密码是一串秘密字符串，用于证明您的身份。它是最古老、最常用的身份验证方法，但也是最薄弱的。人们会在不同的网站上重复使用密码，选择容易记住也容易猜到的词语，甚至把密码写在便签纸上，与同事分享。攻击者深谙此道。凭证窃取是大多数数据泄露事件的起点。

密码强度源于其长度和不可预测性。一个由随机单词组成的 12 个字符的密码短语比一个 8 个字符的符号字符串更安全，也更容易记忆。问题不在于密码本身，而在于围绕密码的系统。以明文形式存储密码是极其不负责任的，使用快速哈希算法存储密码也同样糟糕。密码应该加盐，并使用像 bcrypt 或 Argon2 这样的慢速哈希算法进行哈希处理。速率限制可以阻止暴力破解尝试。安全漏洞检测会将新密码与已知的泄露列表进行比对。

密码最佳实践

• 使用密码管理器——生成并存储唯一的密码
• 长度胜于复杂性——长一点比短一点好。
• 绝不重复使用——一次漏洞不应引发连锁反应。
• 启用多因素身份验证 (MFA)——仅密码是不够的
• 检查是否存在安全漏洞——立即更改已泄露的密码

密码不会很快消失，但仅靠密码已不足以保护安全。应将密码视为一道防线，而非全部。