如果需要向大量網站提供隨機、獨立的密碼，密碼管理軟件是個不錯的選擇。但這種方法的致命弱點在于，只需要一個主密碼就可以開啟整個密碼庫。

[[135422]]

然而，一組研究人員已經開發出了一種密碼管理軟件，如果用戶輸入了錯誤的主密碼，它會顯示一個誘餌密碼庫。

這一軟件名為NoCrack，其設計目的是讓黑客發現自己攻擊失敗時更加困難、耗費更多的時間。

作為攻擊者，你不知道哪個密碼庫才是真的。攻擊者沒有其它選擇，只有在網站上對密碼進行試錯。”

密碼管理軟件的一大問題是，這類軟件會把所有密碼存在一個加密文件里。如果攻擊者從受害者的電腦上偷走這個文件，就可以使用它進行暴力破解攻擊。在暴力破解攻擊中，攻擊者會連續嘗試成千上百的密碼。

如果鍵入了錯誤的密碼，攻擊者很容易發現它是錯的。生成的文件是垃圾，因此攻擊者不會通過在線網站服務對密碼進行試錯。對每一次錯誤的嘗試，NoCrack都會生成一份看上去合理的密碼庫，誘餌的上限是無窮無盡的。確認這些登錄信息是否正確的唯一方式就是在網站上一個一個地試。

這種方法“昂貴且緩慢”。

由于大多數在線服務都會限制猜測密碼的次數，攻擊者不會得到很多發現真相的機會。

NoCrack并不是第一個在此領域作出嘗試的軟件。另一個被稱為Kamouflage的軟件與其類似。不過，NoCrack的設計者表示Kamouflage在生成主密鑰誘餌方面存在缺陷。

Kamouflage的誘餌主密鑰是基于真實版本生成的。通過研究誘餌主密鑰，攻擊者可以了解到真實的主密鑰的結構，進而發現它們。NoCrack團隊在這方面做得更好。

NoCrack使用了自然語言編碼(NLE)算法，具有諷刺意味的是，該方法也被用在密碼破解應用上。根據論文中的描述，NLE算法會對比特串進行編碼，得出自然語言中的文本，即使輸入相同，每次得到的輸出也會不同。

研究者發現，如果攻擊者使用基于簡單機器學習的工具，試圖從誘餌密鑰中猜出真實密鑰，NLE會阻止這種類型的攻擊。

不過還有一個巨大的問題：如果用戶錯拼了密碼怎么辦?在這種情景下，軟件也會生成一份誘餌密鑰庫，用戶沒辦法訪問自己的賬戶。

NoCrack團隊表示正在研究解決方案。一個可行的策略是：創建主密鑰的哈希值，并將其鏈接到一張輸入密碼時會顯示的圖片上。合法用戶在碰到錯誤圖片時會意識到問題，攻擊者則不會。另一個策略是，如果密碼只是稍微偏離正確版本，就對它進行自動矯正。

NoCrack還沒有商業化計劃。

原文地址：http://www.aqniu.com/tools/7867.html