密码测试无需计划
当管理SQL Server内在的帐户和密码时，我们很容易认为这一切都相当的安全。毕竟，你的SQL Server系统被保护在防火墙里，而且还有Windows身份验证的保护，所有用户都需要密码才能进入。这听起来非常的安全，特别是当你认为所有人都这么做的时候。可实际上，它并不像我们想象得那么安全。
在这里，我们列出了一些对于SQL Server密码来说非常危险的判断：
密码测试无需计划
当进行测试时，直接就开始尝试破解密码将是一个很大的错误。无论你是在本地还是通过互联网进行测试，都强烈建议你获得权限，并建议一个帐户被锁定后的回滚方案。最后你要做的就是确保在账户被锁定时，数据库用户无法进行操作，而且与之相连的应用程序也将无法正常运行。
通过互联网，密码仍然是安全的
对于通过混合方式实现的SQL Server，你可以很容易的通过一些分析软件(比如OmniPeek、Ethereal)立刻从网上抓到它的密码。同时，Cain and Abel可以用来抓取基于TDS的密码。你可能以为通过内网交换机就可以避免这一问题?然而，Cain的ARP中毒路由功能就可以很轻松的破解它。在大约一分钟之内，这个免费软件就可以攻破你的交换机，并看到本地网络的内部数据交换，从而帮助其它软件更容易的抓取密码。
事实上，问题并没有就此结束。有些误解认为在SQL Server中使用Windows身份验证是很安全的。然而，事实并非如此。上述软件同样可以迅速的从网上抓到Windows、Web、电子邮件等相关的密码，从而获得SQL Server的访问权限。
通过使用密码政策，我们就可以不用测试密码
无论你的密码政策有多严厉，却总会有一些办法可以绕开它。比如现在有一个未进行配置的服务器、一个Windows域外的主机、一个未知的SQL Server或者一些特殊的工具，它们可以破解最强壮的密码。这些东西就可以利用你密码的弱点并是你的代码政策变得无效。
另外，同样重要的是，有些测试结果可能会说由于你的密码已经非常强壮，你的数据库很安全，但你千万不要轻信。一定要自己在测试并验证一下，密码缺陷是否还在。尽管你可能会觉得一切都很好，但实际上你可能落掉了一些东西。
网友评论