口令是網路系統的第一道防線。口令攻擊旨在破解合法用戶密碼或繞過驗證，冒充身分竊取資料、控制系統。掌握攻擊手法與防護對策，是資安人員與一般用戶的必修課。

九大口令攻擊手法

類別	手法	原理與特點	防護對策
非技術	1. 社交工程	透過人際互動欺騙、套取密碼	強化用戶安全意識教育
	2. 猜測攻擊	依用戶習慣（姓名、生日、寵物、部門）嘗試	加強口令策略，禁用個人資訊相關密碼
技術性破解	3. 字典攻擊	載入字典檔（單字、常用密碼）逐一嘗試，8萬單字<2分鐘破解	強化口令策略：長度≥12、大小寫+數字+符號、禁用字典字
	4. 暴力窮舉	從短到長窮舉所有組合，86%密碼一周內可破
	5. 混合攻擊	字典+暴力結合（如 cat→cat1,cat2）
	6. 破解系統口令檔	竊取 SAM/Shadow 檔離線破解雜湊值		保護系統檔案存取、啟用 SysKey、限制實體存取
7. 網路嗅探	區網混雜模式捕獲明文傳輸密碼 (Telnet, FTP, HTTP Basic)	全站 HTTPS、SSH、IPsec、802.1X 加密傳輸
8. 鍵盤記錄	植入鍵盤記錄器/木馬/間諜軟體竊取輸入	防毒防木馬、啟用螢幕鍵盤、硬體加密鍵盤
9. 進階密碼學攻擊	中間人、重放、生日攻擊、時序攻擊等	採用強加密協定、單次密碼(OTP)、硬體金鑰

選擇好密碼的鐵律

1. 複雜度：大小寫字母 + 數字 + 標點/特殊符號，長度 ≥ 12 碼（建議 16+）。
2. 隨機性：避免字典單字、鍵盤排列、個人資訊、重複字元。
3. 唯一性：每個系統/服務使用獨立密碼，絕不重複使用。
4. 易記不寫：使用密碼管理器（Bitwarden, 1Password, KeePass）生成與儲存，僅記住一組主密碼。
5. 定期輪換：關鍵帳號每 90-180 天更換，洩露疑慮時立即更換。

保護密碼的行為準則

• 不記紙本、不存純文字檔、不傳訊息軟體、不告知他人。
• 輸入時防側錄（隱私螢幕、遮蔽鍵盤）。
• 公共場所（網咖、圖書館）優先使用自帶裝置 + VPN，或僅登入低風險帳號。
• 啟用多因子驗證 (MFA/2FA)：密碼外洩也無法單獨登入。
• 監控帳號異常登入警報（Google、Microsoft、GitHub 等均提供）。

---

密碼安全 = 強策略 × 良習慣 × 多因子驗證。缺一不可。