如今的强密码:从长短语到通行密钥的实用安全方案详细解读

密码不是像电影里那样被破解的。没有人坐在那里猜您的狗叫什么:密码从被黑的服务中成百万地泄露,然后在其他所有网站上自动测试。这种机器机制决定了真正的防护规则,与旧指南里常见的“八位带星号”大不相同。我们按顺序梳理,从密码本身的属性讲到完全不用密码的生活。

真正重要的是什么

两个属性决定一切。唯一性:一个服务一个密码,否则任何网站泄露都会打开您的全部生活;把泄露的账号密码拿去其他服务逐一尝试,是大规模入侵的主要方式。长度:抵抗机器破解的能力随每个字符增长,比任何花招都快,四个随机单词的短语胜过带特殊符号的短乱码。其余的,从无故定期更换到用数字替换字母,都属于过去:泄露之后再换,不必看日历。

密码管理器:规则变了

“一百个又长又唯一的密码”靠大脑做不到,靠管理器轻而易举:它自己生成、保存和填写密码,您只需记住一个主短语。选任何成熟的工具:系统和浏览器内置的已经够好而且免费,独立应用在您同时使用多个平台时更方便。两条使用规则:主短语要长且不用于其他地方,管理器本身的登录要用第二因素保护。一个被低估的好处:管理器只在真实域名上填写密码,在假域名上保持沉默,成了钓鱼检测器,我们在钓鱼一文中写过。

第二因素是必须的

无论密码如何,总有一天可能从服务本身泄露。第二因素让泄露的密码失去作用:登录还需要您设备的确认。强度层次很简单:短信验证码总比没有好,验证器应用明显优于短信,硬件密钥或设备内置生物识别最强。至少在邮箱、银行和主要社交网络上启用:邮箱是清单上最重要的,因为其他所有密码都通过它恢复。各选项的详细分析见双因素认证一文。

对大多数人来说,第二因素的选择是这样的:重要的一切用手机上的验证器应用,愿意随身携带的人给邮箱和金融用硬件密钥,没有其他选择时用短信。启用时务必保存备用码:手机丢失时验证器也一起丢失,没有备用码的恢复会变成带着护照找客服的漫长过程。

通行密钥:密码之后的生活

大型平台已经提供完全无密码登录:通行密钥是存放在您设备上的加密密钥,通过生物识别或 PIN 码起作用。没有什么可猜的,也没有什么可从服务器泄露的,在假网站上密钥根本不起作用,因为它绑定了真实域名。设备间同步由同样的生态系统和密码管理器解决。当前策略:只要提供就启用通行密钥,密码仍作为备用入口,其安全习惯依然重要。

该写在哪里,什么不该写

有三样东西不能以明文存放:管理器的主短语、银行卡 PIN 码,以及手机未加密笔记中的备用码。家中的纸,虽然听起来矛盾,却是存放主短语和备用码的好地方:网上的威胁够不到书桌抽屉。而桌面上的“密码.txt”和云端未加密表格是送给未来窃贼的礼物:恶意软件在受感染的机器上首先就找它们。

今晚的计划

1. 安装一个管理器,想好一个长主短语。
2. 把邮箱和银行的密码换成生成的,在那里启用第二因素,有通行密钥的也启用。
3. 之后在访问服务时逐步更换密码:一个月后大部分就都是唯一的了。
4. 把恢复备用码保存在同一处,放在管理器里或家中的纸上。
5. 在泄露数据库中检查您的邮箱,现代管理器和浏览器都内置了这种检查:查到的密码优先更换。

到此,这个话题未来几年都解决了:管理器解决唯一性,长度解决强度,第二因素让密码被盗失去价值,通行密钥则逐步消除被盗的对象本身。如果账号已经行为异常,先别管密码,从被盗后的处理步骤开始。