别人猜不出的密码
“从零学网络安全”课程第 3 课，共 16 课。免费，有动画和小测验。
为什么“一个密码走天下”是最大的漏洞
网站天天被黑，邮箱和密码数据库最后都会被公开。机器人拿着这些组合去邮箱、交易所、银行和社交网络挨个试，这叫“撞库”。丹在 9 个网站用同一个密码，只要最弱的那家泄露，9 个账号全都失守。根本没人“破解”什么：是丹自己把一把钥匙配给了所有门。
长度说了算
比比要试多少种组合。8 位小写字母约 2000 亿种，一块显卡很快就能试完。8 位混合字符有 6·10¹⁵ 种，但“Dan2004!”不是随机的：机器人最先试的就是名字、日期和把 a 换成 @ 这类替换。从 7776 个词的词表里随机选 6 个词，有 2·10²³ 种组合。这样的短语好记，却根本猜不出来。
随机词组成的短语
好密码不是一周后就想不起来的“Q7#k!”，而是几个随机词：“仙人掌-电梯-橘猫-雨伞-星期五”。关键在“随机”二字。歌词或者“我爱我家猫”都不行，机器人也会试。用骰子或生成器选词，别靠脑子想。另外，每个网站的密码都要不一样。
查一查你有没有被泄露
Have I Been Pwned 这个服务收集了已知泄露事件的数据库。输入邮箱，就能看到它出现在哪些泄露里。如果名单里的网站知道你的密码，就当这个密码已经公开了：所有重复用它的地方都要改。这个网站查密码的方式是密码本身不出你的设备，只发送它哈希值的前几位。哈希就是密码的一种不可逆“指纹”。
NIST 怎么说
NIST 是美国国家标准与技术研究院，全球公司都参照它的密码规范。现行版本的要点：长度比“复杂度”重要；如果只有密码这一道防线，至少要 15 个字符；网站应该对照泄露库检查密码；不用定期改密码，只有出现泄露迹象时才改。对你来说，最重要的规则更简单：每个网站一个独立密码。在训练里看看你的密码能撑多久。
自测一下
- 丹想了个“Dan2004!”：有大小写、数字和符号。为什么它很弱？
正确答案: 机器人最先试名字和出生年份，而且只有 8 位. “字母+数字+符号”的规则只是看起来很强。“名字+年份+!”这种套路，每本破解字典里都有。 - Have I Been Pwned 显示丹的邮箱出现在一个旧论坛的泄露里。第一步做什么？
正确答案: 在所有重复使用这个密码的地方改掉，先改邮箱和交易所. 危险的不是论坛，是从那儿流出的密码：机器人会拿它到处试。先改放钱和能重置密码的地方。 - 哪个密码最强？
正确答案: 生成器随机选出的 5 个词，用连字符连起来. 随机词又长又不可预测。生成器不知道你爱听什么歌，机器人也就猜不到。
← 谁在盯着你，图什么 密码管理器：只记一个 →