第419章 向懒惰致谢

    其实在世界的各个角落，有无数人盯着CIA的系统，我相信，一定有人成功入侵过。这其中一部分人被人抓住了，但一定也有一部分人逃脱了，没有人会知道——在1970年代，英国的一家银行失窃了，因为对钥匙的管理疏忽，所以窃贼在下班后从正门大摇大摆的进了银行，把保管箱用气焊设备打开，拿走了其中一大部分财物，事后银行统计，只有五分之一的客户资产幸免于难。银行提出的赔偿请求却被大多数客户拒绝了，因为客户拒绝告诉银行自己在保管箱里放了什么东西。

    于是这一起案子就成了一个悬案，到今天也没有破解，美国人甚至把整个过程拍成了电影。

    我的意思是说，即使CIA发现有人入侵，并发现一部分资料丢了，也绝不会向外公布的。这有充分的事实可以证明，从来都是黑客被抓的时候，官方质控他入侵了CIA，但很少有CIA的官员蹦出来对公众说，我们的某某数据库被入侵，某些信息变得不安全。作为一个让民众信任的部门，不会说出这样招人嘲笑的话。

    老米找我试图入侵CIA，其实我也试过去寻找一个入侵过CIA又全身而退的人。但是我无法找到，这样的神人只存在于传说之中，如果CIA没法找到，我更没法找到。

    但一定有，比如CIA的这个系统架构，是谁发布在网上的？如果没有人对整个系统极度了解，又怎么会知道架构？

    我按照短笛方面给我提供的生成器，生成了这几个人的ID。随后我找到了CIA的对外接口，用这几个ID尝试。

    只有7个ID是存在的，其余几个不存在，也可能是生成错了，这意味着我的机会变少了。

    CIA遵循着世界上最严格的密码规范：至少要有8位，必须有大写、小写、数字、字母四个之中的三个，不能有连续的三个数字或者字母，不能是牛津字典中有含义的单词。

    这些条件限制下来，剩下的密码似乎只能是随机字符串。

    这还不够，所有的密码，每35天必须更换一次，新密码和之前三次修改的密码不能相同。

    这种密码的定义规则，目前被世界各大银行和高安保措施的公司使用，思海的密码规范也采纳了一部分CIA的规范，但没那么严格，比6个月改一次密码就行。

    至于CIA的工作环境，采用的是白名单制度，不过也允许受限制的外网登录，我手上的这些ID可以试一试这条通路。

    我手上有这七个人的基本资料，我把基本资料输入了密码分析软件，软件对每个人的ID都给出了最可能的10个密码。

    但我认为这些密码都不靠谱，多半都是和生日、电话号、或是姓名相关，现在密码规则规避了这些，所以应该另辟蹊径。

    用这款软件来破解一个通讯录密码还差不多，破解CIA，似乎想用指甲刀杀老虎。

    第一个ID已经输入了，我想了很久很久，试了第一次，失败了。

    第二第三次也都失败了。

    ……

    试到第三个ID的时候，我觉得之前的思路都不对，于是我换了一个思路，第一次、第二次、第三次。

    页面开始加载，我登录进去了！

    我看了这个人的名字，叫Zoe，这个名字好怪，不过我得感谢这个人，感谢这个人的思路。

    八位无规则的密码，通常都是无序的，但是对于一个工作了10年的人来说，每35天更换一次密码并记住，也是个颇为麻烦的事情。

    所以越来越多的老油条，开始想一个省力的办法。比如当初CSND密码泄漏，使用率最高的密码就有

    qazwsx，因为那是键盘最左侧的两排。我有一些客户，在银行工作，他们的密码要求和CIA差不多，必须8位，必须一个月一换。于是他们相出了一个聪明的办法：用最左面两排，加上数字键，正好是8个密码，要求要包含大小写？那简单，在按第一排的时候加个Shift按钮就好了。

    于是，!QAZ2wsx这样看起来很是复杂的密码就这么生成了。到第二个月要换密码的时候，再换第二排，于是密码就变成了@wsx3edc，这种密码写成明文看着很复杂，但实际上只是键盘上左起第二排和第三排的按钮。

    密码30天一换，那么就第二排、第三排、第四排……到第五排的时候，第一排密码又可以用了。所以，这是个无限循环，又不会忘记，即使忘记了是第几排，从头开始试，在6次之内通常都会找到正确密码。

    这个Zoe看来是个懒惰的人。其实对于需要频繁换密码的人来说，记忆密码是一件痛苦的事情，找简便方法几乎是个本能。我也一样，我也曾遇到过这种一个月换一次密码的工作环境，我的解决方案是用做了个表随机生成，放在手机里。不过这种方法还是有一定的风险：有一天手机没带，我无论如何想不起密码——因为我根本就没记。在客... -->>
本章未完，点击下一页继续阅读