使用 UUID 作为密码

Question

有人对使用 UUID 作为密码有意见吗？这适用于为外部用户创建的帐户，例如客户对私有 SFTP 文件夹的访问。还是人们使用公钥代替？这些用户没有 shell 并且被 chroot 到他们的目录。

从联机帮助页：

UUID 是 128 位数字，旨在在空间和时间上具有很高的唯一性，并且在计算上难以猜测。它们是全球唯一标识符，无需联系全球注册机构即可在本地生成。UUID 旨在作为具有极短生命周期的大量标记对象的唯一标识符，并可靠地识别网络中非常持久的对象。

我使用的是 Ubuntu 9.10，但OSSP uuid包可用于大多数 *nix 发行版。

Answer 1

生成 UUID 的方法有很多种，其中一些很可能很容易猜到。例如，当前时间通常是一个组件，就在那里，机器的 MAC 地址也是如此。不要将唯一性与不可猜测性混淆。

我不会尝试将 UUID 重新用于密码，而是选择强密码生成器。如果您正在考虑使用 UUID 作为密码，显然能够记住它并不重要，所以我会选择类似 MD5 的输出以及 /dev/random 或 /dev/urandom 中的几个字节：

dd if=/dev/random bs=128 count=1 | md5

或者，更好的是，使用专为生成强密码而设计的工具。理想情况下，用户可以记住而不用写下来。

Answer 2

密码的复杂程度越高，用户将其写在便条上并将其粘贴到显示器上的可能性就越大，此外，用户忘记密码时的支持成本也越高。

使用 SSH 密钥时，建议（但不是必需）使用某种形式的密码来保护密钥。密码短语比密码更容易记住，例如：

既可以减少要求重置忘记密码的电话的发生率，又可以提高安全性，因为您的用户将能够记住它们而无需写下它们。