2026 年的密碼安全比 5 年前困難得多。人工智慧驅動的破解、大規模資料外洩和憑證填充攻擊的結合意味著大多數「安全」密碼已經被洩露。
關於密碼的真相：
- 平均密碼出現在 47 起已知資料外洩事件中（請參閱您的密碼： 我被騙了嗎)
- 在現代 GPU 上，混合大小寫 + 數字 + 符號的 8 個字元密碼在 39 分鐘內破解
- 16 個字元的隨機密碼需要 5 億年以上才能破解
- 最重要的是長度，而不是複雜性
三層策略：
第 1 層：關鍵帳戶（銀行、電子郵件、密碼管理器）
- 使用獨特的、超過 25 個字元的隨機密碼
- 使用身份驗證器應用程式（Authy、Aegis）啟用 2FA — 而不是簡訊
- 對於電子郵件 + 銀行業務，也啟用硬體安全金鑰（YubiKey 5 — 50 美元）
- 每 12 個月更改一次
第 2 級：重要帳號（購物、社群媒體、工作）
- 獨特的 18 個字元的隨機密碼
- 啟用 2FA
- 由密碼管理員產生
第 3 層：低價值帳號（論壇、免費工具、一次性註冊）
- 獨特的 15 個字元的隨機密碼（仍由密碼管理器管理）
- 如果無法輕鬆提供，請跳過 2FA
- 使用電子郵件別名（SimpleLogin、Apple Hide My Email）來限制暴露
值得使用的密碼管理器：
- 1密碼 （36 美元/年）—整體最佳、家庭共享、安全筆記
- 比特沃登 （10 美元/年或免費）—開源，不太完善但值得信賴
- 蘋果鑰匙圈 （免費）—如果你是 100% Apple 生態系統就好了
- 不 LastPass（多次違規，失去信任）
二因素身份驗證排名：
1. 硬體安全密鑰（YubiKey、Titan）－防網路釣魚
2. 身份驗證器應用程式（Authy、Aegis、1Password TOTP）
3. SMS（容易被 SIM 卡交換影響－只有在沒有其他可用的情況下才使用）
4. 基於電子郵件的 2FA（總比沒有好）
最好的免費密碼產生器： 維基商店密碼產生器 — 在您的瀏覽器中產生安全的隨機密碼，從不存儲，無需註冊。
揭穿常見的神話：
- 「每 90 天更改一次密碼」 → 過時的 NIST 指南，弊大於利
- “不要寫下密碼” → 如果物理鎖定也可以，只是不要以未加密的數位方式存儲
- “混合大小寫+符號使密碼更安全” → 長度更重要
- “瀏覽器自動填入沒問題” → 對於低風險帳戶可以；對於重要的密碼使用真正的密碼管理器
如果違反怎麼辦：
1. 檢查 我被騙了嗎 — 識別哪些站點
2. 更改被破壞網站+使用相同密碼的任何其他網站的密碼
3. 對所有重要帳號啟用 2FA
4. 跑步 我被密碼檢查了嗎 查看您的密碼是否特別出現在違規行為中