。該事件對于諸如RoboForm等密碼管理者來說，意味何在？
當(dāng)前，你訪問的安全Web網(wǎng)站日益增多，和RoboForm都能幫助你創(chuàng)建和使用強(qiáng)密碼來登陸這些站點。但是，依賴于單一服務(wù)來記錄你的密碼是否具有某些與生俱來的弱點？RoboForm的用戶是否需要關(guān)注任何有可能泄露其信息的異?，F(xiàn)象？
Bill Carey, RoboForm市場副總裁
為了回答這些問題并更多地了解RoboForm如何保護(hù)用戶數(shù)據(jù)安全，記者近期RoboForm市場副總裁Bill Carey。
記者：Bill，相信你已經(jīng)了解了LastPass最近的動態(tài)，你怎么看？
Carey：我認(rèn)為并不是所有人都了解到底發(fā)生了什么事。我讀了一些文章，也讀了一些他們的博客文章，他們說有一些異常情況，有人在某個時間段內(nèi)進(jìn)入了他們的并有可能已經(jīng)竊取了數(shù)據(jù)。當(dāng)然，我現(xiàn)在還沒有真正了解到底發(fā)生了什么，因此也不敢妄加評論。但我非常感謝你能站在我們的立場上寫這篇文章，因為沒有人真的會想到“好吧，如果別人處在那個位置上將會保護(hù)他們的數(shù)據(jù)安全？”
記者：是的，我希望能切入更多要點。假設(shè)LastPass有一些數(shù)據(jù)遭到竊取和惡意破壞，你能談下RoboForm對此的安全策略嗎？RoboForm用戶采取了相似的手段來數(shù)據(jù)和密碼，你要給用戶們什么建議？
Carey:首先也是最重要的就是，我們和LastPass最大的不同在于RoboForm默認(rèn)將你的信息存儲在你的電腦上。而且它在你的電腦上是加密的，并且隨時能在電腦上使用。我們提供了可選的RoboForm Everywhere服務(wù)，這樣你能將你的密碼同步到云中。但從根本上來說，我們將始終堅持將你的電腦看成是你的信息中心，放在你的電腦里自然比放在云中更為安全。攻擊私人電腦的可能性要低于其攻擊將密碼存在云端的1萬名用戶，這也意味著將密碼存在個人電腦上會比存在云中更為安全。因此，我們的注意力主要還是在電腦上。
記者：也就是說，如果密碼只被保存在電腦上，那么就由用戶負(fù)責(zé)密碼保管及其安全。
Carey: 在電腦上有一個管理員密碼，這樣就需要由用戶保障其電腦的安全。但是更為重要的是，就黑客的性質(zhì)而言，如果他能攻擊一個有1萬名用戶的服務(wù)器，他不會攻擊一臺私人電腦。
記者：接下來讓我們談?wù)凴oboForm Everywhere。它是如何保證安全性的？對于哪些選擇使用該服務(wù)并將他們的密碼存在云端的用戶，你有什么建議？
Carey: 我們相信我們的RoboForm Everywhere服務(wù)是非常安全的。我們不會將客戶的管理員密碼存在云中的任何地方，因此你能擁有與將密碼保存在電腦上一樣的安全性。如果有人想從外面進(jìn)入服務(wù)器并將你的數(shù)據(jù)下載到他們電腦上，他們依舊需要知道你的管理員密碼才能解密這些信息。我記得LastPass曾說過他們很擔(dān)心用戶的管理員密碼遭到暴力攻擊。
記者：我想他們或許是認(rèn)為如果用戶有一個很強(qiáng)的非字典化的管理員密碼，他們將無所畏懼。但如果某人的管理員密碼較弱，而且非常容易被破解，那就著實令人擔(dān)憂了。
Carey:確實如此。我想最根本的就是，無論你使用RoboForm還是LastPass，如果你有一個很強(qiáng)的管理員密碼，那別人就很難獲得這個能得到你數(shù)據(jù)的密碼，。目前來說，RoboForm的密碼不那么容易被暴力破解的原因在于要通過RoboForm軟件需要抹去暴力破解密碼的痕跡，而在判斷密碼是否正確時軟件會回復(fù)一個值。所以如果沒有RoboForm這一層，暴力破解密碼實現(xiàn)起來更快，這是阻礙攻擊的額外保護(hù)。
RoboForm和LastPass的另一個不同點在于即使使用RoboForm Everywhere服務(wù)，所有RoboForm的信息仍是存儲在你的個人電腦里。
因此即使我們遭到某種意外攻擊，如斷電，你依舊能夠像往常一樣登陸你的Web站點。而LastPass的用戶卻不能。在RoboForm Everywhere上不會發(fā)生這種情況，因為所有存在你電腦上的個人文檔都會有本地備份。
記者：你會給你的用戶哪些建議？顯然，首先就一定要使用管理員密碼。
Carey:是的。一定要使用管理員密碼。所有通常的安全措施都與管理員密碼相關(guān)。這個密碼最好很難讓別人猜到，但自己卻容易記住。通常是字母和數(shù)字的組合，如果你能記住的話，最好再加上特殊字符。你也能把RoboForm Everywhere的密碼跟你的管理員密碼設(shè)置的不一樣。兩個不同的密碼將帶來雙重的保護(hù)。RoboForm管理員密碼提供了加密技術(shù)，而你的權(quán)限控制是通過你的RoboForm Everywhere的密碼來實現(xiàn)。
我們也會通過Tier-1托管設(shè)備來保證我們服務(wù)器的安全性。我們做了所有的權(quán)限控制。所有電腦和服務(wù)器的數(shù)據(jù)都被加密。然而只要你需要處理服務(wù)器上的東西，就會存在固有的安全威脅，總有人想要攻擊你。但我們的強(qiáng)安全策略將阻止這類事件的發(fā)生。
記者：使用密碼進(jìn)行保護(hù)的整套概念是否需要重新思考？一直都有其他認(rèn)證方法的討論，如、指紋等技術(shù)。你是否認(rèn)為本行業(yè)需要向著比密碼更遠(yuǎn)的方向走，或者這些生物識別方法目前更多是出現(xiàn)在科幻小說中？
Carey:我認(rèn)為像視網(wǎng)膜掃描和生物識別等方法就目前來說還停留在科幻小說中。我不認(rèn)為它們已經(jīng)適用于我們的用戶了，它們現(xiàn)在還不能確保安全。有許多器能夠識別你的指紋，但是黑客能夠進(jìn)行襲擊并繞開這些生物識別技術(shù)。當(dāng)你掃描指紋時，指紋器將回復(fù)一個真/假的反饋值，黑客也能夠通過欺騙手段獲得真/假的反饋值。因此我認(rèn)為指紋識別器并不是必然安全的。目前來看，我覺得把指紋識別與密碼結(jié)合使用更好。這樣你就有了雙重要素驗證，使破解變得更為困難。
記者：RoboForm將指紋識別和管理員密碼作為兩個并列的可選項還是一個二選一的選項？
Carey: 我們現(xiàn)在已經(jīng)部分支持指紋識別，并且也在不斷提升該技術(shù)。而且通常我們會將指紋識別與現(xiàn)存的密碼管理同時使用。因此只要你刷指紋，就能獲得權(quán)限。或者你可以將之作為一個選項，這樣你需要同時提供指紋和管理員密碼才能獲得權(quán)限。
記者：由于LastPass事件，RoboForm用戶有沒有希望產(chǎn)品能更加安全，或者你對現(xiàn)在的安全很放心？
Carey:目前來說，我們對我們現(xiàn)在的安全措施很放心。與此同時我們也不會止步不前。我們一直在思考新的辦法以塑造更為安全和堅固的權(quán)限。我們也就需要改變的地方進(jìn)行了幾次會話，如果有的話，我們現(xiàn)在也還沒有立即的行動。