密码工具 返回生成器

安全指南

如何创建强密码

一份实用指南，教你如何通过本地生成、密码管理器、多因素认证和安全恢复习惯来创建强大且唯一的密码。

摘要

强密码不仅仅是看起来复杂的字符串。它需要足够长、随机生成、每个账户唯一，并且安全存储。最可靠的日常操作很简单：生成一个唯一的随机值，保存在密码管理器中，并在服务支持时启用多因素认证或通行密钥。

需要新账户密码时，可使用免费随机密码生成器或16位密码生成器。

什么使密码强大

最实用的强密码是通过随机过程选择的，而非人为创造。人为创建的密码常包含姓名、日期、键盘路径、品牌、歌词或常见替换。攻击者知道这些模式并会优先尝试。

随机生成改变了这一情况。一个生成的密码，如16、20或32位字符，没有个人故事、没有日历日期、也没有方便的字典结构。但它只有在保持唯一和私密时才有用。

实用建议

  1. 为每个账户生成一个新密码。
  2. 普通账户建议至少15-16个随机字符。
  3. 对于邮箱、银行、工作和管理员访问，在允许的情况下使用20个或更多字符。
  4. 如果目标服务接受，包含符号。
  5. 将密码存储在可信的密码管理器中。
  6. 启用多因素认证或通行密钥。
  7. 检查账户恢复设置，因为攻击者常针对恢复路径。

本地生成能解决和不能解决的问题

PwdGen使用Web Crypto在本地生成值，不上传生成的密码。这防止了网站有意收集生成的值。但它不能防止浏览器扩展被入侵、不安全的剪贴板管理器、恶意软件、钓鱼页面或服务对密码存储处理不当。

详细指南

本指南专注于从零开始创建强密码。它面向那些需要替换弱密码或重复使用密码的用户，因此实际目标不是制造戏剧性的安全声明，而是选择一种能在日常使用中生存的密码习惯：登录表单、密码管理器、手机键盘、账户恢复、共享设备以及偶尔遇到有奇怪验证规则的服务。一个安全的建议只有在真实用户能一致遵循时才有用。

最安全的起点是随机性加唯一性。随机性意味着值是从一个大空间中通过密码学安全的随机源选择的，而不是从生日、宠物名、键盘模式或最喜欢的引用中创造的。唯一性意味着同一个密码不在其他地方使用。一个长但重复使用的密码在一次无关的泄露后可能迅速失效，而一个唯一的随机密码将损害限制在使用它的单个账户。

对于这个话题，一个实用的预设是20个字符，包含大写字母、小写字母、数字和符号（如果接受）。你可以使用20位密码生成器应用该预设，然后将最终值存储在可信的密码管理器中。PwdGen在浏览器中使用Web Crypto在本地生成值；生成的密码不会发送到PwdGen服务器。这种本地设计减少了服务器端暴露，但不能防止所有威胁。恶意的浏览器扩展、被入侵的设备、钓鱼页面或不安全的剪贴板处理仍可能在生成后暴露秘密。

最常见的需要避免的问题是个人姓名、生日、键盘行走、重复结尾以及可预测的替换（如用@替换a）。这些问题之所以重要，是因为当人类习惯给攻击者提供捷径时，他们很少需要暴力破解所有可能的密码。凭证填充、钓鱼、泄露密码列表和账户恢复滥用通常比纯数学搜索更现实。这就是为什么最佳建议将密码质量与账户级控制（如多因素认证、通行密钥、恢复代码存储以及定期检查恢复邮箱或手机设置）结合起来。

应用建议时使用此清单：

如果网站拒绝理想设置，不要手动将密码强制改为更弱的模式。一次调整一个变量。如果符号被拒绝，保留大写、小写和数字，并增加长度。如果最大长度较低，使用允许的最大长度并确保值唯一。如果密码需要大声读出、打印或在电视或路由器屏幕上输入，考虑排除易混淆字符并增加长度以补偿较小的字符集。

最后，记住密码建议的边界。强密码是一层防御，而非保证。它不能使钓鱼页面安全、修复恶意软件或补偿存储凭证不当的服务。有用的习惯是无聊但持久的：生成唯一值，安全存储，保护恢复路径，并在怀疑暴露时迅速更换。

常见问题

最简单的强密码规则是什么？

为每个账户使用长、随机、唯一的密码，并存储在可信的密码管理器中。

复杂短密码比长随机密码更好吗？

通常不是。长度和不可预测性比常见的替换（如用符号替换字母）更重要。

使用强密码时应该启用多因素认证吗？

是的。当密码被钓鱼、在其他地方重复使用或通过服务泄露暴露时，多因素认证或通行密钥能提供额外保护。

来源