異地登錄告警。國家安全機關(guān)核查發(fā)現(xiàn)，該郵箱為單位公用郵箱，為方便工作人員使用，登錄密碼為單位對外辦公的固話號碼且長期未修改，導(dǎo)致郵箱密碼被境外黑客猜解，進而郵件數(shù)據(jù)被竊取。
五、弱口令的防范
口令相當(dāng)于進入家門的鑰匙，弱口令就等同于把鑰匙放在家門口，當(dāng)他人擁有這把鑰匙時，我們的個人安全、隱私、財物都是非常危險的。
拒絕弱口令，使密碼更安全，那我們需要注意哪些呢？
①設(shè)置密碼長度至少為8位，宜同時包含大小寫字母、數(shù)字、特殊字符，提高密碼的復(fù)雜度，不使用設(shè)備或賬戶初始密碼及常見的弱口令密碼。
②設(shè)置復(fù)雜密碼后，并非一勞永逸，隨著時間的推移，密碼仍存在被破譯的可能性。重要網(wǎng)絡(luò)信息系統(tǒng)應(yīng)定期（至少3個月內(nèi)）進行密碼更改，同時要避免數(shù)套密碼輪換修改。
③在不同平臺及系統(tǒng)避免使用相同的密碼，防止一個密碼泄露后其他系統(tǒng)被“撞庫”攻擊連帶攻破，導(dǎo)致泄密面進一步擴大。
④計算機系統(tǒng)及網(wǎng)絡(luò)賬戶通常具備安全審計功能，可查詢歷史異常記錄，定期檢查日志，及時發(fā)現(xiàn)賬戶異常行為，防止因密碼泄露導(dǎo)致內(nèi)部數(shù)據(jù)、信息被持續(xù)竊取。
⑤禁止在服務(wù)器、辦公電腦中存放網(wǎng)絡(luò)設(shè)備資產(chǎn)信息及登錄口令，建議存在移動硬盤中。針對安全運維人員，應(yīng)強制賬號密碼強度必須達到一定的級別。
來源：揚州職業(yè)技術(shù)大學(xué) 肇慶+
