2026 年的密码安全比 5 年前要困难得多。人工智能驱动的破解、大规模数据泄露和凭证填充攻击的结合意味着大多数“安全”密码已经被泄露。
关于密码的真相：
- 平均密码出现在 47 起已知数据泄露事件中（查看您的密码： 我被骗了吗)
- 在现代 GPU 上，混合大小写 + 数字 + 符号的 8 个字符密码在 39 分钟内破解
- 16 个字符的随机密码需要 5 亿年以上才能破解
- 最重要的是长度，而不是复杂性
三层策略：
第 1 层：关键帐户（银行、电子邮件、密码管理器）
- 使用独特的、超过 25 个字符的随机密码
- 使用身份验证器应用程序（Authy、Aegis）启用 2FA — 而不是短信
- 对于电子邮件 + 银行业务，还启用硬件安全密钥（YubiKey 5 — 50 美元）
- 每 12 个月更改一次
第 2 级：重要帐户（购物、社交媒体、工作）
- 独特的 18 个字符的随机密码
- 启用 2FA
- 由密码管理器生成
第 3 层：低价值帐户（论坛、免费工具、一次性注册）
- 独特的 15 个字符的随机密码（仍由密码管理器管理）
- 如果无法轻松提供，请跳过 2FA
- 使用电子邮件别名（SimpleLogin、Apple Hide My Email）来限制暴露
值得使用的密码管理器：
- 1密码 （36 美元/年）——整体最佳、家庭共享、安全笔记
- 比特沃登 （10 美元/年或免费）——开源，不太完善但值得信赖
- 苹果钥匙扣 （免费）——如果你是 100% Apple 生态系统就好了
- 不 LastPass（多次违规，失去信任）
二因素身份验证排名：
1. 硬件安全密钥（YubiKey、Titan）——防网络钓鱼
2. 身份验证器应用程序（Authy、Aegis、1Password TOTP）
3. SMS（容易被 SIM 卡交换影响——只有在没有其他可用的情况下才使用）
4. 基于电子邮件的 2FA（总比没有好）
最好的免费密码生成器： 维基商店密码生成器 — 在您的浏览器中生成安全的随机密码，从不存储，无需注册。
揭穿常见的神话：
- “每 90 天更改一次密码” → 过时的 NIST 指南，弊大于利
- “不要写下密码” → 如果物理锁定也可以，只是不要以未加密的数字方式存储
- “混合大小写+符号使密码更安全” → 长度更重要
- “浏览器自动填充没问题” → 对于低风险账户来说可以；对于重要的密码使用真正的密码管理器
如果违反怎么办：
1. 检查 我被骗了吗 — 识别哪些站点
2. 更改被破坏网站+使用相同密码的任何其他网站的密码
3. 对所有重要帐户启用 2FA
4. 跑步 我被密码检查了吗 查看您的密码是否特别出现在违规行为中