<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/9-0_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">申請帳號等同把個資傳到網路上，如果沒有用高強度的密碼保護，那你的個資就像在網路上裸奔，所有人都看得到你的祕密。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<p>大家都記得 5 月第二個星期日是母親節，但可能很少有人知道 5 月第一個星期四是「世界密碼日」（World Password Day）。這個由國際大廠英特爾（Intel）在 2013 年設立的節日，就是為了強調設置可靠密碼的重要性。</p>
<p>&nbsp;</p>
<p>在現今高速發展的網路時代，不論是購物、租屋、求職，還是繳費申辦業務，幾乎所有活動都透過網路處理，這也讓註冊新帳號和密碼成為家常便飯。然而，密碼太複雜記不住，密碼太簡單又存在資安問題，在盜取帳密事件層出不窮的現在，不當設置密碼帶來的風險有哪些？又有什麼工具能夠協助我們應對？</p>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>弱密碼與強密碼的區別</b></span></h2>
<p>帳號密碼是網路上個人的身分驗證機制，也是保障資訊在網路流通隱私的一層重要關卡，但過於單薄的密碼也可能反過來成為這項機制的破口。話說回來，究竟什麼樣的密碼才算是弱密碼（Weak Passwords）？</p>
<p>&nbsp;</p>
<p>從定義上來說，弱密碼指的就是容易遭破解的密碼。不論是能被軟體暴力破解，或是輕易被猜出的密碼，都歸在此類。長年以來，資安相關機構對弱密碼的研究發現，除了最簡單的「123456」、「password」，及常見的鍵盤臨近鍵組合「qwerty」之外，許多人都傾向使用與個人資訊相關的數字組合，或是帳密相關字詞的組合來設置密碼，或是在多個帳號間使用同一組複雜密碼，而且沒有定期修改密碼的習慣。這些傾向也是為什麼即使有時密碼在長度、複雜度上都符合設定時的「建議強度」，實際上仍有極高的風險被破解。</p>
<p>&nbsp;</p>
<p>儘管弱密碼的資安概念已經問世許久，相關機構及資安專家也持續不斷強調其重要性，但可能是頻繁設置帳密帶來的疲乏，加上對個人隱私保護的不重視，許多人在密碼設置及保護的習慣上仍未出現太多轉變。在資安廠商 Specops Software 今（2023）年 3 月公布最新的《弱密碼研究報告》（Weak Password Report）中，分析 460 萬個已洩露的密碼，發現經典的「admin」、「password」、「welcome」等單字變體，至今仍是大眾最愛使用的密碼；而也有高達 24％ 的密碼長度集中在 8 個字元，不超過 12 個字元的密碼更占了將近 88％。</p>
<p>&nbsp;</p>
<p>這種對密碼安全的漠視也不僅體現在個人身上。在今年 1 月，美國監管機構調查美國內政部（United States Department of the Interior, DOI）帳密安全性，就發現 DOI 用戶密碼約有 16％ 在最初 90 分鐘測試中就能輕易破解。整體而言，能使用標準加密方法破解的活躍密碼高達 21％，其中更有 4.75％ 僅基於「password」一詞微調，像是簡單的「Password1234」，而這些都還是符合該局對密碼複雜性的要求。</p>
<p>&nbsp;</p>
<p>由於監管機構所使用的破解裝置只花費不到 15,000 美元打造，卻能破解 288 個有著更高權限的帳號和 362 個高級僱員的帳號，促使監管單位敦促美國內政部更重視密碼安全，徹底實行美國政府長年以來持續推動的多因素身分認證（Multi-Factor Authentication, MFA）機制，提高部門營運安全。</p>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>密碼外洩影響的不僅是個人</b></span></h2>
<p>儘管帳密看似保障的是個資隱私，但在萬物聯網（Internet of Everything, IoE）時代，過於單薄的密碼為駭客提供更便捷的入侵管道，影響範疇不僅是自身，也包括企業和供應鏈。2022 年，資安調研機構 Verizon 的報告指出，約有 81％ 的數據洩露是源自於密碼遭駭或設定弱密碼。臺灣過去幾年也曾發生多次公部門或企業敏感資訊外洩事件，與弱密碼導致資通系統遭破解直接相關。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/9-1_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">弱密碼不只影響個人，甚至可能導致整個系統癱瘓。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<p>台灣電腦網路危機處理暨協調中心（TWCERT）林志鴻組長指出，一般而言，資料外洩多與系統管理者沒有做好權限管控有關，在使用預設密碼、弱密碼，或是未要求帳密即可存取資料的情況下，駭客就能取得系統內的敏感資訊。設置弱密碼會讓攻擊者得以透過暴力手段破解帳號權限，進而存取相關服務。一旦受駭帳號具備系統管理員權限，可能導致系統資料遭竊取、竄改之外，或是系統服務停擺。</p>
<p>&nbsp;</p>
<p>至於有大量用戶的網站，在一兩個帳密被盜後，就可能發生提高特定帳號權限與平移入侵，藉此竊取大量個資的情況。林志鴻組長認為，這往往也是系統未做好權限管控或存在資安漏洞所造成。企業必須落實敏感資料權限管控，運用高強度密碼、部署防火牆或 Web 防火牆來保護系統，定期進行弱點掃描，並更新系統與應用軟體，才能確實減少系統遭駭風險。</p>
<p>&nbsp;</p>
<p>而對於近期帳密與個資外洩，導致數據在暗網遭到非法販售的新聞，資通安全研究院孫偉哲副主任強調，其實個資販售無論在暗網或明網都一直存在，但因有心人士可能將各處蒐集到的資訊組合、直接上架販售，通常難以判斷資訊的正確性與時效性。再者，這類網站服務主機往往並非架設在臺灣本土，難以遏止有心人士販售行為。因此，除了要求企業善盡客戶個資保護責任，也只能由中央目的事業主管機關依《個人資料保護法》針對所轄領域企業進行行政檢查，確認其個資防護機制是否落實，並敦促強化、改善。</p>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>避免弱密碼風險的關鍵：培養資安意識</b></span></h2>
<p>在破解工具及手段持續演進下，帳密盜取看似防不勝防，但其實還是有許多方法及工具能降低風險。除了利用密碼產生器、密碼管理員設置密碼，避免使用個資和常見單字或數字組合之外，使用者也可定期更改密碼。</p>
<p>&nbsp;</p>
<p>另外，還有無密碼系統、雙重認證（Two-factor authentication, 2FA）、多因素身分認證等新技術，讓使用者可以透過帳密、生物特徵、一次性認證碼等多重認證機制，保障授權安全性。孫偉哲副主任指出，目前最新型態的認證技術主打「零信任」（Zero Trust）原則，脫離傳統內外網邊界與權限的概念，依循「永不信任，一律驗證」的原則，針對每一筆存取都進行完整確認才放行，確保認證有效性。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/9-2_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">不只需要密碼，還需要雙重認證才能確保安全。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<p>然而，技術始終只是輔助，要確保帳密安全，還是得看使用者怎麼做。孫偉哲副主任指出，儘管多因素身分認證技術發展已相當成熟，能有效確保使用者認證存取的安全，但在牽涉到大量個資的情況下，還是得仰賴提供服務的企業廠商善盡個資防護之責。這也是為什麼，在他看來，不論是個人或企業，個資防護最重要的還是得先具備「資安意識」——唯有理解保護個資的重要性，才能更好地推動資安觀念。</p>
<p>&nbsp;</p>
<p>在個人面向上，除了對於來自簡訊、郵件等的社交工程攻擊（Social Engineering Attack）有所警覺之外，也要在點選連結、輸入帳密或個人資料前，先確認來源網站是否偽冒，避免在不明網站輸入個人資料，或使用相同帳號密碼註冊不同網站，才能降低單一網站外洩所衍生的風險。</p>
<p>&nbsp;</p>
<p>在企業面向上，孫偉哲副主任則建議企業針對內部高機敏性資料導入防護機制、即時更新系統，在對外服務主機上線前，應做好源碼檢測，定期執行滲透測試、弱點掃描等防護作業，並且盤點企業整體網路架構與高機敏性資料流，包含資料存取架構、存取方式、存取權限等，儘量以最小權限開放、限縮高權限帳號使用，並且確實留存系統和應用程式日誌，方便需要時供查詢、追溯。</p>
<p>&nbsp;</p>
<p>就像所有的資安措施一樣，任何密碼安全措施提供的保障也都不是絕對的，但多一點心思總是能減少一分風險。在大數據時代，所有人的資料都有價值，如果不希望個資在網路「裸奔」，或是被當成破口，影響任職企業或身邊的親朋好友，最好還是在設置密碼時多想幾分鐘——至少像 123456、qwerty 這種對於駭客來說「永不過時」的弱密碼，還是先放棄吧！</p>
<p>&nbsp;</p>
<p>（客座總編輯｜國家資通安全研究院 林盈達副院長；研究顧問團隊｜國家資通安全研究院 孫偉哲副主任、台灣電腦網路危機處理暨協調中心網資組 林志鴻組長；責任編輯｜曹盛威、劉品萱）</p>
