静态口令会易被哪些攻击威胁

静态口令会易被以下攻击威胁：

• 口令监听：很多网络服务在询问和验证远程用户认证信息时，认证信息都是以明文形式进行传输的，如Telnet、FTP和HTTP等都使用明文传输，这意味着网络中的窃听者只需使用协议分析器就能查看到认证信息，从而分析出用户的口令。如果获取的数据包是加密的，还要使用解密算法解密。

• 截取/重放：有的系统会将服务器中的用户信息加密后存放，用户在传输认证信息时也先进行加密，这样虽然能防止窃听者直接获得明文口令，但使用截取/重放攻击，攻击者只要在新的登录请求中将截获的信息提交给服务器，就可以冒充登录。

• 穷举攻击：也称为暴力破解，是字典攻击的一种特殊形式。一般从长度为1的口令开始，按长度递增，尝试所有字符的组合方式进行攻击。利用穷举攻击获取密码只是时间问题，是密码的终结者。暴力破解理论上可以破解任何密码，但如果密码过于复杂，暴力破解需要的时间会很长。如果用户口令较短，攻击者可以使用字符串的全集作为字典，来对用户口令进行猜测。下面简要分析一下穷举攻击的难度。

• 简单口令猜测：很多用户使用自己或家人的生日、电话号码、房间号码、简单数字或者身份证号码中的几位作为口令；也有人使用自己、孩子、配偶或宠物的名字。在详细了解用户的社会背景之后，黑客可以列举出多种可能的口令，并在很短的时间内完成猜测攻击。此外，很多用户不更改系统或设备的默认用户名和口令，这也使得口令很容易被破解。

• 字典攻击：如果猜测攻击不成功，黑客可以继续扩大攻击范围，采用字典攻击的方法。字典攻击采用口令字典中事先定义的常用字符去尝试匹配口令。口令字典是一个很大的文本文件，可以通过自己编辑或者由字典工具生成，里面包含了单词和数字的组合，或黑客收集的一些常见口令。如果口令就是一个单词或者是简单的数字组合，那么破解者就可以很轻易地破解密码。因此，许多系统都建议用户在口令中加入特殊字符，以增加口令的安全性。

• 伪造服务器攻击：攻击者通过伪造服务器来骗取用户认证信息，然后冒充用户进行正常登录。

• 口令泄露：攻击者通过窥探、社会工程、垃圾搜索和植入木马等手段，窃得用户口令；或用户自己不慎将口令告诉别人；或将口令写在其他地方被别人看到，造成口令的泄露。其中，社会工程学攻击通过人际交往这一非技术手段，以欺骗或套取的方式来获得口令。

• 直接破解系统口令文件：攻击者可以寻找目标主机的安全漏洞和薄弱环节，窃取存放系统口令的文件，然后离线破译加密过的口令，从而得到系统中所有的用户名和口令。

加强密码安全的方法有以下这些：

• 确保服务器密码是唯一的，保证内网每一台服务器的登录密码都是唯一的，不能让不同服务器使用相同的登录密码，以防止一台设备密码丢失连带多台设备；

• 服务器管理员在设置密码时不能设置为自己常用的密码，并且不能将密码记录在自己的移动设备上；

• 使用长密码请不要使用少于12个字符的内容，密码越短，破解它们所需的时间和精力就越少；

• 使用组合不要只是输入单词或短语，利用完整的ASCII编码来完善密码口令；

• 经常更改密码不要长时间使用同一个密码，要经常修改但是不要规律性修改；

• 不用使用服务器默认口令，服务器默认口令都是弱密码很容易就被破解，需要及时更改；