密碼要多強？用數字看懂強度的關鍵

強密碼要夠長，而且必須是隨機產生的，隨機性要來自產生器，而不是靠自己想。每多一個隨機字元或單字，攻擊者需要猜的次數就成倍增加，這也是為什麼長度比把字母換成符號之類的小技巧更有效。為每個帳號產生一組專屬密碼，存放在密碼管理工具中，並且絕對不要重複使用。

密碼產生器需要一組夠強的密碼免費使用

為什麼小技巧行不通

攻擊者很少會一個帳號一個帳號手動猜。他們會用常見密碼與字典單字的清單，套用已知的規則去嘗試，例如用 @ 代替 a、用 0 代替 o，以及在結尾加一個符號。他們會先試這些變化，因為很多人的密碼都來自相同的模式。像 P@ssw0rd! 這樣的密碼，對人來說看起來很複雜，但它卻是攻擊者清單中最先嘗試的變化之一。表面上的複雜度，說明不了它有多難被猜中。

用白話看懂熵值

熵值衡量的是，一組密碼可能來自多少種同樣可能的組合，單位是位元。每多一個位元，需要猜測的次數就加倍。重點在於，熵值描述的是產生密碼的過程，而不是密碼看起來的樣子。一組隨機字串和一句好記的短語，看起來可能同樣怪異，熵值卻天差地遠。隨機識別碼也不是密碼，因為它的設計目的是獨一無二，而不是保密。UUID v4 或 v7 說明了兩者的差別。

對由隨機字元組成的密碼，計算方式為：

位元 = 長度 × log2(字元集大小)

對由隨機單字組成的密碼片語，計算方式為：

位元 = 單字數 × log2(單字清單大小)

表格列出了實際計算的數值。每一列都假設每個選擇都是隨機的，且機率相等。

產生方式	可能組合數	位元
8 個隨機小寫字母	26^8	37.6
12 個隨機英文字母與數字	62^12	71.5
從 94 個可列印符號中隨機選出 20 個字元	94^20	131.1
從 7,776 個單字的清單中隨機選 4 個單字	7,776^4	51.7
從 1,024 個單字的清單中隨機選 5 個單字	1,024^5	50.0
從 7,776 個單字的清單中隨機選 6 個單字	7,776^6	77.5

第一列說明了為什麼短的隨機字串很弱：38 位元對重要帳號來說，安全餘裕太小。第三列顯示長度的效果。您自己想出的密碼，例如 Sunset!2026，實際可能的組合遠少於它的長度所暗示的，因為您是從一小組熟悉的樣式中挑選出來的。

可以打字輸入的密碼片語

如果一定得用打字輸入密碼，例如筆電登入或密碼管理工具的主密碼，隨機單字組成的密碼片語是最實用的選擇。從 7,776 個單字的清單中隨機選六個單字，約有 77.5 位元，而且單字比一串隨機符號容易記住。單字必須是隨機選的。您自己挑的四個單字，所提供的強度遠低於單字數量所暗示的，因為人們傾向選擇熟悉的單字與熟悉的搭配。因此以骰子為基礎的單字清單很常見：決定選擇結果的是骰子，而不是您的習慣。密碼產生器 就是以這種方式產生密碼片語，您可以選擇分隔符號，也可以選擇加入大寫字母與數字。

重複使用才是更大的風險

長度很重要，但重複使用才是通常讓一次外洩變成多次受害的原因。當某個網站遭入侵，它的電子郵件與密碼配對常會被拿去試用在其他熱門網站上。這種做法稱為「憑證填充」（credential stuffing）。紙面上很強的密碼，只要您在其他地方也用，就會完全失效。

密碼管理工具可以解決這個問題。它會為每個帳號產生專屬密碼、加以儲存並自動填入，您只需要記住一組強的主密碼。瀏覽器與手機系統都內建了管理功能，也有獨立的應用程式可用。無論您用哪一種，都應先為電子郵件與銀行帳號開啟雙重驗證，因為您的電子郵件帳號是重設其他帳號的關鍵。

美國國家標準與技術研究院（NIST）主張長度比強制符號之類的複雜度規則更重要，並且除非有外洩跡象，否則不再強制定期更換密碼。若某個網站要求您每隔幾個月就更換一次密碼，或拒絕長密碼或貼上，就是沿用舊有的做法。這是該網站的缺失，不是您選擇較弱密碼的理由。

簡短檢查清單

• 使用產生器來產生密碼，不要自己想。
• 對於不容易復原的帳號，目標至少 16 個隨機字元，或六個隨機單字。
• 每個帳號使用一組專屬密碼，並交由管理工具保存。
• 只要服務提供，就開啟雙重驗證。
• 如果您使用的服務回報遭入侵，立即更換密碼。

如果這組密碼是用在路由器上，用 QR 碼分享 Wi-Fi 說明了如何分享，而不必唸出來。

如何用 fixmint 操作

1. 開啟密碼產生器，並保持選取隨機字元。
2. 將長度設為至少 16；若是重要帳號，設為 20 或以上。預設值為 20，並已勾選全部四種字元集。
3. 查看預估強度。工具會將低於 50 位元評為弱、50 至 69 為普通、70 至 99 為強、100 或以上為非常強。
4. 按下重新產生取得新的一組五個密碼，然後複製其中一組到您的密碼管理工具中。請勿在其他地方使用。
5. 若是必須打字輸入的主密碼，請選擇密碼片語，將單字數設為六，並保留一個您能輸入的分隔符號。

快速解答

強密碼一定要包含符號嗎？

不一定。隨機符號會增加一些位元，但長度增加的位元更多，一串夠長的隨機英文字母與數字組合也很強。

幾個單字才能組成強密碼片語？

從 7,776 個單字的清單中隨機選六個單字，約有 77.5 位元，對大多數帳號來說是可靠的目標。

讓瀏覽器儲存產生的密碼安全嗎？

對大多數人來說是合理的選擇，前提是裝置有螢幕鎖定，且瀏覽器設定檔受到保護。主要風險在裝置，而不在密碼本身。