/ 中存储网

Facebook从黑市购买口令以保护账户安全

2016-11-17 12:37:51 来源:安全牛

作为体量巨大的数据饱和公司,Facebook成功规避了其他很多主要Web公司曾遭遇过的安全丑闻、数据泄露和被黑事件,是十分令人瞩目的成就。

11月9号在里斯本举行的Web峰会上,该公司首席安全官阿列克斯·斯塔莫斯称,保持Facebook不受损害,和保证其安全,是两码事。安全就是打造围墙挡住威胁,巩固防御。但对斯塔莫斯来说,安全还不止这些。



 

阿列克斯·斯塔莫斯

“我们可以打造非常安全的软件,但人们依然受到损害。”

斯塔莫斯在2015年从雅虎跳槽到Facebook,如今领导着该社交网络公司的一支团队,努力领先黑客和其他威胁一步,在麻烦发生前掐灭苗头。他面对的最头痛的事情,就是弱弱的口令。

口令的重用是造成互联网上伤害的首要原因。

当口令批量被盗并在黑市上交易,它们中有多少是相同的就很明显了——“123456”及其连号数字兄弟伙,就是罪魁祸首。如果你用的是此类口令,那你的账户就自动对攻击开放了。这正是Facebook渴望帮你避免掉的。

斯塔莫斯透露:为核查Facebook用户没有选择这些常用口令,该公司从黑市购入黑客售卖的口令,与网站所用的加密口令进行交叉参照。该任务计算量大,但其结果让Facebook可以警告万千用户他们的口令因不够强壮而需要更换。

Facebook提供了一大堆工具供用户捍卫账户安全,从传统的双因子身份验证,到朋友面部识别。但对斯塔莫斯来说,这尚不足以保证人们不受侵害,只是解决方案的一部分。

“即便我们提供了这些选择,为那些选择不使用它们的人设想,是我们的责任。”

该公司的做法之一,就是将机器学习算法应用到Facebook的社交图谱上,以确立你的账户活动是否涉嫌欺诈。工作中目前用到的另一个概念,解决的是账户恢复问题。一旦黑客成功入手你的邮箱,他们很容易通过口令重置选项俘获你的Facebook账户。因此,与之相反,Facebook希望人们允许自己的亲密朋友来替他们验证账户恢复请求。

“用户名和口令是来自1970年代大型机架构的古董,它们可不是为2016而生。”