其实密码规则过于严苛也有坏处

[innoink]

特别是规模较大的组织，内部账号密码要求各种大小写英文数字特殊字符组合，每隔几个月换一次，还不能重复使用，破解难度是增大了，但是考虑到常人是记不住这种密码的，所以很多人会选择把密码记到纸条或文本里，这样泄漏的风险要大得多。密码之所以有保护作用，本质上还是存储在大脑里的安全性。

[xenme]

前面固定，后面 0-9a-z 够用到离职了。

复杂密码主要是避免 123456 等等常见弱密码和增加破解难度

[wu67]

其实就我用过的密码而言, 复杂的都忘记了, 只有简单的能记住. 那些强行要求复杂密码的产品, 根本就是为难用户

[lengyihan]

现代密码学的观点是可以公开加密算法，公开密文，保留加密秘钥。😂其实用密码管理器不错的

[luoway]

没有人会因为被要求定期改密码就使用不同密码的，都是在原有密码基础上变动，看明文就能猜出来基础密码是什么

[mytry]

每次看见要求“大小写英文数字特殊字符组合 == 安全性高”就烦，大部分人加上的符号还不是有规律的，还是低熵口令。事实上一串 16 位的随机数日常应用中就非常安全，除非明文状态泄露。

[blankme]

与其要求密码复杂，不如限制试错次数，银行卡 6 位数字密码也很安全

[Sor]

现在不怕密码要求复杂，就怕密码不能粘贴

[whileFalse]

密码对于人来说，只分记得住的和记不住的。记不住的上密码管理器。
@mytry 说的 16 位随机数密码，属于记不住的，需要上密码管理器，那么是不是纯数字还有区别吗。

[silencefent]

adobe 的密码
请输入您的密码
您的密码有误
找回密码
您的新密码必须和旧密码不同
密码必须含有大小写字母以及符号和数字

下一次登陆重复一遍
同理还有 steam 的密码

[mytry]

@whileFalse 所以说强制要求大小写英文数字特殊字符组合没意义啊，还不如提示安装一个密码管理器。

[zhangneww]

keepass 了解一下？

[Deville]

1password 了解一下？

[lightening]

现在确实一般认为设定复杂的密码规则和要求定期更换密码对安全没有好处。

[ryd994]

密码管理器配合硬件密钥
不用硬件密钥的话可能有穷举。特别是考虑容易记的话，还可以社工。
硬件密钥首先别人一般拿不到。就算拿到了，多次错误就会自毁。除非打开芯片，直接黑硅片。这个成本很高而且很难成功。不值得用来对付一般人。

[ryd994]

我们管理生产环境都是用安全工作站的。
从硬件到网络全都是隔离环境。
只能用智能卡登录。

[whileFalse]

@mytry 说这个没用。“还不如安装个 Chrome ” “还不如安装个 Win 10 ”；作为产品提供方，用户并不会听你的。

[tuding]

用一串简单的明文, base64 加密, 再在最后一位加上 0-9a-z

[SoulSleep]

我司密码要求最近 12 个不重复，每月换一次，我的规则是：

xxxx 生日 XXXX

x 代表英文字母~够用了 并不难记

[plqws]

对于大部分非英语用户来说，让密码支持 Unicode 可以破

[dawn009]

当初制定此密码规范的人现在也改变主意了

https://www.wsj.com/articles/the-man-who-wrote-those-password-rules-has-a-new-tip-n3v-r-m1-d-1502124118