Template:User committed identity/doc

模板說明

{{User committed identity
|hash string <!-- 必填：設定一串亂碼，可以用中英文、數字和英式標點符號 -->
|hash function <!-- 選用：預設為SHA-512 -->
|background= <!-- 選用：背景HTML色彩 -->
|border= <!-- 選用：邊框HTML色彩 -->
|article= <!-- 選用：用其他冠词取代“一份”（暂未使用）-->
}}

範例如下：

{{User committed identity|sdtrt6r1y4741s45e1a5|SHA-512|background=#E0E8FF|border=#E0E8FF|article=an }}

解說

本模板提供一種方法，當此模板安置以後，將用來證明操作帳戶的是您本人。加密金鑰放置在您的用戶頁之後，萬一發生帳戶遭到盜用的情況，將可以用來使其他人相信您是該用戶名的真實持有者。

為何需要？

本模板的預期作用是用來幫助帳號遭竊取的人，但願這種事情不會發生。

如果你用自己的帳號公开了真实身份，而如果帳號被盗你的身份就可以用来和你的朋友重新建立联系。需要记住的是，这种情况下你并不能通过自己的帳号和朋友建立联系，因为帳號可能被他人控制了。但是，一些维基百科的用户并没有透露自己的真实身份或只透露了一点点，这就很难重新证明自己的身份。

除了拥有一个強力密碼或为你的帳號注册电子邮箱地址外，并没有什么可替代的方法。你仍应尽自己所能来防止帳號被利用，包括使用強力密碼及使用公共电脑时记得退出帳號。如果你能做到的话，公开自己的PGP公钥也是有一定用处的。但是即使你做得再好，帳號仍然有可能被盗，如通过特洛伊木马或对你的密码进行暴力破解。使用这个模板就可以为你留下最后一线希望。

如何利用

本模版主要的概念是使用密碼雜湊技術；選擇一個只有本人知道的密碼字串，經由單向的密碼雜湊功能編譯這個密碼字串，並且公開此編譯好的密碼字串（當然，編譯好的會是亂碼）。這樣做的結果會得到一組亂碼，沒有一個人會輕易地將亂碼解譯回自設的密碼字串；因此，如果你給了某人一個密碼字串，而且此技術將此字串編譯成亂碼，並且此亂碼證明是同一個公開者，這是一個非常強力的證據，來證明給予的那個密碼字串的人和原始公開此字串的人是相同的。推測洩漏此帳號的攻擊者應該不會知道這個密碼字串。

選擇合適字串

1. 你所使用的字串应该不容易猜测。如果你并没有公开自己的真实身份，那么任何和你真实身份有关的字串都会好的字串。如果你曾经公开过自己是谁，你就需要用更多不容易被猜到的信息。如果你使用的字串容易被猜到，那么别人也可能会知道你的字串是什么。
2. 你的字串应该和你的身份有一定关系。如果这个字串被人知道，你也可以明白地证明你和这个身份的关系。例如，你的字串可以包括你能拿到的电话号码和邮箱地址。
3. 不要选择很快就不能证明你身份的字符。例如，当你可能要换电话号码时将现有的号码作为字串就是一个不好的选择。
4. 如果你想更换字串，那就换吧。但你应该追溯自己作为密码使用过的老字串。如果你想进一步证实自己的身份，最好把它们全部公开。这就可以证明你是从这个身份一公开就使用自己账号的同一个人。
5. 你的字符不应该太短：至少要有15个字符。一个精心的攻击者会使用暴力破解来尝试所有字符，直到他们猜到你用的字串为止。但如果你的字串足够长，攻击也要花费更长的时间。如果你的字串达到15个字符，同样长度的字串会有10²⁷个，也就是1千秭（这还只计算了只带空格和字母的字串）。

取得雜湊

如果你需要在日后使用，确定你输入模板里的是“精确的字串”。字串容易让自己记住，又很难被人猜出很重要。如果攻击者知道这个字串，那么这个功能就是没有用的。用户名是公开的也容易猜到，而密码也不是好的选择，因为在多数账号被盗的事件中，密码多数已经被猜到了。

在类unix的系统中，GNU 核心工具提供了sha1sum、sha224sum、sha256sum、sha384sum和sha512sum的程序。由于最近的密码学研究已经对使用SHA-1的长期可靠性提出了质疑，一般推荐使用SHA-512。如果没有指定参数，这个模板默认情况下使用SHA-512进行加密。如果你并没有GNU 核心工具或GnuPG，也可以使用HashCalc来获取hash值。为了安全，最好只用本地的可执行程序或客户端执行的JavaScript来创建hash值。

Windows 下可以用 PowerShell 执行

[bitconverter]::tostring((new-object security.cryptography.sha512managed).computehash([text.encoding]::utf8.getbytes("Secret phrase here"))).replace("-", "")

来得到杂凑字串

使用

如果要向别人提交自己的身份并证明自己就是最初开始使用这个账号的人，把最早用来计算的准确密码串交给一个可靠的用户。他们可以用相同的字串计算得到适当的hash值，并证明你就是自己宣称的那个人。

一旦你证明了自己的身份并建立了新的账号或获得原始账号的控制权，你可能要重新创建一个hash值，并将密码串告诉某个人（可能很多人相信他且你曾经告诉过他密码串）。