你的密碼真的安全嗎？大多數人常犯的錯誤
讓我們從一個令人不安的問題開始：你有多少個網路帳號共用同一個密碼？
如果答案超過一個，你並不孤單。研究持續顯示，一般人平均在至少五個帳號中重複使用密碼。許多人在數十個服務中使用相同密碼或其細微變形。這是大多數人在網路上面臨的最大安全風險之一，而且完全可以預防。
真正的危險：資料外洩與憑證填充攻擊
大多數人認為駭客攻擊是針對個人，猜測其密碼或對帳號進行暴力破解。現實情況卻大相徑庭。
絕大多數帳號被盜事件都是透過資料外洩發生的。你在某家公司擁有帳號，該公司遭到駭客入侵，其用戶名稱與密碼的資料庫被竊取，並被公開發布在網路上或在暗網上出售。這種事件以令人警惕的頻率發生在大型企業身上。
密碼重複使用的問題在此變得災難性。攻擊者取得外洩的電子郵件和密碼組合，自動在數百個其他服務上嘗試登入：Gmail、Amazon、銀行網站、社交媒體。這被稱為憑證填充攻擊，之所以奏效，是因為太多人在各處使用相同的密碼。
警告 如果你在一個被入侵的小型論壇和你的主要電子郵件帳號上使用相同的密碼，攻擊者取得論壇資料庫後就能存取你的電子郵件。透過你的電子郵件，他們幾乎可以重設你擁有的所有其他帳號的密碼。
最常見的密碼錯誤
1. 重複使用密碼
這是密碼安全的頭號大罪。當你重複使用密碼時，一個服務的外洩事件就會危及你使用該密碼的所有服務。
2. 使用弱密碼
儘管多年來的宣傳教育，最常見的密碼仍然令人震驚地簡單。"123456"、"password"、"qwerty" 和 "admin" 一直高居榜首。這些密碼可以在一秒內被破解。
3. 可預測的規律
許多人以為自己很聰明，使用以下這類規律：
- 在常見單詞末尾加上 "1" 或 "!"
- 只將第一個字母大寫
- 使用基礎密碼加上網站名稱（例如 "MyPassword-facebook"）
- 用數字替換字母（"p@ssw0rd"）
攻擊者了解所有這些規律。他們的工具專門設計來嘗試這些變形。一個在人類看來複雜的密碼，對自動破解工具來說可能微不足道。
4. 使用個人資訊
寵物名字、生日、紀念日、孩子的名字、最喜歡的運動隊。所有這些資訊通常都在社交媒體上公開。如果你的密碼是 "fluffy2019"，而你的 Instagram 上滿是貓咪照片與 #FluffyTheCat，你並不像你想的那樣安全。
5. 從不更改已外洩的密碼
即使在收到外洩通知後，許多人仍不更改密碼。這給了攻擊者更長的時間來利用外洩的憑證。
你知道嗎？ 已知最大的資料外洩事件在單次外洩中暴露了超過 32 億個電子郵件和密碼組合。你的至少一個密碼很可能已在過去的外洩事件中暴露，即使你從未收到通知。
什麼樣的密碼才算強？
強密碼具備三個關鍵特性：
- 長度。 這是最重要的因素。一個 16 個字元的密碼比一個 8 個字元的密碼難破解的程度呈指數級增長，無論複雜程度如何。
- 隨機性。 不應包含字典詞彙、名字、日期或可識別的規律。
- 唯一性。 必須只用於一個帳號。
以下是密碼長度對隨機密碼破解時間的影響：
| 長度 | 僅小寫字母 | 大小寫混合 + 數字 + 符號 |
|---|---|---|
| 6 個字元 | 即時 | 約 5 秒 |
| 8 個字元 | 約 2 分鐘 | 約 8 小時 |
| 12 個字元 | 約 200 年 | 約 34,000 年 |
| 16 個字元 | 約 300 萬年 | 實際上無法破解 |
結論很明確：長度勝過複雜度。 一個 16 個字元的隨機密碼（僅含小寫字母）遠比一個 8 個字元含大寫字母、數字和符號的密碼更強。
解決方案：密碼管理器與唯一密碼
為每個帳號使用強且唯一密碼的最實際方法是使用密碼管理器。密碼管理器將所有密碼儲存在一個加密的保險庫中，由單一主密碼保護。你只需記住一個密碼，其餘的由管理器處理。
常見的密碼管理器包括 Bitwarden（免費且開源）、1Password 和 KeePass。大多數瀏覽器也有內建的密碼管理器，效果相當不錯。
密碼管理器的運作方式
- 當你建立帳號或更改密碼時，管理器會產生一個長而隨機的密碼。
- 密碼被儲存在你的加密保險庫中。
- 當你造訪網站時，管理器會自動填入憑證。
- 你永遠不需要記住、輸入甚至看到個別密碼。
立即採取行動：你現在可以做的兩個步驟
你不需要一次性徹底改造你的整個數位生活。從這兩個具體行動開始。
步驟一：檢查你的密碼是否已外洩
在做任何事之前，先了解你現有的密碼是否已在已知的資料外洩事件中暴露。這能告訴你哪些帳號面臨即時風險。
提示 你現在就可以免費檢查你的密碼是否出現在已知的外洩資料庫中：檢查你的密碼是否已外洩。檢查是安全進行的——你的完整密碼絕不會被傳送到任何地方。
步驟二：為你最重要的帳號產生強密碼
從最重要的帳號開始：你的主要電子郵件、銀行帳號，以及任何儲存付款資訊的帳號。用強而隨機產生的密碼替換這些密碼。
提示 使用我們的免費密碼產生器即時建立強而唯一的密碼：產生安全密碼。你可以自訂長度和字元類型以符合任何網站的要求。
超越密碼：啟用雙重驗證
即使是最強的密碼，如果儲存它的服務遭到入侵，也是不夠的。**雙重驗證（2FA）**增加了第二層保護：輸入密碼後，你還必須提供來自手機、驗證器應用程式或實體安全金鑰的驗證碼。
啟用 2FA 後，單靠外洩的密碼不足以讓攻擊者存取你的帳號。在每個提供此功能的帳號上啟用它，尤其是電子郵件、銀行業務和社交媒體。
警告 基於簡訊的 2FA（以簡訊傳送的驗證碼）比沒有好，但容易受到 SIM 卡劫持攻擊。驗證器應用程式（Google Authenticator、Authy）或硬體金鑰（YubiKey）更為安全。
建立更好的習慣
密碼安全不是一次性的修復，而是持續進行的實踐：
- 使用密碼管理器管理所有帳號。
- 為每個新帳號產生唯一密碼。
- 在任何可用的地方啟用 2FA。
- 定期檢查外洩情況，至少每年一兩次。
- 收到外洩通知時立即更改受損密碼。
立即開始保護你的帳號：
兩個工具均免費、在瀏覽器中運行，且絕不傳送你的資料。