- 使用长、独特且复杂的密码，避免使用个人信息和字典词汇。
- 运用实用方法记住它们（短语、模式、管理技巧），同时又不牺牲安全性。
- 保持良好的密码习惯：不要重复使用密码，如有任何疑虑请立即更改密码，并且永远不要与他人分享密码。
- 使用多因素身份验证加强保护，并警惕网络钓鱼和社会工程攻击。
在当今的数字世界，我们开设的每一个在线账户都可能存储着非常敏感的信息：个人数据、对话记录、照片、视频、银行账户信息或工作文档。保护这些信息很大程度上取决于看似简单的密码；学习如何创建强密码至关重要，但创建弱密码则可能为欺诈、身份盗窃，甚至如果有人冒用我们的账户，还会损害我们的声誉。
此外，我们的许多账户都是关联的：我们使用同一个邮箱地址注册社交媒体、网上商店、银行或云服务。如果攻击者设法访问了一个账户，而你又在其他地方重复使用相同的密码，那么损失可能会成倍增加。因此，即使有时会有些不便，认真创建和使用强密码也至关重要。
为什么密码是你的第一道防线
强密码是保护您的数据免受入侵的第一道防线。想想您存储的所有东西：包含发票的电子邮件、机密文件、私人照片、客户或公司数据……如果有人未经授权访问这些信息，他们就可以利用这些信息进行欺诈、敲诈勒索或身份盗窃。
需要注意的是，账户被盗造成的损失不仅限于经济方面。入侵者可以冒用你的名义发送信息、在你的社交媒体上发布攻击性内容，或者冒充你向你的联系人索要钱财。事后修复这些损失可能非常耗时耗力。
正确使用密码可以帮助您保护在线个人数据并掌控其安全：只有您才能决定谁可以访问哪些内容、从哪里访问以及何时访问。但要实现这一点，密码必须难以猜测、与您无关，并且需要遵循基本的网络安全规范进行管理。
另一个关键点是，许多攻击不再是手动操作，而是自动化的。网络犯罪分子使用程序尝试数百万种单词、数字和键盘模式的组合，或者重复使用从其他网站泄露的数据（即所谓的撞库攻击）。如果你的密码简单或重复，你就很容易成为攻击目标。
真正安全的密码应该是什么样的？
仅仅在密码末尾添加几个数字不足以构成强密码。权威安全机构建议密码长度至少为 12 个字符，如果服务允许，14 个字符或更长的密码则更佳。
关键在于随机组合大写字母、小写字母、数字和符号。“6MonkeysRLooking^”或“B1gOte_289!”这样的字符串就能很好地说明这一点：字符数量足够多，字符类型混合，并且不是字典中的单词。避免使用显而易见的短语或容易推断出的模式。
同样重要的是，你的密码不能包含任何个人信息：既不能包含你的姓名，也不能包含伴侣、子女或宠物的姓名，更不能包含出生日期、电话号码、车牌号码、身份证号码、邮政编码、星座或任何显而易见的爱好。这些都是攻击者在收集到你的信息后首先会尝试的目标。
此外，最好避免使用任何语言词典中出现的单词，即使你将它们倒过来拼写或稍作改变也不行。词典攻击程序会测试大量的常用词、侮辱性词语、技术术语以及诸如“password”、“password123”或类似组合。
最后，切勿使用用户名作为密码，或使用与用户名过于相似、容易被猜到的密码。如果您怀疑密码泄露或已被他人看到，请立即毫不犹豫地更改密码。
生成强密码和易记密码的实用方法
最大的难题之一是，非常复杂的密码往往难以记忆。如果您最终不得不将密码写在未加保护的纸上或不断重置密码，那么您之前获得的安全性就会大打折扣。幸运的是，有一些非常简单的技巧可以创建既安全又易于记忆的强密码。
1. 使用短语创建密码
一个非常实用的技巧是，从一句你熟悉且有意义的短语开始，但这句话最好不要明显与你本人或一句著名的谚语相关。它可以是一句歌词、一首诗的诗句、一句电影台词，或者你自己编造的句子。
例如，如果你想到“胡安的酒吧总是供应3欧元的大份小吃”，你可以保留每个单词的首字母和数字：“EebdJspTga3€”。然后，如果某个服务不接受欧元符号，你可以调整符号，将其替换为其他允许的特殊字符。
另一种方法是使用只有你才能联想到自己作品的标题或短语，例如你最喜欢的歌曲、与朋友分享的轶事，或者一句常见但略作修改的评论。重要的是，基础短语要容易记住，并且最终结果要包含各种不同的字符。
2. 替换或删除元音
一种常见的策略是将部分字母替换为数字或符号。例如，您可以设定a = 4，e = 3，i = 1，o = 0，并仅替换部分元音字母以进一步增加密码的复杂性：“Seguridad”将变成“53gur1d4d”。攻击者熟知这种方案，但如果与其他方法结合使用，破解难度会更大。
另一种方法是直接去掉一个自造单词或短语中的所有（或几乎所有）元音字母。如果你用一个只有你自己才能理解的“怪异”词语或短语作为起点，然后去掉元音字母，得到的单词或短语将与真实单词几乎没有相似之处，从而增加字典攻击的难度。记住，之后要添加数字和符号，以增强其稳健性。
3. 按照某种模式混合单词和数字
有些人更喜欢机械化的方法，例如将单词的字母与数字交替排列，并始终遵循相同的顺序。想象一下，你选择单词“Mustache”（胡子）和数字“28921”，然后交替排列：一个字母，一个数字（顺序颠倒），以此类推。结果可能是类似“B1i2g9o8t2e”这样的结果。
这种密码生成方法迫使你动动脑筋，从而增强记忆力，并避免使用像“mustache28921”这样更容易破解的线性序列。同样，只需添加一个符号，如果需要，还可以添加一个大写字母来进一步增加密码的复杂性。
4. 骰子、数独和其他“极客”技巧
如果你想更进一步，可以使用像Diceware这样的工具，它利用掷骰子和单词列表生成完全随机的组合。每次掷骰子都会掷出不同的单词，将多个单词组合在一起，就能得到一个非常可靠的短语序列。
另一个创意是画一个类似数独的网格（例如 6x6），在里面填入随机数字，然后像解锁手机一样用手指描绘图案。你手指描绘的数字将构成密码的基础，之后你可以根据只有你自己知道的规则添加字母和符号。
这些方法的优势在于，即使你改变数独网格中的数字，或者使用之前解好的数独谜题，相同的模式也能生成新的密码。你只需要记住将数字转换成字母和符号的心理图像和规则即可。
选择密码时的好做法和坏做法
除了密码的创建方式之外，一个好的密码还应具备一些特征。这些特征包括：包含大小写字母、数字和符号的组合；不基于显而易见的单词或日期；长度足够（12-15 个字符比 8 个字符更好）；以及无需写下来就能轻松记住。
另一方面，我们发现一些“危险”密码非常容易被猜到。这些密码包括所有专有名词（您自己的、家人的、伴侣的、朋友的、宠物的）、公司或域名、简单的字典单词、类似“aaaaaa”或“123456”的序列、电话号码、车牌号码、银行卡密码，或者类似“qwertyui”或“asdf1234”的键盘序列。
此外，最好避免使用与你的喜好或个人信息相关的词语，例如：最喜欢的足球队、在社交媒体上经常公开的爱好、家乡、常用昵称等等。攻击者可以通过社交工程手段收集所有这些信息，并基于这些信息测试一些显而易见的组合。
另一方面，密码与用户名相同或非常相似并非明智之举。例如，如果你的邮箱地址是“[email protected]”，那么使用类似“juanperez2024”这样的密码就等于送给了试图入侵你邮箱的人一个绝佳的机会。你的公开身份与密码之间的概念距离越远越好。
某些服务也有字符限制：例如，它们只接受 ASCII 字符，不允许使用重音符号、ñ 或某些特殊符号。在这种情况下，您需要调整方法（例如，如果系统不支持欧元符号，则避免使用），但不能降低代码的复杂性。
密码卫生：如何进行日常管理
密码安全不仅仅是创建强密码，还包括你日常如何使用和存储密码。这一系列习惯通常被称为“密码卫生”，涵盖了从不与他人分享密码到定期检查密码强度等方方面面。
首先，每个重要账户都应该设置一个独一无二的密码。在多个服务中使用同一个密码是最常见的错误之一：如果某个网站发生数据泄露，导致你的密码泄露，攻击者会尝试用这个密码登录银行、邮箱、社交媒体或购物平台。这种自动化攻击被称为“撞库攻击”。
此外，当出现风险迹象时，建议更改密码：例如，如果服务发出可疑访问警报、发现异常活动或公司承认发生数据泄露。一些旧政策要求每三个月更改一次密码，但如今更常见的做法是，在发现安全漏洞或密码强度不足时才更新密码。
务必立即替换路由器、控制面板、物联网设备或新创建帐户（例如，如果您收到临时合同编号）上的默认密码。这些密码通常是公开的、简短的或非常容易猜到的。
当然，在您无法控制的浏览器或设备（例如公用电脑、网吧、多人共用的工作电脑）上，切勿选择“记住密码”选项。在不安全的环境中保存凭据，无异于邀请任何人盗用您的身份。
如何以及在哪里存储密码才能避免出错
很多人最终会把密码写在贴在屏幕上的纸条上、桌上的笔记本里，或者桌面上一个名为“passwords.xlsx”的文件里。这些方法虽然很方便，但安全性极低。任何能够物理或远程访问设备的人都可以访问你的所有账户。
如果您决定将它们写下来并记录在某个地方，请尽量选择一个安全且不显眼的地方，远离您要保护的计算机。即便如此，对于商业环境或特别敏感的账户（例如银行账户、系统管理账户、客户仪表盘账户等），这也不是最佳选择。
一种更现代、更安全的替代方案是使用密码管理器。这些应用程序会存储您的加密密码，生成复杂的密码组合，并在您需要时自动填充。您只需记住一个强主密码，并且在许多情况下，还需要启用多因素身份验证才能访问密码管理器本身。
信誉良好的密码管理器会定期更新您的密码，并在密码强度不足或泄露时发出警报，即使您的设备被盗，也能确保密码安全。强大的加密技术和双因素身份验证 (2FA) 相结合，使得第三方极难访问您的密码库。
如果您仍然不想使用密码管理器，可以选择使用前面提到的助记符（短语、模式、转换），并根据不同的网站进行一些细微的调整。例如，在密码的特定位置插入服务名称，根据账户类型更改某个字母等等。重要的是，这种方法要方便您使用，并且不要过于简化密码。
很多情况下，攻击者根本不会费力去破解你的密码；相反，他们会想方设法诱骗你泄露密码。网络钓鱼和其他社会工程攻击就是如此：他们会发送电子邮件、短信或拨打电话，冒充你的银行、热门网店，甚至是你的信任联系人。
如果您收到声称来自知名公司的电子邮件，要求您确认密码、点击可疑链接或以“安全”为由发送敏感数据，请立即提高警惕。同样，如果您接到自称来自银行或支付平台的电话，要求您提供密码以“验证”身份，也请提高警惕。
这些诈骗网站通常会模仿合法网站的外观，复制其标志、颜色和文本，使其看起来更加逼真。因此，务必始终通过可信赖的书签访问服务，或直接在浏览器中输入网址，而不是点击来自陌生邮件或短信中的链接。
如有任何疑问，请访问银行、商店或服务的官方网站（输入您已知的网址），或拨打其官方网站上列出的电话号码。切勿通过电子邮件、短信或电话泄露您的密码，即使是看似您信任的人或服务技术人员向您索要密码也不行。
多因素身份验证和额外保护措施
即使采取了上述所有措施，仍然存在密码被他人窃取的风险。因此，强烈建议在条件允许的情况下启用多因素身份验证（MFA 或 2FA）。该系统需要的不仅仅是您的密码：例如，通过短信或应用程序生成的临时验证码、实体钥匙或生物识别身份验证。
原理很简单：即使攻击者获取了你的密码，没有第二重验证也无法登录。许多主流平台（谷歌、微软、社交网络、银行等）已经提供这种系统，在商业环境中，它正逐渐成为不可或缺的标准。
另一个有用的措施是保持您的恢复信息最新：备用电子邮件地址和备用电话号码（请参阅如何恢复我的 Gmail 帐户）。这些信息可帮助您检测未经授权的访问，在您忘记密码或有人试图更改密码时恢复您的帐户，并在出现可疑活动时收到警报。
但是，请谨慎对待这些数据：定期检查其是否仍然是最新的（不再使用的手机号码几乎没有用处），并避免在不可靠的表格或社交网络上随意分享。
如果您怀疑某个账户已被盗用，请立即采取行动：更改受影响账户的密码，关闭其他设备上的所有会话，并查看近期活动记录。对于关键服务（例如主要邮箱、银行账户、企业工具），最好也更改其他相关账户的密码。
针对个人和商业环境的具体建议
就个人而言，目标很简单：保护您的私人数据，防止您的帐户被用于恶意用途。要实现这一点，只需遵循上述最佳实践：使用长而独特的密码，使用密码管理器或强助记符，尽可能启用双因素身份验证 (2FA)，并避免与朋友或家人共享密码；如果确实需要共享密码，请学习如何安全地共享密码，“毕竟，这又不是世界末日。”
在商业环境中，密码的重要性更加凸显，因为它们可以决定用户能否访问公司信息、工作工具、客户数据库或关键系统。因此，确保每位员工都拥有独一无二的凭证至关重要，通用用户账户不得共享，并且存储密码的文件或系统必须格外安全。
组织应制定明确的密码策略：最小长度、所需复杂性、企业经理的使用、在关键帐户上启用 MFA 的义务、禁止将密钥写在便签或未加密的文档上，以及人员入职或离职时更改密码的程序。
此外，建议加强对所有员工的基本网络安全培训：识别钓鱼邮件、在输入凭证前仔细检查网址、立即报告丢失的账户访问设备等。即使是世界上最好的密码，如果用户不小心将其泄露给了诈骗分子，也毫无用处。
简而言之，密码就像电子牙刷：不要与他人分享，妥善保管，并根据需要更改。通过结合使用长而独特的密码、良好的密码管理习惯、必要时使用密码管理器以及在最重要的服务上启用多因素身份验证，您可以大大增加攻击者的难度，并更加安心地畅游网络世界。
