怎麼設定一組安全又記得住的密碼？
「密碼需包含大小寫、數字與符號」——幾乎每個網站都這樣要求，但大家最後設出來的往往是「Password123!」或「Aa123456」。這些密碼符合規則，卻是駭客最先嘗試的組合。這篇說明密碼被破解的方式，以及真正有效的保護方法。
密碼是怎麼被破解的？
- 撞庫攻擊：某個網站外洩了帳號密碼，駭客拿同一組帳密到其他網站嘗試登入。這是目前最常見的帳號被盜原因。
- 字典攻擊：用常見密碼、單字、名字、生日的組合依序嘗試。「iloveyou」「qwerty」「19900101」幾秒內就會被試出來。
- 暴力破解：嘗試所有可能的組合。密碼越短、字元種類越少，越快被試完。
- 釣魚：用假網站或假訊息騙你自己輸入密碼。再強的密碼也擋不住這種攻擊，只能靠警覺與兩步驟驗證。
長度比複雜度更重要
密碼強度常用「熵」來衡量，單位是位元。計算方式是 長度 × log₂(可用字元種類數)。比較兩組密碼：
| 密碼類型 | 例子 | 熵（約） |
|---|---|---|
| 8 碼大小寫＋數字＋符號 | Tr0ub4d& | 52 位元 |
| 12 碼小寫英文＋數字 | k7mq2xw9pt4h | 62 位元 |
| 16 碼大小寫＋數字＋符號 | （隨機產生） | 103 位元 |
| 5 個隨機英文單字 | correct horse battery staple river | 約 64 位元（從 7,776 字的清單隨機挑） |
每多 1 位元，破解所需時間就加倍。增加長度帶來的效果，遠大於多加一種字元類型。注意這些數字只適用於隨機產生的密碼；人自己想的密碼有規律可循，實際強度低很多。
實用的三個方法
1. 使用密碼管理器
人腦不可能記住幾十組不同的隨機密碼，但密碼管理器可以。Google Chrome、Apple 鑰匙圈、Microsoft Edge 都有內建，也有 1Password、Bitwarden 等專門軟體。你只需要記住一組夠強的主密碼，其他網站全部交給它產生與填寫。
2. 主密碼用「通關片語」
需要自己記住的密碼（例如電腦登入、密碼管理器主密碼），可以用 4～6 個不相關的詞組成，例如「藍色-咖啡杯-跑步-窗簾-48」。它比「P@ssw0rd」長得多也好記得多。關鍵是詞要隨機挑選，不要用歌詞、名言或有關聯的詞。
3. 開啟兩步驟驗證
在 Email、網路銀行、社群帳號開啟兩步驟驗證（2FA）。即使密碼外洩，沒有你的手機驗證碼或驗證器 App 也無法登入。驗證器 App 或實體安全金鑰比簡訊驗證碼更安全。
該避免的做法
- 多個網站使用同一組密碼，或只改最後一個數字。
- 使用生日、電話、身分證字號、車牌等個人資訊。
- 把密碼寫在便利貼貼在螢幕旁，或存在手機的備忘錄裡。
- 透過通訊軟體或 Email 傳送密碼。
怎麼知道自己的密碼是否外洩？
可以到 Have I Been Pwned（haveibeenpwned.com）輸入 Email，查詢是否出現在已知的外洩事件中。Chrome 與 iPhone 的密碼管理功能也會主動提醒外洩或重複使用的密碼。發現外洩時，請立即更改該網站以及所有使用相同密碼的網站。
結論
安全的密碼策略其實很簡單：每個網站使用不同的長隨機密碼、交給密碼管理器保管、重要帳號開啟兩步驟驗證。需要產生新密碼時，可以使用本站的密碼產生器。