嗅密码攻击原理与防护：从明文协议抓包到边信道威胁，密码是怎么被听走的
"嗅密码"这个词在一些灰产工具的宣传里常见，说得神乎其神。拆开看其实没什么魔法，本质就是密码嗅探（Password Sniffing）——在网络传输或者系统运行的过程中，把别人的凭据截获下来。今天从原理讲到防护，把这个威胁讲透，看完你就知道该防什么、怎么防。
最经典的场景是明文协议抓包。早年的Telnet、FTP、HTTP基本认证，密码在网络上是明文跑的，同一局域网里开个Wireshark、网卡设成混杂模式，别人的登录过程看得一清二楚。交换机普及之后，抓别人的流量难了一些，但配合ARP欺骗做中间人依然能做到。这就是为什么现在所有正经服务都强制HTTPS、远程管理都要求SSH替代Telnet——加密不是可选项，是底线。
新的威胁来自边信道攻击。这几年业界关注的一系列CPU级漏洞（Downfall、Spectre这一类）展示了另一条路：不直接攻破加密算法，而是利用CPU微架构的共享资源——缓存、推测执行留下的痕迹——去推断同一颗芯片上其他进程正在处理的数据，理论上可以嗅探到SSH会话里的敏感信息。这类攻击不需要在网络上有位置，只要跟受害者共用一颗CPU就有机会，云环境里尤其值得警惕。
边信道是什么概念？打个比方：不是去撬保险柜，而是听保险柜转轮的声音猜密码。芯片的功耗曲线、电磁辐射、运算时间差、缓存命中与否，这些运算的"副产品"都可能泄露秘密。早在1996年就有研究通过分析按键时间间隔推断密码长度，二十多年过去，这类攻击从物理层进化到了微架构层，隐蔽性越来越强。
企业的防护清单：第一，CPU微码和操作系统补丁及时更新，Intel这几年为边信道漏洞发布过大量缓解微码，很多运维拖着不打，这就是口子；第二，彻底淘汰内网的Telnet、FTP、HTTP明文服务，用SSH、SFTP、HTTPS替代；第三，SSH改成密钥认证并禁用密码登录，root禁止远程直连——就算有人想嗅，也没有密码可嗅；第四，核心业务网段做隔离和微分段，缩小攻击面；第五，敏感账户全部开双因素认证，密码泄露了还有第二道门。
个人的防护习惯：公共WiFi不登录重要账户，或者全程走自己的流量和VPN；浏览器认准https和地址栏的锁标志；不同网站用不同密码，交给密码管理器管；系统和设备的更新别一直拖着——很多更新包就是在堵这类漏洞。做到这几条，绝大多数嗅探类攻击跟你已经没关系了。
合法边界必须划清楚：Wireshark、tcpdump这些工具本身是网络工程师的日常，在自己搭建的实验环境里抓包学习完全没问题，网工考证也考这个。但对别人的流量做嗅探、截获凭据，在刑法第二百八十五条里对应非法获取计算机信息系统数据罪，跟工具无关，跟行为有关。工具无罪，用错了地方就是犯罪。
总的来说，密码安全是个链条问题：传输加密防嗅探、存储加盐哈希防拖库、认证加多因素防泄露，任何一环偷懒整条链就作废。对普通用户，记住三件事就挡住了九成攻击——更新要打、公共网络别裸奔、密码别一套走天下。
上一篇：三极管功放电路图详解：从单管甲类到OTL、OCL电路的原理与调试要点
下一篇：没有了