今天收到一封来自Evernote的邮件，其中部分内容如下（原文截图）：

亲爱的Evernote International用户，

Evernote运营和安全团队最近发现并成功阻止了一项针对Evernote网络的可疑活动，该活动可能试图有组织的接入Evernote服务的安全区 域。为预防未来的潜在数据隐患，我们决定请求所有用户进行一次密码重置。请阅读以下内容了解详情和步骤。

通过一次全面仔细的检查，我们未发现任何迹象表明你保存在Evernote中的任何内容被访问过、修改过或丢失。Evernote高级帐户的付款信息和Evernote企业帐户也没有任何被访问过的迹象。

但是检查显示，参与这次可疑活动的人员能够访问到Evernote的用户信息，包括与Evernote帐户关联的用户名、邮箱地址和加密过后的密码密文。 尽管密码密文有可能被访问，但请特别注意，保存在Evernote中的所有帐户密码密文均采用不可逆的单向加密算法(one-way encryption)生成。(用专业术语表示，即所有密码密文都是经过哈希算法处理并随机生成(hashed and salted))

从CSDN密码泄漏门，到Twitter用户密码被重置，直到这次Evernote也不幸中枪。一次又一次的针对互联网帐号的攻击事件频频发生，各大服务运营商中枪，就连推特、Evernote这样的服务也在所难免。难道我们的互联网帐号信息已经不再安全了吗？

现阶段，主流的密码加密方式即上文中提到的“hashed and salted”（哈希加盐）法。这种方法由于是单向加密，而且对密码加入了随机字符串salt，安全系数大大提高。但随着硬件的发展，要破解哈希加盐也不是很困难的事情。攻击者通过构建大型彩虹表，有一定几率来破解经过单向加密的密文。

但需要提到的是，对密码进行加密存储是用户信息安全的「最后一根稻草」。因为破解加密存储是在黑客拿到用户数据库后才可以进行的操作，假若用户数据库足够安全，只要数据库不被泄漏，那么即便是明文存储也不会有太大的风险。这并不是说被hacker攻击的twitter和Evernote做的不够好，因为在这么多年来，在数千万甚至数亿、十亿数量级的攻击下，这种事情也只发生过少数的几次。

话又说回来，最近这种事情发生的几率正在逐步攀升。不知道是现在的hacker技术变得更加高明了呢，还是现在的firewall已经无法阻止hacker前进的脚步了。

那么，作为个人用户，我们要怎样从个人角度来防止这些事件的发生呢？只有降低用户资料的价值，才能从根本上减少事件发生后的损失。作为用户，你的资料的价值是什么？对于一个网络服务来说，你的资料意味着你的用户名、密码和电子邮件地址。如果你所有的网上服务包括网银、电商、电邮、公司办公系统都是用的同一个密码，你的资料的价值无疑会很高；如果所有的服务使用不同的密码组合，那么，资料的价值就会降低到仅有的被攻击的服务那一个帐号。所以，最终的防范秘诀就是：使用密码管理方案。

密码管理方案有很多种，比如花密，LastPass都是很好的选择，这里要介绍的不是那些记录密码的工具，或者像花密那样的base+salt的方式——毕竟有时候需要离开他们——而是一种便于记忆的管理的方案。我称之为分级管理模式。

一个完善的密码系统，应该包括至少三个级别：

低级密码，即「用一次就丢」的密码。这样的密码最好还搭配一个另外的用户名，以满足各种「一次性」的帐号需求。这种密码只需要有一个，然后在各个小网站、不确定安全性的网站和用一次就丢的网站使用。

高级密码，即「相当重要」的密码。这类密码不要和你已有的密码雷同，而是采用全新的组合，最好是包括大小写字母符号数字等，用于独立的重要服务，例如电邮、IM工具（QQ、MSN等）和财务（电商、网银等）。

最多最常用的密码，也就是「不是相当重要也不是用一次就丢」的中级密码。这样的密码是使用最为频繁、又有一定价值的。如果让所有的这类中级网站共用一个密码，也不是一个好的方法：黑客仍然可以通过获取其中一个来得到其它的。或许有人会想到一串固定字符加上网站的主域名，我只能说黑客也一眼就能看出来你的密码中有个域名从而破解。这里介绍一种思路，或许会对你的密码有帮助。

这种思路的灵感是从md5来的。md5是一种「摘要」算法，那么我们也可以将域名的所谓「摘要」放到密码中去。这么说还不明白的话，看一个简单的例子。比如对「Google」的域名，我们可以摘它的最后一位「e」，然后放到密码中的某一位。比如密码的基准是「BestWishesTo」，我把摘要字母放到最后一位并大写，也就是「BestWishesToE」，这样的话即使是得到密码的黑客也不会知道你其它网站的密码——除非它最后一位也是E。如果觉得还不够安全的话，可以继续摘录并进行适当的运算。比如摘「Google」的第一位「G」，在字母表上将他往后挪动3位变成「J」然后小写放到刚刚密码的最后面，加入「Google」这个单词的长度6放到第一位，成为「6BestWishesToEj」，这样还看得出来你的密码的本来面目吗？除非还有一个网站叫「Gxxxxe」，否则你的密码也不会被用到其它网站上去——这样的可能性不是很大，而且你会在一个叫做「Geoeoe」的网站用上你的中级密码吗？

这样一来，帐号丢失所损失的价值就减少了不少。当一个网站的密码被盗时，并不会牵连到太多的网站。

另外，加强自己的帐号保护意识，对电脑定期杀毒（其实有点扯，主要是防键盘记录类的木马神马的），并且在输入帐号的时候注意网站是否安全（检查网站域名、检查https等）就好了。这样一来，即使是某个网站被爆出使用明文存储密码而且数据库被大量泄漏的话，你也可以安然不动，笑看众人疯狂改密码了。（完，本文由oott123纯原创，转载请保留出处。）