很多人注册账号时会用「生日+姓名首字母」「手机号倒过来」这种自己觉得够复杂的密码,心理上感觉安全,实际上在黑客眼里几乎不设防。搞懂密码到底是怎么被破解的,才知道什么才是真正管用的密码。
最常见的两种方式:一种是「字典攻击」,拿网上流出的海量真实密码库、常见单词组合去批量尝试,凡是带生日、姓名、常见单词的密码基本秒破;另一种是「暴力破解」,用计算机把所有可能的字符组合挨个试一遍,密码越短、字符种类越少,试完所有可能性花的时间就越短。
很多人以为加个感叹号、把字母 a 换成 @ 就安全了,其实这类替换规律黑客的破解字典早就覆盖了。真正起决定性作用的是长度——每多一位字符,需要尝试的组合数量都是几何级增长,一个 8 位密码用现在的硬件可能几小时甚至几分钟就被暴力破解,而 12 位以上的随机字符组合,破解时间能拉长到几乎不现实。
如果你在 A 网站注册时用了某个密码,A 网站数据库后来泄露了,黑客拿到这批「账号+密码」,会批量去银行、邮箱、社交账号这些地方挨个尝试登录——这叫「撞库攻击」。哪怕你其他账号密码没泄露,只要重复使用,风险就已经被放大到了所有你用过这个密码的地方。
人脑很难凭空想出真正随机的字符组合,总会不自觉带入熟悉的规律(键盘顺序、常用词、个人信息)。用密码生成器直接生成随机字符串,不基于任何个人信息,也不用担心自己「想的还不够复杂」,根据每个网站要求调整长度和字符类型(大小写字母、数字、符号)就行。
正规网站不会把你的密码明文存进数据库,而是存一段由哈希算法(比如 MD5、更安全的 SHA 系列)算出来的「指纹」,数据库泄露时黑客拿到的是这段哈希值,不是密码原文,想反推出原密码需要额外的破解成本。用 MD5 工具输入一段文字试试,能直观感受一下「一段文字」变成「一串看似无意义的哈希值」是什么样的,理解这个概念对判断网站安不安全也有帮助。
我读了密码生成器的代码,把四类字符都勾选时的实际字符池数了一遍:大写字母 24 个(去掉了 I 和 O),小写字母 25 个(去掉了 l),数字 8 个(去掉了 0 和 1),符号 13 个,合计 70 种字符。计算公式是:可能的组合数 = 字符池大小的长度次方,熵(bit)= 长度 × log2(70),约等于每位 6.13 bit。12 位时是 70 的 12 次方,约 1.38×10^22 种,约 73.6 bit;16 位时是 70 的 16 次方,约 3.32×10^29 种,约 98.1 bit。每多一位,组合数乘以 70,所以 16 位比 12 位多出 70^4,也就是 24,010,000 倍。作为对比,8 位只有约 5.77×10^14 种,约 49.0 bit。另外要提醒一点:工具页面上显示的强度估算把小写字母按 24 个算,所以 12 位显示 73 bit,而按实际字符池算是 73.6 bit,16 位两者都是 98 bit 左右,差别很小,不影响结论。
如果你有好几个账号密码用了好几年没换过、或者好几个网站用的是同一套密码,趁现在花几分钟用密码生成器逐个换掉,是性价比最高的安全升级。