為什麼定期更改密碼不是一個好主意？

最持久的密碼安全見解之一是定期更改密碼可以提高安全性。至少，幾十年來，世界各地的 IT 團隊一直在敦促人們這樣做。

然而，這項建議始終遭到反對。許多安全業內人士認為，這會導緻密碼仍然容易記住。現在，研究已經證實了這個理論，表明頻繁更改密碼會導致安全問題。

頻繁更改密碼會導致安全性下降

我們中的許多人發現每 4、6 或 8 週強制更改密碼令人望而生畏。一個 IT 小組提出了這樣的想法：更改密碼將使任何安全漏洞變得毫無意義，因為每個人都會使用新密碼。

實際上，這會導緻密碼建立過程中出現弱點。大多數人不會創造強大、獨特且難以猜測的密碼，而是選擇易於記憶、部分簡短且重複的密碼。

例如，一個強的 16 個字元的密碼可能是“hS'9{yX?Fzu#=_:R”，其中包含大小寫字母、數字和符號的混合。這很難記住，但隨著時間的推移你就會掌握它。而如果您每個月都必須更改密碼，那麼您就沒有時間記住這一點。結果，人們開始使用更容易記住的、重複部分較少的短語。

• 一月：difficultpassword1
• 二月：d1fficultpassword2
• 三月：d1ff1cultp4ssword3
• 非常非常…

選擇強大、獨特的密碼（或使用密碼管理器）

英國國家網路安全中心自 2015 年起就建議不要使用常規密碼，而現在，2024 年，國家標準局也將跟進。

他們的新建議是密碼每 365 天過期一次，從而顯著改變時間範圍並提高安全性。

同時，NIST 也在更新其有關密碼長度和強度的消息。在某些情況下，密碼產生規則將使用者限制為 12 個字元或阻止使用某些符號。目前，NIST 建議所有密碼都應：

• 至少 15 個字符
• 最多 64 個字符
• 包括所有 ASCII 字元、空白字元和 Unicode 字元

這些變化意味著更多的密碼輸入欄位將允許更強、更容易記住的密碼，同時整體密碼強度也會增加。

當然，任何關注密碼安全的組織都應該允許使用密碼管理器。使用密碼管理器還需要考慮其他安全性問題，例如本機資料儲存、零知識加密等，但最佳做法是使用強密碼保護所有帳戶。