暗网不只是黑产基地 Facebook从黑市购买口令以保护账户安全

作为体量巨大的数据饱和公司，facebook成功规避了其他很多主要web公司曾遭遇过的安全丑闻、数据泄露和被黑事件，是十分令人瞩目的成就。

11月9号在里斯本举行的web峰会上，该公司首席安全官阿列克斯·斯塔莫斯称，保持facebook不受损害，和保证其安全，是两码事。安全就是打造围墙挡住威胁，巩固防御。但对斯塔莫斯来说，安全还不止这些。

“我们可以打造非常安全的软件，但人们依然受到损害。”

斯塔莫斯在2015年从雅虎跳槽到facebook，如今领导着该社交网络公司的一支团队，努力领先黑客和其他威胁一步，在麻烦发生前掐灭苗头。他面对的最头痛的事情，就是弱弱的口令。

口令的重用是造成互联网上伤害的首要原因。

当口令批量被盗并在黑市上交易，它们中有多少是相同的就很明显了——“123456”及其连号数字兄弟伙，就是罪魁祸首。如果你用的是此类口令，那你的账户就自动对攻击开放了。这正是facebook渴望帮你避免掉的。

斯塔莫斯透露：为核查facebook用户没有选择这些常用口令，该公司从黑市购入黑客售卖的口令，与网站所用的加密口令进行交叉参照。该任务计算量大，但其结果让facebook可以警告万千用户他们的口令因不够强壮而需要更换。

facebook提供了一大堆工具供用户捍卫账户安全，从传统的双因子身份验证，到朋友面部识别。但对斯塔莫斯来说，这尚不足以保证人们不受侵害，只是解决方案的一部分。

“即便我们提供了这些选择，为那些选择不使用它们的人设想，是我们的责任。”

该公司的做法之一，就是将机器学习算法应用到facebook的社交图谱上，以确立你的账户活动是否涉嫌欺诈。工作中目前用到的另一个概念，解决的是账户恢复问题。一旦黑客成功入手你的邮箱，他们很容易通过口令重置选项俘获你的facebook账户。因此，与之相反，facebook希望人们允许自己的亲密朋友来替他们验证账户恢复请求。

“用户名和口令是来自1970年代大型机架构的古董，它们可不是为2016而生。”

本文转自d1net（转载）