为什么唯一安全的密码是你甚至不知道的密码

赫里斯托·博吉诺夫想让你忘记密码。更确切地说，他想让你从来都不知道密码。斯坦福大学的计算机科学家博吉诺夫和他的同事开发了一种计算机程序，可以将密码植入人的潜意识中，也可以在潜意识中检索密码。这项技术可以让高度戒备的政府特工无法透露密码；特工实际上并不知道密码。最终，潜意识密码的使用甚至会渗透到我们其他人身上。考虑到密码保护的不稳定状态，这可能很快就会发生。

安全公司 StrikeForce Technologies 的首席技术官 Ram Pemmaraju 表示：“密码的问题在于它们很容易被破解。”破解密码的工具（如恶意软件）很容易获得。新的处理器和开源软件可以在几天甚至几小时或几分钟内破解加密密码。以一个包含大小写字母、数字和符号的七个字符的密码为例。五到十年前，普通计算机需要 1,000 多年才能猜出它。如今的家用计算机可以在大约一个月内完成。由于计算机能力的不断提高，一些专家建议使用 20 到 30 个字符的密码。但人类的懒惰也是一个巨大的问题。谁愿意记住一个 30 个字符的密码？最近的一项研究发现，5% 的密码是“password”的某种变体。

但是，如果一个人能够下意识地记住密码，他就再也不必费心去记住它了。他不会意外忘记它。他也绝不会把它写在便签上让别人找到。这些就是 Bojinov 今年夏天在著名的 USENIX 安全研讨会上所考虑的好处，他在会上展示了他的研究成果——这是首次表明人们可以下意识地存储密码并从脑海中检索密码。在实验中，参与者通过玩电脑游戏来学习密码。屏幕上，黑色圆圈从六列的顶部到底部一个接一个地落下，六列分别标有 S、D、F、J、K 和 L。当一个圆圈到达底部时，玩家输入与该列相对应的字母。这个游戏需要近 4,000 次击键，大约需要 30 到 45 分钟才能完成。玩家不知道，但游戏包含一个密码——一个由 30 个字母组成的序列，他们输入了 105 次。等到玩家完成游戏时，他们对密码已经非常熟悉，甚至有点熟悉，但他们仍然无法识别它，更不用说背诵它了。（平均而言，他们给密码的熟悉度评分为 6 分（满分 10 分），给随机密码的熟悉度评分为 5 分（满分 10 分）。）

5% 的密码是“password”的变体。为了使用密码，参与者玩了 5 到 10 分钟的游戏。这一次，软件比较了他们输入真实密码和随机生成的 30 个字母序列的准确度。71% 的参与者在真实密码上的得分高于假密码。两周后玩这个游戏时，61% 的参与者得分更高。

将来，人们可以在早上使用类似的游戏登录电脑。但 Bojinov 提醒说，这项工作仍处于初步阶段。他说，对于大多数人来说，学习过程太长了，所以他目前专注于磨练这项技术，以适应高安全性的情况——在这些情况下，45 分钟的密码仪式是值得的。他建议将该系统用作二次身份验证的一种形式，替代现在重置电子邮件帐户密码所需的安全问题。无论应用是什么，Bojinov 说研究人员仍然需要回答有关该技术的关键问题。他们如何才能让更多人使用它？加快这一过程的最佳方法是什么？潜意识密码能持续多久？

这些问题的答案可能会导致密码保护出现有趣的变化。数据保护公司 SafeNet 的首席技术官 Russell Dietz 表示，当前的策略是确保系统既不受人类的聪明才智影响，也不受人类的失误影响。“你想证明某人的身份，同时消除薄弱环节——人类用户本身，”他说。但正如 Bojinov 的研究表明，人类经验可能是任何其他人或计算机都无法伪造的东西。