强密码由什么决定：用数字说清楚

强密码应该够长且足够随机，而随机性必须来自生成器，而不是靠你自己编。每多一个随机字符或单词，攻击者需要猜的次数就成倍增加，所以长度比把字母换成符号之类的小技巧更有用。为每个账户生成一个独一无二的密码，存进密码管理器，并且永远不要重复使用。

密码生成器需要一个高强度密码免费使用

为什么小技巧不管用

攻击者很少一个账户一个账户手动去猜。他们会把常见密码和字典单词套用已知的变换规则来批量尝试，比如用 @ 代替 a、用 0 代替 o，末尾再加一个符号。他们会优先尝试这些变体，因为很多人的密码都来自同样的套路。像 P@ssw0rd! 这样的密码，人看起来很复杂，但它恰恰是攻击者名单里最先会试的变体之一。表面上的复杂程度并不能说明它有多难猜。

用大白话理解熵

熵衡量的是：一个密码可能来自多少种同样可能的组合，单位是比特。每增加一个比特，需要猜的次数就翻一倍。关键在于，熵描述的是生成密码的过程，而不是密码看起来怎么样。一串随机字符和一个好记的短语，看起来可能同样怪异，但熵却相差很远。随机生成的标识符也不是密码，因为它的设计目标是唯一，而不是保密。UUID v4 与 v7 的区别对此有详细说明。

对于由随机字符组成的密码，计算方法是：

bits = length × log2(size of the character set)

对于由随机单词组成的密码短语，计算方法是：

bits = number of words × log2(size of the word list)

下表给出了具体算例。每一行都假设每个选择都是随机且等概率的。

生成方式	可能性数量	比特数
8 个随机小写字母	26^8	37.6
12 个随机字母和数字	62^12	71.5
从 94 个可打印符号中随机取 20 个字符	94^20	131.1
从 7,776 个单词的词表中随机取 4 个单词	7,776^4	51.7
从 1,024 个单词的词表中随机取 5 个单词	1,024^5	50.0
从 7,776 个单词的词表中随机取 6 个单词	7,776^6	77.5

第一行说明为什么短的随机字符串很弱：38 比特留给重要账户的余量很小。第三行则展示了长度的作用。像 Sunset!2026 这样你自己编的密码，实际可能性远远少于它的长度所暗示的，因为你是从几种熟悉的常见格式里挑出来的。

可以直接输入的密码短语

如果你必须手动输入密码，比如登录笔记本电脑，或者输入密码管理器的主密码，那么用随机单词组成的密码短语是最实用的选择。从 7,776 个单词的词表中随机取 6 个单词，大约有 77.5 比特，而且单词比一串随机符号好记得多。关键是单词必须真正随机。你自己挑的四个单词，实际强度远低于单词数量所显示的，因为人们习惯挑熟悉的词，而且常常是熟悉的搭配。正因如此，基于骰子的单词表很常见：决定选择的是骰子，而不是你的习惯。密码生成器就是用这种方式生成密码短语的，你可以选择分隔符，还可以选择是否加入大写字母和数字。

重复使用才是更大的风险

长度固然重要，但真正让一次泄露演变成多处失守的，通常是重复使用。某个网站遭到入侵后，它的邮箱和密码组合常常会被拿去尝试其他热门网站。这种攻击叫撞库攻击。纸面上很强的密码，只要你在别处也用了，就会彻底失效。

密码管理器可以解决这个问题。它为每个账户生成独一无二的密码，帮你保存并自动填写，你只需要记住一个强主密码。浏览器和手机系统都自带密码管理功能，也有独立的应用可选。无论用哪种，都应该先为邮箱和银行账户开启两步验证，因为邮箱是重置其他账户密码的关键。

美国标准机构 NIST 更重视长度，而不是强制使用符号等复杂度规则，并且除非有泄露迹象，否则不建议强制定期更换密码。如果一个网站要求你每隔几个月就换一次密码，或者不允许长密码或粘贴输入，那说明它还在沿用过时的做法。这是网站本身的缺陷，并不是你选择弱密码的理由。

简短检查清单

• 用生成器生成密码，而不是自己编。
• 对于不容易找回的账户，目标是至少 16 个随机字符，或六个随机单词。
• 每个账户只用一个独立密码，并保存在管理器中。
• 凡是提供两步验证的地方都开启它。
• 如果你使用的某个服务报告遭到入侵，立即更改密码。

如果这是路由器的密码，用二维码分享 Wi-Fi介绍了如何在不念出密码的情况下把它分享给别人。

在 fixmint 上这样操作

1. 打开密码生成器，保持选中随机字符。
2. 将长度设为至少 16，如果是重要账户，设为 20 或更长。默认值是 20，并且四类字符集都已勾选。
3. 查看预估强度。工具的评级标准是：低于 50 比特为弱，50 到 69 为一般，70 到 99 为强，100 或以上为非常强。
4. 点击重新生成获取新的一组（共五组），复制其中一个存入密码管理器。不要在其他任何地方使用它。
5. 如果需要手动输入主密码，选择密码短语，将单词数设为六，并保留一个你能输入的分隔符。

快速解答

**强密码一定要用符号吗？

不一定。随机符号确实会增加一些比特，但长度增加的比特更多，一串足够长的随机字母和数字同样很强。

几个单词才能组成强密码短语？

从 7,776 个单词的词表中随机取 6 个单词，大约有 77.5 比特，这是大多数账户都适用的可靠标准。

让浏览器保存生成的密码安全吗？

对大多数人来说，这是一个合理的选择，前提是设备设有屏幕锁，并且浏览器配置文件受到保护。主要风险在于设备，而不是密码本身。