密码不要靠 “好记”

设置密码时，很多人的第一标准是方便记忆，生日、手机号后六位、123456、abc123 这类组合随处可见。但计算机安全领域有一个基本事实：密码的核心目标不是方便自己记住，而是抵御暴力破解。黑客几乎不会手动猜密码，真正的威胁来自自动化程序，它可以在短时间内批量尝试海量字符组合，轻松攻破简单密码。

暴力破解，是一种依靠计算机算力穷举密码组合的攻击方式。它的逻辑并不复杂：程序按照预设规则，自动生成一串又一串字符，挨个提交尝试，直到匹配上正确密码。和人脑猜密码完全不同，计算机不知疲倦、速度极快。一个纯数字 6 位密码，组合总数只有一百万种，在普通算力下，短短几分钟就能遍历完毕；如果是短的纯字母、常见词语，破解速度同样惊人。

不少人会陷入误区：以为只要自己的密码不是生日，就足够安全。事实上，暴力破解程序会搭配字典库进行攻击。字典库里收录了大量高频密码、网络热词、名字、地名、影视剧台词，优先尝试这些高概率组合。很多看起来 “有点特别” 的短句，早已被收录在字典中，依然不堪一击。

密码的安全程度，本质看熵值，也就是组合的不确定性。字符种类越多、长度越长，密码空间越大，暴力破解需要尝试的总量就呈指数级上涨。只使用数字或者小写字母，安全上限很低；混合大小写字母、数字、符号，再拉长密码长度，破解难度会急剧上升。比如 8 位纯数字很容易被破解，而 12 位以上、多种字符混合的密码，在现有算力下，穷举破解需要的时间会达到天文级别。

当然，安全密码往往不好记，这就带来了新的矛盾。我们不必强行背诵复杂密码，密码管理器就是为此而生的工具。它可以安全存储所有复杂密码，用户只需要记住一个高强度主密码，其余账号密码由工具自动生成、自动填充，兼顾安全性和使用便利。

还有一点容易被忽略：再强的密码，也扛不住其他攻击方式。如果网站本身存在漏洞、发生数据泄露，密码直接被偷走，暴力破解就不再需要。同时，同一个密码不要在多个平台重复使用，一旦一处泄露，所有账号都会连带遭殃。

好记，不等于安全。密码设计的底层逻辑，是拉开人类记忆能力和计算机穷举能力之间的差距。暴力破解的本质，是算力对组合空间的碾压，想要守住账号安全，就要跳出 “好记优先” 的思维，用足够长、足够复杂的组合，抬高攻击者的破解成本。