你的密码强度够吗？先别急着点头

我有个朋友，上周号被盗了。 不是什么大号。就是某个购物平台的账号。但问题是——他自认为密码设得挺讲究。字母加数字，八位还是十位来着，反正不是那串烂大街的123456。 结果呢？人家半夜两点登进去，把收货地址给改了。 他跟我说这事的时候一脸懵。我说，你那密码是不是跟别的网站用的一样？他沉默了三秒。然后说：“……好像是。” 好，这就是今天想聊的。

你的密码，可能一直在“裸奔”

很多人对密码强度的理解，停留在“长度”上。觉得只要够长，就够安全。八位比六位强，十位比八位强。这个逻辑本身没错——但问题是，它建立在一个错误的前提下。

这个前提是：攻击者是一个一个试的。 真的吗？ 现实是，大多数密码泄露根本不是你想象中那种“黑客坐在电脑前疯狂猜”。更多的情况是——数据库被人扒了。 某个网站，安全做得不行，数据泄露了。你的账号密码就这么明晃晃地躺在一堆数据里。这时候你的密码是八位还是十八位，说实话，区别不大。因为人家根本不猜，直接拿。 这就是撞库。用一个网站泄露的账号密码，去试其他网站。而大部分人，你知道的……所有网站都用同一个密码。 我那位朋友就是这么中招的。

那密码强度到底在防什么？

这里得说清楚一个事：密码强度不是万能的，但它确实有用。它防的是“暴力破解”和“字典攻击”。 暴力破解好理解。就是拿程序硬试。aaaaaaaa，aaaaaaab，aaaaaaac……把组合全跑一遍。位数越长，组合数涨得越快。六位纯数字，一百万种可能，现在的机器几秒能搞定。十位大小写加数字，那就上去了。 但这里有个关键——大部分人设密码，不会真的随机。 你说你的密码是“Xk9#mP2$”——那确实挺强。但如果你的密码是“Zhangwei1990”——看着有字母有数字，对吧？

问题来了。张伟是个常见名字。1990是个常见年份。而字典攻击，用的就是这种“人性规律”。常见名字、常见单词、常见日期。还有键盘路径——qwerty、asdfgh、1qaz2wsx……全在字典里。 你以为你设计了一个密码。实际上，你只是从一本人类常用密码字典里挑了一个。

那些“看着挺强”的密码

我见过不少有意思的例子。 有人喜欢用“Woaini1314”。爱意满满。但在密码字典里，这种拼音加数字的组合，早就是常客了。 有人喜欢用“P@ssw0rd”。看起来又专业又安全。把 a 换成 @，把 o 换成 0。这招大概十五年前挺管用。现在呢？所有的破解工具第一步就是做这种字符替换的变体。你换的每一个符号，工具作者早就替你想好了。 还有人用“admin123”、“qwe123!@#”……说实话，这些比纯数字还危险。因为攻击者知道你会这么想。 真正的问题是：人类的“随机”，一点都不随机。 你选 @ 而不是 a，选 1 而不是 l，选 3 而不是 e——这些规律太普遍了。破解工具的作者也是人，他们太懂这些套路了。

那到底怎么设密码？

说几个实用的。 别在多个网站用同一个密码。这是最重要的一条。比密码强度本身还重要。因为一个网站出事，你所有账号全完。你可能觉得“我就一个购物网站用了弱密码，没事吧”——有事。你的邮箱呢？你的社交账号呢？如果都一样的密码，那就连锁反应了。 长比复杂重要。这句话可能跟很多人直觉相反。但“Xk9#mP2$”只有 8 个字符。而“woxihuancongqianzai…”这种一句话拼音，长度就上去了。暴力破解下，长密码的优势是指数级的。当然，词典攻击下，纯拼音也不太行。 用密码管理器。我知道，很多人听到这个就头疼。“把所有密码交给一个软件？那不是更危险？”嗯……但你现在的做法是什么？把所有密码都设成一样的，或者记在备忘录里。说实话，哪种更危险还真不好说。密码管理器帮你生成随机密码，每个网站都不一样，你只需要记住一个主密码。这确实不是完美的方案——但它是目前相对最省事、也相对安全的做法。

开两步验证。这个其实已经不是“密码强度”的范畴了。但它比密码强度管用得多。就算密码被泄露了，别人也登不进去。我那位朋友，如果开了两步验证，可能就不会半夜被人改地址了。

还有一件事，可能有点反直觉

很多网站显示的“密码强度”——就是那个绿色进度条——其实很粗糙。 它们主要看长度、看有没有大小写、有没有特殊字符。但前面说了，这些规律恰恰是攻击者最熟悉的。 一个真正“强”的密码，标准只有一个：别人猜不到。 不是你猜不到。是别人猜不到。 你的生日，你自己可能觉得“除了我没人知道”。但社交平台上随手一翻，什么都知道了。 所以有时候想想挺有意思的——我们花心思设计的密码，防的其实不是陌生人。防的是那些太了解人类习惯的攻击者。 而人类习惯这个东西……恰恰是我们最难改掉的。 密码强度，说到底，不只是一个技术问题。 它是个习惯问题。