创建安全密码的准则是什么？

Question

创建安全密码的最佳做法是什么？我想让它们更难用蛮力工具破解。

第二部分

有没有什么工具可以生成这些密码，这样我就不用自己想了？

Answer 1

在 Unix 系统上，PAM 或Pluggable Authentication Module是一个很好的管理工具，它带有一个破解库，你可以用它来测试密码。

最近做了一些安全工作后，我知道政府标准在密码方面通常有这些指导方针：

• 最小长度为 14 个字符
• 至少 2 个特殊字符
• 至少 2 个小写字符
• 至少 2 个大写字符
• 至少 2 位数字
• 必须每 60 天更换一次
• 没有字典单词或用户名

常识表明，您不应该将 2 个数字和特殊字符放在开头或结尾，而应穿插放置。在制定这些准则时，它提出了一个问题，是否真的值得拥有如此复杂的密码。由于密码如此复杂，它们似乎更有可能被用户以纯文本形式存储在某处或写在某处。

在个人使用中，我通常没有那些指导方针那么严格，但绝对没有字典单词或 L33t 说话。

Answer 2

布鲁斯·施奈尔 (Bruce Schneier) 有一篇不错的文章，基于公司在人们选择密码方面必须采取的常见做法。

编辑： 哦，生成密码。您可以使用KeePass或Password Safe等工具为您的登录自动生成和存储不同的好密码。有关更多信息，请参阅此问题。

Answer 3

grc.com有一个不错的页面，您可以在其中获取强密码。

Answer 4

我个人尝试对密码做的是首先想到一个比较长的好记的短语，然后对其进行以下转换：

• 包括所有明确的标点符号和每个单词的第一个字母
• 执行德语风格的大写（第一个单词和所有名词/名称作为大写），或反...
• 替换一些文字或字母与数字，O- > 0，for/ fore/ four- > 4，one，an- >1等。

在大多数情况下，这会产生一个非常安全且不可猜测的密码，我可以根据这些规则轻松重建自己并记住该短语。

例如：

What are the guidelines for creation of a secure passwords?

变成：

WatG4co1sP?

请注意，此方案可用于创建几乎符合公司关于最小长度、所需包含符号等的任何规则的密码。它还具有额外的好处，只要您选择可以一致应用的编码方案因为它对您很有意义（对于大写字母、特殊字符和数字），那么您不需要在纸上写下任何东西，从而避免黑客只需查看您的工作区就可以找到您的密码的问题。