如何设置强密码：密码长度、密码短语和多重身份验证
如何设置一个安全的强密码？根据 NIST 和 CISA 的最新建议：密码要长、唯一且随机，可以试试密码短语，使用密码管理器，并开启多重身份验证（MFA）。
本指南仅供一般参考，不构成专业的财务、法律或技术建议。菜单和规则可能因设备和国家而异。
强密码应当足够长、足够随机，并且只用于一个账户。美国政府目前的指南更看重长度而不是复杂度：CISA 建议密码至少 16 个字符，比如由密码管理器生成的随机字符串，或由 5–7 个互不相关的单词组成的密码短语。
长度和唯一性远比把字母换成符号重要。再给重要账户加上多重身份验证（MFA），即使密码泄露，你也能得到保护。
快速回答
- 够长：至少 16 个字符，越长越安全。
- 唯一：每个账户都用不同的密码。
- 随机：让密码管理器生成，或用 5–7 个不相关的单词组成密码短语。
- 抛开过时的规则：不必强制加符号，也不必定期改密码。只有在密码可能泄露时才需要更改。
- 使用密码管理器来生成、保存和自动填写密码。
- 开启 MFA，保护邮箱、银行、医疗及其他重要账户。
什么样的密码才算强密码？
攻击者很少手动去猜密码。他们用软件批量尝试常见密码、泄露过的密码和容易预测的规律。强密码从三个方面挫败这些工具。
- 长度。每多一个字符，可能的组合数量就成倍增加。这就是 NIST 和 CISA 都强调长度的原因。
- 随机性。单词、姓名、日期以及像“qwerty”“123456”这样的键盘规律，是攻击者最先尝试的。真正随机的选择要难破解得多。
- 唯一性。一个网站被攻破后，犯罪分子会拿着盗来的邮箱和密码去其他网站尝试（俗称“撞库”）。如果你重复使用密码，一次泄露就可能让多个账户失守。
当前的权威建议
美国国家标准与技术研究院（NIST）制定的密码规则被很多机构采用。它的数字身份指南规定，各类服务应当：
- 当密码是唯一的登录方式时，要求密码至少 15 个字符；与 MFA 一起使用时，至少 8 个字符。
- 允许使用至少 64 个字符的密码。
- 不强制要求混合多种字符类型，比如“至少一个大写字母、一个数字、一个符号”。
- 不强制定期更改密码，但在有证据表明密码已泄露时要求更改。
- 用常见密码和已泄露密码的清单来检查新密码。
- 允许使用密码管理器、自动填充和粘贴。
美国网络安全和基础设施安全局（CISA）给公众的建议也类似：至少 16 个字符，每个账户使用不同的密码，并用密码管理器来帮你完成这些工作。
如何一步步设置强密码
方法一：让密码管理器自动生成（最佳）
- 选择一个口碑好的密码管理器。很多浏览器和手机都自带密码管理功能，也有独立的应用可选。
- 用一个又长又唯一的主密码或密码短语保护密码管理器，并为它开启 MFA。
- 注册或更新账户时，使用密码管理器的生成密码功能。
- 把长度设置为至少 16 个字符。如果网站允许，可以更长。
- 保存到密码管理器中。下次它会自动帮你填写，你完全不用去记。
方法二：设置一个好记的密码短语
少数必须凭记忆输入的密码适合用这种方法，比如电脑开机密码或密码管理器的主密码。
- 选 5–7 个互不相关的单词，越随机越好。避免用歌词、名言以及任何与你本人有关的内容。
- 靠随机方式选词（例如掷骰子对照单词表，或随手翻开词典的某一页），比挑一些“感觉”很随机的词更安全。
- 把这些词连在一起，如果网站允许，可以用空格或分隔符隔开，例如 lantern-gravel-oyster-tundra-pickle。（不要用这个示例，它已经公开了。）
- 确认长度至少 16 个字符。大多数由五个单词组成的密码短语都能轻松达标。
- 只在一个账户上使用。
方法三：改进现有的弱密码
- 先从最重要的账户入手：邮箱、银行，以及任何可以用来重置其他账户密码的账户。
- 把太短或重复使用的密码换成自动生成的密码或新的密码短语。
- 顺便在账户的安全设置中开启 MFA。
- 其余账户可以慢慢处理，把密码管理器列出的重复或弱密码清单当作待办事项。
弱密码和强密码对比
| 密码类型 | 示例规律 | 强度 | 原因 |
|---|---|---|---|
| 常见单词加字符替换 | P@ssw0rd1 | 弱 | 太短，而且在每个攻击者的字典里 |
| 姓名或日期 | 名字 + 出生年份 | 弱 | 在社交媒体上很容易查到 |
| 较短的随机组合 | 8 个随机字符 | 中等 | 难猜，但按现行建议还是太短 |
| 密码短语 | 5–7 个随机且不相关的单词 | 强 | 够长又好记 |
| 自动生成的随机字符串 | 16 个以上随机字符 | 最强 | 够长、够随机，并由工具帮你保存 |
表中展示的是规律，不是真实密码。永远不要使用任何网站上的示例密码。
开启多重身份验证（MFA）
MFA 在登录时增加了第二道验证，所以仅凭被盗的密码无法登录。CISA 建议为邮箱、银行、医疗及其他重要账户开启 MFA。邮箱要放在第一位，因为谁控制了你的邮箱，谁就能重置你的其他密码。
常见的 MFA 方式包括：
- 身份验证器应用，每 30 秒显示一个新验证码。
- 通过短信或邮件发送的验证码。比没有 MFA 好，但 CISA 指出，短信和语音验证码容易遭受网络钓鱼和 SIM 卡劫持（换卡）攻击，因此只应作为最后的选择。
- 生物识别，比如指纹或面部识别。
- 基于 FIDO 的登录，比如实体安全密钥。CISA 称 FIDO/WebAuthn 是唯一被广泛采用的抗钓鱼方式。
设置方法：在账户的安全或登录设置中，找到“两步验证”或“多重身份验证”之类的选项。把备用验证码保存在安全的地方。
需要避免的常见错误
- 重复使用密码。这是最大的风险。一次泄露就可能暴露所有使用同一密码的账户。
- 依赖字符替换。把“a”换成“@”或在末尾加“1!”很容易预测，破解工具会自动尝试这些变化。
- 使用个人信息。宠物名、生日和喜欢的球队在网上很容易查到。
- 把密码写在没有保护的备忘录或表格里。请改用经过加密的密码管理器。
- 分享密码或 MFA 验证码。正规公司绝不会通过电话、短信或邮件索要你的密码或登录验证码。了解如何识别网络诈骗和网络钓鱼。
- 无缘无故定期改密码。NIST 已不再建议强制定期更改，因为这往往导致人们只做一些小而可预测的改动。只有在有迹象表明密码已泄露时才需要更改。
常见问题
强密码应该多长？
CISA 建议至少 16 个字符，越长越好。NIST 规定，当密码是唯一的登录因素时，服务应要求至少 15 个字符。用密码管理器，长密码也不麻烦。
密码短语真的比复杂密码更安全吗？
由真正随机的单词组成的长密码短语，通常比满是符号的短密码更强，而且好记得多。长度带来的安全性比复杂度规则更高。
我应该定期更改密码吗？
NIST 目前的指南认为，没必要按固定周期更改密码。如果某个服务报告了数据泄露、你发现可疑活动，或者不小心把密码告诉了别人，就要立即更改。
密码管理器安全吗？
一个由强主密码和 MFA 保护的可靠密码管理器，远比重复使用密码或把密码写下来安全。它还让你可以轻松地在每个地方都使用不同的密码。
如果我的密码在数据泄露中曝光了怎么办？
立即更改该密码，以及所有使用了同一密码的账户。开启 MFA，并查看账户最近的活动记录。如果该账户涉及资金，也要核对一下账单。
让浏览器保存密码安全吗？
对很多人来说，主流浏览器和手机自带的密码管理器是个不错的选择，尤其是在开启了设备锁和 MFA 的情况下。在清除浏览器缓存之前，确保你不会把需要的已保存密码也一起删掉。