那家强制改密码的公司
公司规定 90 天必须换密码，于是 Password1! 变成 Password2!，再变成 Password3!。审计一查，全员规律一致，等于没设。规定的初衷是缩短泄露窗口，实际效果却把人推向可预测的弱口令——比强制换密码更有效的，是长度和唯一性。
长度和字符集，谁在起作用
熵等于长度乘字符池的对数：8 位全字符（池 95）约 52.6 位，12 位纯小写（池 26）约 56.4 位——多敲四个字母，赢了多敲符号。8 位大小写加数字只有 47.6 位，16 位全字符能到 105.1 位。先把长度拉起来，再谈字符种类。
算一遍：破解要多久
按离线爆破每秒一万亿次估算：52.6 位的 8 位全字符密码约 6.63e15 种组合，全穷举要 6634 秒，折合 1.84 小时；56.4 位的 12 位纯小写要 26.5 小时；16 位全字符 4.4e31 种组合，换算下来约 1.4 万亿年。差四个字符，安全等级差出好几个数量级。
这几种做法等于没设密码
- 全站共用一个强密码：任意一处泄露，全线跟着失守
- 把密码截图存相册：相册一旦云端同步，等于明文备份
- 用生日加姓名缩写打底：社工库一搜就中
什么时候别用它生成
- 需要长期记住的主密码：随机串记不住，改用四个随机单词组成的长口令
- 需要口头传达的密码：随机串传话必错，换成一次性链接更靠谱
- 系统规定了格式的场合：按对方规则来，硬套随机串只会被拒
常见问题
- 多少位才够用
- 日常账号 12 位以上，重要账号 16 位，服务器密钥 20 位起。
- 生成完记不住怎么办
- 交给密码管理器，只记一个主密码。
- 特殊符号必须加吗
- 不必，长度优先；系统强制要求时再加。
- 多久换一次
- 没有泄露迹象就不必定期换，泄露或共用设备后再换。