弱口令这东西，就是你自己配好钥匙放门口，还贴了张纸条
前阵子我妈打电话来，语气特别严肃。她说家里那台新买的智能摄像头，半夜自己转了。
“你爸说是不是闹鬼。”我说你先别闹鬼，你告诉我这摄像头后台的密码是啥。电话那头沉默了大概三秒。“就那个啊，六个8。”
我当时正走在路上，差点一脚踩空。六个8。行吧。
那扇门不是被撬的，是你自己开的
咱们得先把一件事说清楚。弱口令不是说你的密码“不够复杂”，也不是说你的密码“不够长”。它说的是一个更扎心的事——你那个密码，别人根本不需要“破解”，猜都猜得出来。
什么算弱口令？你手机尾号后六位。你家门牌号。你生日。你女朋友生日。“admin”。 “123456”。“qwerty”，就是键盘左上角横着划过去那串。“password”，真的，英文单词本来的意思就是“密码”，有人用它当密码，等于把钥匙插门上还留了张字条写“这是钥匙”。
这些密码有个共同特点——它们太长出现在各种“最常见密码排行榜”里。注意，我说的是那些专门收集泄露数据的网站搞的统计，别看热闹，那每一个排名背后都是一堆真被登进去的账号。
有人觉得这不算个事。我一个平头老百姓，谁会来搞我？
问题就在这儿。搞你的人根本就不是“人”。
绝大多数这种事，都是脚本在跑。一台机器，二十四小时不睡觉，拿着几百个最常见的密码，挨个往能碰到的登录页面上怼。数学上很简单，只要你的密码在那本“常见密码字典”里，被撞上就是早晚的事。它不挑人，谁家门开着它进去转一圈，看看有没有值钱东西，没有就换下一家。
一个摄像头能值什么？值不了几个钱。但摄像头后面连着的是你家客厅、你卧室、你孩子的书桌。它自己还会转，转了你还以为闹鬼。你想想那个画面。
你以为改过了，其实根本没改
这又得说回我妈。我问她，路由器密码改了吗？她说改了。我说改成什么了？她说还是六个8，但是把最后那个8换成了9。
……行吧。
这是第一个大坑：很多人以为“改了”就是安全了。但是改的方式，是把“123456”变成“1234567”，或者把“password”变成“password1”，再或者加点感叹号。这种改动在自动化工具面前基本等于没改——因为人家字典里就有“password1”和“1234567”这些变体。你以为你在藏钥匙，其实只是把钥匙从门口脚垫下面挪到了花盆底下，顺手还把花盆擦干净了。
第二个坑更隐蔽一些。默认密码从来没动过。
我见过太多这样的：新买的设备，说明书上写着初始账号“admin”，初始密码“admin”。装好了，能用了，说明书扔了，密码就那么搁着。设备出厂时，同一批货可能全是同一个初始密码。网上还专门有人整理这些出厂默认口令表，一搜就有。你要是没改，等于你家门跟整栋楼的门用同一把钥匙。
我家那位邻居老周，就是活生生例子。摄像头买回来大半年，六个8用了大半年。直到它自己半夜转过来。
第三个坑，是一个密码走天下。邮箱是这个，购物网站是这个，论坛注册也是这个。然后某天某个小网站数据库被拖库了，你的邮箱和密码整整齐齐出现在一个文本文件里。搞“撞库”的人拿到了这份文件，拿去登你的邮箱、你的支付账号、你的一切。你就在那一串数据里，可能排在第两万行，正好和某个脚本撞上了。
我见过有人真的用“生日+姓名全拼”当密码，还用这个密码注册了几乎所有网站。这……怎么说呢，不能说他不重视，只能说他把所有鸡蛋放在了同一个篮子里，篮子还是透明塑料的。
密码这东西，其实是个认知问题
咱们换个角度想。
你出门会锁门吗？会。为什么？因为你知道有人会顺手推一下门看看开不开。那网络上的门呢？很多人的下意识是——这又不是真门，谁会来推。
但事实上，那把“锁”一直都在，而且推门的手从没停过。只不过那些手不是人的手，是脚本。机器没有道德感，也不会觉得累，更不会因为“这家人看着不像有钱的”就不来。
说个可能让你有点不舒服的类比。弱口令就像是你住进酒店，前台给你一张卡，你发现每间房都是这张卡能开。你可能会想，反正酒店安保还行。但问题是，安保是防外人的，这张卡你自己拿着满楼跑，别人捡到了也一样能跑。
那怎么弄？
其实也不复杂。密码这事儿，最朴素的策略就是——长，但不用太复杂；每个站都不一样，但你要记得住。
这两条听着像吵架，其实不矛盾。有一种办法叫“密码短语法”，或者叫“口令句子”。比如你喜欢的某句歌词，取每个字拼音的首字母，再加个和你有关联的数字，拼起来就成了一个够长的东西。比如“我每天早上七点喝一杯咖啡”变成“wmtzsqdybhkf7”——这不是常规密码，这是你自己脑子里的一串口诀。好处是：长，有规律(对你来说)，不需要记一堆杂乱字符。坏处是：你得自己琢磨，不能直接用网上的例句。
另一个简单原则——重要账户，单独设；不重要的，用那个“听天由命”的。邮箱、支付、社交主账号，这三个必须独立密码。至于那些注册完就忘的论坛，无所谓。你说你没独立密码的习惯？那就把最要紧的三个改掉，今天，就现在。三个，不多。
还有一个很多人不知道的：两步验证。
这东西不开，密码再强也白搭。开了之后，就算别人猜到你密码，登的时候还要一个动态码，通常发你手机上。多花十秒，省掉一堆破事。很多主流网站都支持，去设置里翻一翻就有。真的，比改密码简单多了。
老周后来把摄像头密码改了
改成了什么呢？他没告诉我。但我知道他至少没再用六个8。
我妈那边，我远程帮她设了个新密码，记在个小本子上放抽屉里。她说这啥玩意儿，记都记不住。我说你只要记住不是六个8就行。
弱口令这件事，说到底不是技术问题。很多人以为黑客攻击是个多高深的事，其实大量案例里，攻破防线用的就是那几步：扫一遍，试几个常用词，然后进去了。防护做起来也没那么玄乎，就是把钥匙收好，别贴门上，别放脚垫下，别跟邻居共用一把。
剩下的，交给运气。但你至少别把运气全部押在“没人会来试”上面。
真的，去改个密码吧。就现在。