密码风险不容忽视，筑牢密码安全防线

在当今的数字化社会，密码作为个人和商业信息安全的关键，其重要性不容忽视。随着互联网和数字技术的广泛应用，密码已成为大众信息系统和平台的核心防护机制。尽管密码的重要性人尽皆知，但许多个人和企业在密码管理方面依然存在严重漏洞，使用简单易猜的“弱口令”成为了信息安全的重大漏洞，甚至会引发重点涉密部门的信息泄露风险。近期，国家安全机构曝光的一系列密码安全事故，向我们发出了严肃的警示。企业需要采取更有效的密码管理措施，筑牢信息安全的第一道防线。

01.企业遇到的挑战

内部数据泄露
由于网络管理员未及时删除测试账号，且账号具备管理员权限，密码易猜解，导致客户数据泄露。并且密码强度不足就会是另一个明显的问题。管理员账号通常具有极高的操作权限，如果密码设置过于简单，极大地降低系统的整体安全性，使其更容易受到外部攻击者的攻击和利用。客户数据的泄露不仅会给公司造成严重损失，还可能带来巨大的经济损失和法律风险。在数据隐私和安全性备受关注的背景下，此类事件可能会引发监管机构的调查和处罚此外，客户对数据隐私的高度重视也使得此类事件极易引发客户信任危机，导致客户流失和市场稳定性的下降。

邮箱数据被窃取
邮件系统是企业通信的核心之一，通常包含大量敏感信息，如内部机密、商业合同、财务报告和客户沟通记录。这些数据一旦被外部黑客获取，可能面临严重的后果，包括企业信息外泄、商业秘密被盗、客户数据丢失，甚至可能引发法律诉讼。某单位公用邮箱使用固话号码作为密码，长期未修改，结果被境外黑客破解，邮件数据被盗。使用电话号码作为密码本身就极为不安全。固定电话号码是公开信息，很容易通过简单查询或社交工程手段获取。黑客利用这一点，通过暴力或破解其他技术手段，很容易入侵该邮箱系统。随着时间的增加，弱密码的风险成倍增加，黑客入侵的原因也随之而来。

监控系统遭攻击
默认密码是系统在初始设置时使用的简单密码，通常为公开信息，很容易被黑客通过互联网搜索或猜测到。黑客能够轻松绕过系统防护措施，获取对监控系统的完全控制权。一旦监控系统被攻破，黑客就可以实时监视摄像头的画面，跟踪公司的内部动向，甚至可能获取到敏感的数据信息。报道中提及的跨境物流公司，监控系统收到攻击，可能引发严重的商业后果，例如盗窃、走私等犯罪活动。严重的是，如果黑客将这些数据泄露或提供给境外势力监控，可能导致敏感的国家安全信息外泄，威胁国家的经济与边境安全。

02.国家安全机关提示

数字化时代，有关单位和个人应提高信息安全意识，履行网络安全义务，增强网络防护，避免使用弱口令，防止数据被窃取、泄露，影响国家安全。

使用复杂密码。设置密码长度至少为8位，宜同时包含大小写字母、数字、特殊字符，提高密码的复杂度，不使用设备或账户初始密码及常见的弱口令密码。
定期更改密码。设置复杂密码后，并非一劳永逸，随着时间的推移，密码仍存在被破译的可能性。重要网络信息系统应定期（至少3个月内）进行密码更改，同时要避免数套密码轮换修改。
避免密码串用。在不同平台及系统避免使用相同的密码，防止一个密码泄露后其他系统被“撞库”攻击连带攻破，导致泄密面进一步扩大。
定期检查账户状态。计算机系统及网络账户通常具备安全审计功能，可查询历史异常记录，定期检查日志，及时发现账户异常行为，防止因密码泄露导致内部数据、信息被持续窃取。
加强技术防范措施。反间谍安全防范重点单位应当按照反间谍技术防范的要求和标准，采取相应的技术措施和其他必要措施，加强对要害部门部位、网络设施、信息系统的反间谍技术防范。

03.基于 Authing 打造密码基础支撑设施底座

灵活配置密码规则

禁止弱密码

为了进一步提高密码安全性，可以禁止用户使用常见的、容易被猜测的密码组合，如 “123456”、“password”、“admin” 等。这些密码往往是攻击者首先尝试的目标，极易被破解。因此，系统在用户设置或更改密码时，应进行实时检测，禁止使用已知的弱密码和常见的组合，提醒用户选择更为复杂和安全的密码。

密码强度设置

根据企业的实际需求，密码位数可以灵活设置在 1-35 位之间，自由调整密码的长度要求。并且 Authing 支持多种密码复杂度要求类型，包括数字、大写字母、小写字母、符号等。企业可以根据自己的安全标准和政策要求，灵活选择密码复杂度类型，并根据实际情况进行组合设置，满足企业不同层次的安全需求，保障账户和系统的安全性，有效防范各类安全威胁和攻击。

可校验密码强度
校验密码强度是确保用户设置的密码足够安全的重要手段。密码强度校验机制可以通过评估密码的长度、复杂度、字符多样性等因素，实时给出密码强度的评分或提示。例如，当用户输入密码时，系统可以即时显示密码强度指示器，提示密码的安全等级，如“弱”、“中”等。通过这种实时反馈机制，用户可以直观了解其密码的安全性，并及时做出调整，从而提高整体密码的防护能力。

密码全生命周期管理
Authing 基于“国产商用密码”技术，构建全生命周期安全防护和管控机制，为各行各业实现数智化发展保驾护航，符合信创、等保、密评等要求。密码全生命周期管理涉及从密码创建、使用、到废弃的整个过程，确保密码在整个生命周期内始终保持高水平的安全性。

强制修改密码周期

为了提高账户安全性，系统应实施强制修改密码周期的策略。这意味着用户必须在一定的时间间隔内更改他们的密码，例如每 90 天或 180 天。强制修改密码周期可以有效减少因长期使用相同密码而带来的安全风险，防止潜在的密码泄露或被破解的可能。实施这一策略时，Authing 能确保用户在周期结束前能够顺利完成密码修改过程，避免因忘记修改而导致的账户锁定或其他使用不便。

密码不可重复周期
为防止用户频繁重复使用相同的密码，企业可以添加设置密码不可重复周期，确保在一定时间内或在一定次数的密码更换内，用户不能使用以前使用过的密码。例如，可以规定用户在过去的 5 次密码修改中，不能重复使用任何一个之前使用过的密码，能够防止用户因懒惰或记忆力问题而重复使用旧密码，提升企业内应用系统安全性。

密码到期提示

Authing 为企业提供密码到期提示功能，在用户密码即将过期时提前通知用户。我们一般会在密码到期前的 7 天、3 天和 1 天进行提示，以确保用户有充足的时间进行密码更新。密码到期提示可以通过多种方式通知用户，以确保用户能够及时收到提醒并采取行动。常见的通知方式包括：

1、电子邮件通知：发送到用户注册的电子邮件地址，包含密码即将到期的信息和修改链接。
2、短信通知：通过短信发送密码到期提醒，特别适用于移动设备用户。
3、系统登录提示：用户登录系统时，在仪表板或主页上显示密码即将到期的提示信息。

个性化到期提醒方式
我们深知每个企业的需求各不相同，有些客户可能需要更灵活、更个性化的通知方式。因此，我们提供了 webhook 和事件支持，使企业可以根据自己的需求定制通知流程。通过 webhook，Authing 可以将密码到期提醒推送到客户的自有系统中。客户只需配置一个接收 URL，当用户的密码即将到期时，Authing 会自动发送请求到该 URL，触发客户自定义的业务逻辑，与客户现有的工作流程无缝对接，例如将提醒消息推送到企业的 OA 系统、办公软件，或触发其他内部流程。此外，Authing 还提供事件支持，允许客户订阅与密码相关的事件。这些事件可以通过我们的 API 进行订阅，当触发这些事件时，系统会自动向客户的应用发送相应的通知。客户可以基于这些事件开发更复杂的通知和处理逻辑，例如通过集成到内部系统进行二次提醒，或者结合其他安全策略进行操作。

覆盖各类应用场景密码谱系
在当今数字化和信息化的世界中，不同的应用场景对密码技术有着不同的需求。为了确保各类系统和数据的安全性，需要针对性地设计和应用密码策略。

密码分级分类策略
Authing 建立密码“分级分类”机制，实现密码细粒度、多层级、全过程的安全保护策略。企业可以根据不同部门和岗位的具体需求，自定义相应的密码策略，确保在满足安全需求的同时兼顾使用便捷性。密码策略依据不同的安全需求进行分类和分级。

1、对于处理敏感数据和关键业务的部门，如财务、IT、研发和高层管理，要求采用高安全级别的密码策略，包括至少 12 位的密码长度、复杂度要求（必须包含大写字母、小写字母、数字和特殊字符）、每 90 天强制更换密码以及严格的账户锁定策略。
2、中层管理和涉及部分敏感信息的部门，如市场、销售和客户服务。虽然不直接处理最机密的核心数据，但他们的工作涉及大量的敏感信息和业务数据，可以选择采用中高安全需求的密码策略，例如密码必须至少包含 10 位字符、每 120 天强制更换一次密码等。
3、对于普通员工和不涉及敏感信息的部门，如行政、人力资源和一般运营，采用一般安全需求的密码策略，确保基本的安全性和易用性。

密码执行策略优先级判断
在创建的所有密码策略中，可根据企业需求调整密码策略优先级。密码策略都会按序执行并根据设定应用于相应的部门或用户群体。如果某个密码策略在特定部门或用户群体中无效，则会继续尝试执行下一个密码策略，确保对不同部门和用户群体的特定密码需求能够得到满足。当所有特定密码策略都无法应用或无效时，将会执行最后的默认策略。