密码是"数字世界的钥匙"
回到家会锁门，对吧？密码就是保护你在互联网上"自己房间"的钥匙。邮箱、社交媒体、游戏账号，都是属于你自己的重要空间。没有密码，任何人都可以随意进入。
你可能会想"反正也没什么怕被看到的"。但如果你的账号被盗，别人可能会用你的名义给朋友发垃圾消息、偷走你的充值道具，或者冒充你做坏事。密码不仅是"保护自己"，也是"保护身边的人"所必需的。
没有密码会怎样？ - 实际发生的事情
如果密码太弱或者多个账号使用同一个密码，以下这些事情确实在发生。
- 游戏账号被盗：花了几百个小时培养的角色和道具突然消失，充值的钱也拿不回来
- 社交媒体冒充：有人用你的名字给朋友发"借我点钱"的消息。朋友被骗转账的案例也有
- 照片和个人信息泄露：手机照片备份被非法访问，私人照片被公开到网上
- 邮箱账号被盗：邮箱被用于其他服务的"密码重置"，一旦邮箱被盗，所有账号都面临危险
这些事情容易让人觉得"跟我没关系"，但数据泄露每年发生数亿次。你的密码出现在泄露列表中的可能性，比你想象的要高。
如何创建好密码 - 长度就是正义
你可能听说过"要混合大写字母、小写字母、数字和符号"。但比起混合，能把可能的组合数增加到多少才更关键。而在不牺牲好记程度的前提下增加组合数，最有效的办法就是把密码变长。
短而复杂 vs 长而简单
下表的"被破解所需时间"，是按 2024 年时点一台高速 GPU 针对 MD5 这种保存方式每秒可尝试约 1,640 亿次来估算的，指把所有组合都试完所需的时间。如果服务方采用更费时的保存方式，实际耗时会比这更长。
| 密码 | 特点 | 被破解所需时间 |
|---|---|---|
| P@s5w0rd | 8 位（每位 95 种可能） | 约 11 小时 |
| blue sky green river | 4 个单词（每个单词 7,776 种可能） | 约 6 小时 |
| blue sky green river quiet moon | 6 个单词（每个单词 7,776 种可能） | 约 4 万 3,000 年 |
以这个速度来试，含符号的 8 位密码和只排了 4 个单词的密码短语，都会在一天之内被破解。但把单词增加到 6 个，所需时间的位数一下子就变了，实际上已经破不了。所以请使用把 6 个以上喜欢的单词排列在一起的"密码短语"。
绝对不能用的密码
- 自己的名字、生日、电话号码（容易被猜到）
- "password""123456""qwerty"（全世界最常用的密码）
- 喜欢的动漫或游戏角色名（可以从社交媒体推测出来）
- 所有服务使用同一个密码（一个泄露全部完蛋）
如何安全管理密码
知道应该每个服务用不同的密码了。但全部记住是不可能的。这时候密码管理器就派上用场了。
密码管理器是一个将所有密码保存在一个"保险箱"里的应用。你只需要记住打开保险箱的"主密码"一个就行，其余的由应用自动填入。
- 手机自带的：iPhone 的 iCloud 钥匙串、Android 的 Google 密码管理器
- 浏览器自带的：Chrome、Safari、Firefox 的密码保存功能
写在纸质笔记本上其实也没那么糟糕。因为笔记本不会被黑客入侵。只是要注意别弄丢了。也请参考如何创建强密码。
两步验证 - 密码 + 另一把钥匙
如果家门上有两把锁，小偷就更难进来了，对吧？两步验证（2FA）就是在密码之外添加"另一重确认"的机制。
登录时，输入密码后还需要输入发送到手机上的 6 位数字。即使密码泄露，没有手机的人也无法登录。
- 短信：数字发送到手机号码。最方便，但 SIM 卡被劫持就会被突破
- 认证应用：Google Authenticator 等应用每 30 秒显示一个变化的数字。比短信更安全
- 通行密钥：用手机的指纹或面部识别登录的最新方式。不再需要密码本身
特别重要的账号（邮箱、社交媒体、游戏）一定要设置两步验证。即使因钓鱼诈骗密码被盗，有两步验证就能防止损失。
总结 - 今天就能做的 3 件事
密码安全并不是什么难事。只需记住今天就能做的 3 件事。
- 让密码变长：改用 6 个以上喜欢的单词组成的密码短语
- 停止重复使用：至少邮箱、社交媒体、游戏要用不同的密码
- 开启两步验证：从重要的账号开始依次设置
想更多了解互联网安全的读者，互联网安全入门指南值得一读。在查IP上查看自己的 IP 地址，会让你对互联网的运作方式有更切身的感受。
本文相关术语
常见问题
为什么需要密码？
密码是互联网上「你的房间」的钥匙。没有密码，任何人都可以进入你的账户，冒充你或窃取你的信息。
如何创建强密码？
推荐使用「密码短语」- 将 4 个以上随机单词串在一起。长而易记的密码比短而复杂的密码安全得多。
什么是双重认证？
除了密码外还需要输入发送到手机的验证码的系统。即使密码泄露，没有手机的人也无法登录。