密码安全完全指南：从创建到管理的最佳实践
2023 年，NordPass 发布的年度报告显示，全球最常用密码榜首依然是 123456，使用人数超过 400 万。同年，Have I Been Pwned 数据库收录的泄露账号已突破 120 亿条。密码安全不是"专业人士才需要关心"的问题——每一个有网络账号的人，都是潜在的目标。
本文不谈枯燥的理论，只讲实用的方法：为什么你的密码不安全，以及如何系统性地改变这一现状。
常见密码攻击方式
了解攻击才能有效防御。以下是黑客最常用的五种密码攻击手段：
1. 暴力破解（Brute Force）
攻击者用程序枚举所有可能的字符组合，直到找到正确密码。现代 GPU 每秒可以尝试数十亿次组合。
防护：使用足够长的密码。密码长度每增加一位，破解时间呈指数级增长。
2. 字典攻击（Dictionary Attack）
不枚举所有组合，而是优先尝试常见词汇、常见密码列表（rockyou.txt 包含 1400 万个真实泄露密码）。
防护：避免使用完整的单词、姓名、生日。Password@2024 虽然"看起来复杂"，但在字典攻击面前形同虚设。
3. 彩虹表攻击（Rainbow Table）
针对数据库泄露场景。如果网站只存储密码的 MD5/SHA1 哈希值，攻击者可以用预计算的哈希表反查明文。
防护：这一点你无法直接控制，但可以选择知名大平台（使用 bcrypt、Argon2 等加盐哈希）。你能做的是：每个网站用唯一密码，即便一处泄露，其他账号不受影响。
4. 钓鱼攻击（Phishing）
伪造银行、邮件、社交平台登录页面，诱骗用户输入真实密码。这是目前最高效的攻击手段，技术再好的密码也无法防范。
防护：开启双因素认证（2FA）；使用密码管理器（自动填充功能不会在钓鱼网站上工作，因为域名不匹配）。
5. 撞库攻击（Credential Stuffing）
利用已泄露的账号密码，批量尝试登录其他网站。由于大量用户在多个网站使用相同密码，成功率极高。
防护：每个网站使用唯一密码，这是最重要的一条原则。
密码强度与破解时间
| 密码类型 | 示例 | 理论破解时间（现代GPU） |
|---|---|---|
| 6位纯数字 | 123456 |
< 1秒 |
| 8位纯小写字母 | password |
< 1分钟 |
| 8位大小写+数字 | Pass1234 |
约 1小时 |
| 12位大小写+数字+符号 | X#7kP!m2qR@v |
约 3000年 |
| 16位随机字符 | tK9@mV#2pQ!xL&nR |
数亿年 |
| 4个随机单词（Passphrase） | correct-horse-battery-staple |
数百年（且好记） |
结论：长度 > 复杂度。一个 16 位全小写随机字符串，比 8 位大小写数字符号混合更安全。
好密码 vs 坏密码
坏密码的共同特征：
❌ 123456 # 最常见密码第一名
❌ password123 # 字典攻击秒破
❌ zhangsan1990 # 姓名+生日组合
❌ qwerty! # 键盘连续字符
❌ Admin@2024 # 年份+特殊字符的错误套路
❌ iloveyou # 情感词汇
好密码的标准：
✅ f7$Kp!mQx2@vR9n # 随机生成，16位混合
✅ purple-tiger-dance-7 # 随机词组 Passphrase，易记难破
✅ 每个网站唯一密码 # 避免撞库
✅ 从不在别处使用的规律 # 即使有规律也只有你知道
Passphrase（密码短语）是个好主意：由 4 个或更多随机词组成，既容易记忆，安全性又远高于常见的"复杂密码"。correct-horse-battery-staple 比 Tr0ub4dor&3 既好记又更安全，这是密码学家 Bruce Schneier 的经典论证。
密码管理器：唯一可行的解决方案
人类的记忆无法胜任"每个网站使用唯一复杂密码"这一任务。密码管理器是解决这一矛盾的唯一现实方案。
Bitwarden（强烈推荐）
- 定价：个人版完全免费；高级版 $10/年（含 TOTP 功能）
- 开源：代码公开可审计，社区可自行部署
- 跨平台：浏览器插件、移动 App、桌面客户端全覆盖
- 安全模型：零知识加密（服务器看不到你的密码）
- 适合人群：绝大多数个人用户和小团队
1Password
- 定价：$3/月（个人）；$5/月（家庭，最多5人）
- 闭源商业产品，安全记录良好
- 特色：Travel Mode（出行模式，跨境时隐藏敏感保险库）、SSH 密钥管理
- 适合人群：追求极致用户体验的付费用户、开发者团队
KeePass / KeePassXC
- 定价：完全免费、开源
- 数据存储：本地加密文件（
.kdbx），不联网 - 适合人群：极度重视隐私、不信任云服务的用户
- 缺点：跨设备同步需要自行配置（Dropbox/坚果云等）
双因素认证（2FA）
密码是"你知道的东西"，2FA 增加了"你拥有的东西"这第二道验证。即使密码泄露，没有第二因素攻击者也无法登录。
TOTP App（推荐）
基于时间的一次性密码（RFC 6238），每 30 秒刷新一个 6 位数字。
- Google Authenticator：简单，但无备份功能（手机丢失=完蛋）
- Authy：支持云备份和多设备，推荐替代选择
- Bitwarden Authenticator：高级版内置，省去单独 App
硬件密钥（最高安全级别）
YubiKey 等 FIDO2/WebAuthn 硬件密钥，物理插入才能验证，完全免疫钓鱼攻击。适合有极高安全需求的用户。
短信验证码（尽量避免）
短信 2FA 存在 SIM 卡劫持（SIM Swapping）风险，安全性远低于 TOTP App。能用 App 就不要用短信。
企业/团队密码管理建议
- 使用团队密码管理器：Bitwarden Teams、1Password Teams、Dashlane Business
- 权限分组管理：按部门/项目分配访问权限，离职员工立即吊销
- 禁止共享个人账号：每人独立账号，操作可追溯
- 定期审计：每季度检查哪些账号仍有效、哪些需要轮换
- 强制 2FA：至少要求关键系统（代码仓库、云控制台、财务系统）开启 2FA
FAQ
Q：密码多长才算安全？
根据 NIST（美国国家标准与技术研究院）2024 年最新指南：最低 12 位，推荐 16 位以上。对于高价值账号（网银、主邮箱、密码管理器主密码），使用 20 位以上的随机密码或 Passphrase。比字符种类更重要的是长度——12 位纯小写随机字母，安全性超过 8 位大小写数字符号混合。
Q：密码管理器被黑了怎么办？
正规密码管理器采用端对端零知识加密：你的密码在本地加密后再上传，服务器只存储密文，即使数据库泄露，攻击者没有你的主密码也无法解密。2022 年 LastPass 泄露事件中，被盗的也是加密密文。不过那次事件也暴露了元数据（网站域名）泄露的风险——这是选择主流产品时必须了解的限制。
保护密码管理器的关键：使用强主密码 + 开启 2FA，且这两样东西不存储在密码管理器本身里。
Q：记不住复杂密码怎么办？
这正是密码管理器存在的意义——你只需记住一个主密码。如果你还没有密码管理器，可以先从 Passphrase 开始：选 4 个随机且互不相关的中文或英文词，用连字符连接，比如 太阳-橘子-键盘-河流。这类密码既容易记忆，安全强度又远超传统"复杂密码"。
总结
密码安全的核心原则只有三条，却能抵御 90% 的攻击：
- 每个账号使用唯一密码（防撞库、防泄露扩散）
- 密码足够长且随机（防暴力破解和字典攻击）
- 重要账号开启 2FA（密码泄露后的最后防线）
执行这三条的唯一可持续方式：使用密码管理器。从今天开始，注册一个 Bitwarden 账号，把新建账号和修改旧账号时的密码全部托管进去。一年后回头看，你会庆幸做了这个决定。