雷锋网按：康奈尔、MIT和Dropbox的研究人员在最近的IEEE安全隐私研讨会上发表论文，文章指出在不危及安全的情况下自动更正密码能显著增强可用性，主要是为了避免密码多种字符组成造成遗忘的麻烦。然而，雷锋网担心的是，自动更正密码就意味着陌生人也有可能登录你的账号，那么，该如何平衡效率与安全？雷锋网特约专栏作者——上海交通大学计算机系密码与计算机安全实验室（LoCCS）软件安全小组（GoSSIP），将在文章中告诉你答案。
某天小明正在开心地浏览他最爱的网站，突然间一个一言不合网站竟丢了个登陆框出来。小明一边内心极度不情愿，一边无比熟练地输入密码敲下回车，然而一低头却发现键盘上的大写锁定开着。正当内心抱怨又要重敲一遍的时候，小明吃惊地发现，自己居然登陆成功了。
在反复打开、关闭大写锁定重复登陆了几次，并确定大写锁定键没有坏后，小明发现两个密码都是可以登陆的。这太奇怪了，小明不禁要问，错误的密码都可以登陆，那别人用其他密码也能登陆我的账户吗？我还能在这个网站上放心地玩耍么？
其实，网站只是启用了打字错误纠正(typo correction)功能，除了大写锁定造成的大小写反转(Password -> pASSWORD)外，还可以处理首字母大小写错误(Password -> password)和尾部多余字符(Password -> Password`)问题， 这种机制极大地增加了合法用户登陆的成功率，网站的可用性（usability）大有改善。
然而，大部分的现实应用都存在安全性与可用性之间的权衡，两者此消彼长。因此，在可用性提高的同时，随之而来的安全风险有哪些，我们的账号被陌生人登入的可能性有多大，这些问题都值得关注。
来自康奈尔大学的研究人员在发表于2016年学术界顶级安全研究会议S&P上的“pASSWORD tYPOS and How to Correct Them Securely”一文中，对这些问题给予了解答。
具体来说，这篇文章主要回答了下面三个问题：
在敲入密码时，什么样的typo最常出现，根据帕累托法则（也叫二八定律），自动纠正最常出现的typo类型即可对可用性有很大影响;
typo correction对可用性的影响究竟如何；
typo correction对于安全性的影响如何？
为回答第一个问题，研究人员在Amazon Mechanical Turk上发起了一个密码转录实验。
这里额外介绍下Amazon Mechanical Turk，它是一个线上“劳动力”市场，网站自己的介绍是人工的人工智能（Artificial Artificial Intelligence），任何人都可以在上面发布人力智能任务(HIT, Human Intelligence Tasks，比如识别并录入一张超市小票中所有的条目名称和价格)并提供报价，其他人则可以在其上完成这些任务并获得相应报酬。
（截图来自Amazon）
这个密码转录实验就是请实验者敲入图片中的密码，最后有4300人参与，输入了10w多密码。统计结果发现，排名前三的typo分别是大写锁定（11%）、首字母翻转（4.5%）和在末尾添加字符“.”（4.6%），共占到了所有typo的20%。因此，文章接下来选择这三种typo类型加入到typo correction机制进行研究。
关于引入错误纠正机制对实际可用性的影响，研究人员通过发布一个特殊版本的Dropbox版本，记录用户输入的密码并观察是否登录成功，发现有3%的用户是由于上面提到的三种typo导致登陆失败。而在输入密码错误的用户中，如果三种typo可以自动纠正，则会有20%的用户可以节省至少1分钟的时间。可以看出引入错误容忍机制，对于可用性的提高是有显著影响的。
最后，回到typo容忍机制对于安全性的影响。
对于基于密码的认证系统来说，切实的威胁主要来自两个方面。
第一是服务器被黑，攻击者可以拿到存在服务器上的认证信息，这些信息通常是真实密码经加盐慢哈希后的结果（比如对应于PasswoRd这个密码，服务器上可能存储的就是将其拼接一个16字节随机数据后进行10000次MD5后的结果），而不会存储变换后密码对应的哈希结果。在这种情况下，是否引入typo容忍机制对于攻击者来说其实并无差别，因此对安全性也并无影响。
第二种威胁是远程猜测，攻击者可以不断尝试不同的密码直到登陆成功为止，不过实际中网站都会设定一个安全次数，在攻击者尝试错误密码一定次数(q)后账户就会被锁定。但在这种条件下，引入错误容忍机制的确会给攻击者带来优势。原本攻击者发起1次登陆请求只能验证1个密码是否正确，而错误容忍机制的存在使得攻击者可以一次排除4个不正确的密码，那么攻击者的成功率是否就因此而增加了300%呢？
其实不然，因为用户选择的密码并不是均匀分布的，用户对密码选择的偏向性导致某些字符串是正确密码的概率远大于其他字符串。因此，为了弄清对安全性的实际影响究竟如何，研究人员又做了模拟实验，实验中假定攻击者知道密码的分布情况，并且采取优先选择最可能密码的策略。
结果表明，攻击者分别进行10次尝试，登入某个随机选择的用户账户的成功率在启用了错误容忍机制后从0.79%增加到了0.96%。而在进一步限制容忍策略后（比如若变换后的密码出现的概率较高，则不进行此种变换），成功率更是只从0.79%增加到0.81%，相较于可用性方面带来的提升，这可以忽略不计。
因此，在实际中，实现一个不影响安全性的容忍typo的密码检查方案是可行的。目前，作者仍在继续研究其他可能的typo correction方案，以安全地更正其他类型的typo。所以如果有一天我们真的遇到像小明那样的情况，不必担心，只管尽情享受这个变动带来的便捷吧。
雷锋网注：本文为雷锋网独家约稿，转载请联系授权并标注出处和作者，不得删减内容。
| 相关下载 |
【导读】《Ashen》是一款以多人合作为主的开放世界动作角色扮演游戏，讲述了一名流浪者寻找“家”的故事。《Ashen》于今日在steam平台上发售，一起来了解下吧。--> 详情>>
【导读】《妄想破绽》是一款文字冒险AVG游戏，拥有数十万字的精彩原创剧情，带给大家一段科幻风未来都市的冒险之旅。在游戏中，主角将会拥有双重身份，一起来了解下吧！ 详情>>
【导读】《阿斯加德之怒》是一款3A级体量的VR游戏，它将背景设定在宏大的北欧神话基础上，你将扮演初出茅庐的动物之神，完成宿命的试炼。 详情>>
【导读】《胶佬模拟器》给虚拟世界带来了建模的乐趣。它允许你裁切、组装，然后喷涂和定制作品，从而像现实世界一样构建模型机。 中文详情>>
【导读】《小小大车间》是一款攻城模拟经营SIM游戏，管理你的工人、工作站和机器，规划和生产超赞的产品，让你的小小车间，成长为梦想中的工厂！ 详情>>
【导读】《罪业狂袭》是由南台科技大学六人学生团队使用Unity3D打造的动作游戏，玩家扮演兽族少女将在这和风科幻风格的未来城市中，展开一场义无反顾的复仇血战。 详情>>
十年远征路，漫漫远征情！时光在你我不经意间悄然溜走，一款10年经典的国战王牌马上迎来周年庆了。远征生日快乐，愿你在我们的陪伴下茁壮成长，每年都有新的成绩和收获！悬疑详情>>
11月7日，人类，重返城市。这座绝望封锁的灾变之都，即将展现出它的真面目。而为了能将目前关于城市的线索归集，先遣队推出莱文市情报专题站，城市未知街区和不明变异详情>>
【导读】《暗黑破坏神2重制版》是暴雪对经典RPG游戏《暗黑破坏神2》的重制作品，国外主播Metro此前发表推文放出《暗黑破坏神2（Diablo II）》的启动图标，该作将会和《暗黑破坏神4详情>>
【导读】《细胞迷途》MO:Astray是一款像素风格的横向动作解谜游戏，拥有特殊能力的主角MO将藉由跳跃、黏着和各种特异能力，在怪异混沌的敌人和陷阱环伺之下，突破充满巧思的关卡详情>>
【导读】《派对之后(Afterparty)》是一款冒险类游戏，游戏中玩家开头就会死亡进入地狱，一路上不断的探索，在最后你甚至会遇到大恶魔撒旦，并且和他比拼酒量。 详情>>
【导读】《网咖模拟器》Internet Cafe Simulator是一个网吧业务模拟游戏。 您可以在游戏中建立和管理一个综合的工作场所，通过购买热门游戏来增加人们进入网吧的可能性，或者根详情>>
【导读】《Sole》是一款超现实的冒险游戏，在黑暗笼罩的世界中，您是唯一的光源。漫步在无人居住的环境中，在探索神秘的过去时，用光绘制脚下的土地。探索伟大城市的遗迹，并在您恢复详情>>
【导读】《废墟崛起》是一款小型精致的模拟器游戏。游戏里村庄地形任由你改变，策略性的建立一个攻防皆备的村庄。挡住敌人的攻击，炸毁敌人的基地，喜欢这款游戏的朋友欢迎在99单详情>>
【导读】《反叛公司》是一款玩法刺激趣味经营烧脑的策略类游戏，剧情丰富多样玩法刺激无比，5大地图世界进行挑战闯关，多种模式让你感受不同的玩法，挑战不同类型的策略战争，进行一详情>>
受利好消息刺激，A股市场放量上涨，沪指收复3000点。 10月14日，三大股指集体高开，开盘之后指数一度下探但迅速走高，大金融板块集体活跃，银行、券商、保险等发力，带动沪指重上3000点。详情>>
293-2018B站上市了，二次元会崛起吗？TRENDSBIGGER3月28日晚，哔哩哔哩（B站）携手Lexburner、咬人猫、墨韵、渗透之C君等多名知名UP主在美国纳斯达克宣布正式敲钟上市。据悉此次B站IP详情>>
原标题：天天| 主持人——华丽转身，站上央视舞台的正能量代言人 ——个人简介—— 姓名：天天 性别：男 民族：汉 星座:狮子座 体重：65KG 身高：172CM 所在地详情>>
很多营销型网站需要设置在线QQ客服，方便与来访网站的客户进行沟通，这样大大提高了网站客户的转化率，可以实时在线解决访客问题，那么如何在网站上设置在线的客服QQ呢，下面让我们详情>>
Game234问答中心有网友提出了一个比较有代表性的问题【奇迹8区网站上什么？】，【奇迹8区网站上什么？】具体问题如下：奇迹世界8区网站上什么？小编觉得可能对其他网友也有帮助，所以将此问答整理出来了详情>>
Game234问答中心有网友提出了一个比较有代表性的问题【B站上那个【洛天依-权御天下】视频，叫什么名字？...】，小编觉得可能对其他网友也有帮助，所以将此问答整理出来了,希望对您有帮助。小编为您搜罗详情>>
探索趣味十足的乡村小镇，体验超自由的农场建设，像素风模拟经营手游《奶牛镇的小时光》即将迎来第二次测试。是开荒种地成富农，还是钓鱼收集玩不停，欢迎各位在1月下旬于详情>>
如果有一天武器们能自动战斗，那还要什么勇者？作为铁匠的你才是最强者！在《打造最强名剑》中，你要试着打造各种不同的武器，击败各种奇形怪状的小怪以及每100关都会登场的Boss。通过武器的进化，你能不详情>>
小编为您搜罗的答案:在我们中国是玩不了的。大部分人玩的都是盗版有的还要激活码详情>>
小编为您搜罗的答案:楼主你好，骑砍游戏本体是需要收费的，而Mod则是免费的（部分mod可能会收赞助费不过不是硬性收）。如果你有游戏本体的话，将Mod下载下来放到游戏安装文件夹内的modules文件夹内详情>>
miniPCR用于各种基因调查，以帮助宇航员快速扩增或复制单个DNA序列。NASA宇航员RickyArnold为Space-5中的Genes编写了miniPCR，一名学生设计了一项调查研究可能导致详情>>
国际空间站上的宇航员这两天刚刚获得一批新的先进实验设备，涉及紧急导航，DNA测序，以及超冷原子研究等领域。美国私营航天承包商“轨道ATK”公司的“天鹅座”飞船已经将这些物资送达宇航员们的手中。根据详情>>
小编为您搜罗的答案:B站上有名的攻防指挥录音就是风雨大姨妈那一群逗比的吧……你可以搜关键词浩气然后按点击率排列挨个儿看看0.0赖进也没那么复读机啊，不过少年音的确萌，他一笑我就想跟着笑………………_(详情>>
小编为您搜罗的答案:梦想世界2的内容丰富，社交体系好。新.服.龙.飞.凤.舞详情>>
近来Samsung尚未发表的新款智慧型手表相关消息频频遭到泄漏。稍早，CNET和Twitter用户@sugabeticme在三星自家网站发现GalaxyWatch的产品列表中，出详情>>
小编为您搜罗的答案:第87首歌在哪个位置啊？怎么没找见？详情>>
小编为您搜罗的答案:我已经愤怒了，用心回答了就因为太慢没一个采纳，我不管，采纳我后手把手教你。详情>>
假设你身穿钢铁侠的防护服从国际空间站跳下，你可能需要经过2.5年才能到达地面。虽然国际空间站的风景非常美丽，但从国际空间站往下跳可不好玩儿。对于任何打算从国际空间站跳下来到达地球表面的宇航员来说，都将详情>>
一秒高大上，当CSGO网吧选手站上赛区决赛舞台详情>>
听说它在B站上很火，忍不住下了玩很佛系，上周准备发的没的时间详情>>
这可能是b站上挑战模式最高的分数了详情>>
作为英雄联盟史上很老的选手之一，“死亡宣告”因其暴躁的性格，给圈里人留下了很多“记忆”。除了当年很火的“克里斯关门”事件外，近期的“直播打女友”事件也是引起了一阵子的骚详情>>
如今CFPLS12已经进入季后赛程，也是到了最后的冲刺阶段，经过两日的激烈较量，AG、情久、SV、汉宫击败对手，成功晋级四强。如今形势明了，冠军之争就在这几个队伍之间详情>>
