到底是什么让密码变强
重要的属性有四个。人们反复传的那些建议，大多是关于最不重要的那一个。
四个属性
- 长度——抵抗暴力破解的主导因素。每多一个字符，搜索空间就成倍扩大。
- 随机性——不可预测的选择，攻击者无法利用模式、字典或语法。
- 唯一性——从不重复使用，别处的泄露影响不到这个账号。
- 存储——放在密码管理器里，而不是记忆或记事本文件里。
什么不能让密码变强
用符号替换字母（p@ssw0rd）是一种破解工具会自动套用的已知变换。你牺牲掉的是输入准确率，换回来的收益几乎为零。
个人信息——姓名、日期、宠物名、球队——是有针对性的攻击者最先尝试的东西，而且这些信息往往还是公开的。
强制每类字符各出现一次的复杂度规则，倾向于产生「Summer2024!」这类模式，既好预测又难记住。
实用的做法
用密码管理器为每个账号保存一个 16 字符的随机密码。对少数必须靠记忆的密码——管理器的主密码、设备解锁码——改用六个随机单词组成的密码短语，约 78 比特，而且是真的记得住。
然后解决存储这一环，因为它是唯一会把其他一切拖垮的环节：一个被重复使用的密码，足以把任何一次泄露变成一连串的账号被接管。
常见问题
强密码应该多长？
从完整字符集里取 16 个字符，约 103 比特。再往上，风险就从猜测转向钓鱼。
密码生成器可信吗？
如果它在本地运行并使用密码学随机源，就可信。第一个属性你可以自己在浏览器的网络面板里验证。
双因素认证能替代强密码吗？
它覆盖的是另外一类失效——钓鱼和撞库——但不能成为使用弱密码或重复密码的借口。两者都要用。