密碼雖有缺陷，但在生物識別/雙因子普及前，仍是主流防線。本文提煉企業/個人通用的十大密碼管理鐵律，平衡安全性與可用性，構建「易用又安全」的密碼文化。

十大鐵律詳解

1. 絕不寫在紙上/便利貼/文檔
   寫下即洩露。若員工堅持寫，說明密碼策略過於複雜或數量過多，需優化策略而非怪員工
2. 禁止空密碼/默認密碼
   password、123456、admin、changeme 等必須首次登錄強制修改
3. 精減密碼數量，分級管理
   人腦難記 10+ 組高強度密碼。引入單點登錄(SSO)/密碼管理器，核心系統獨立強密碼，次要系統統一認證
4. 定期強制輪換（建議 90-180 天）
   封堵舊密碼洩露風險，關閉「機會之窗」。週期過短（如每週）反而導致員工寫紙上/用弱規律
5. 新密碼必須「脫胎換骨」
   禁用 Passw0rd1 → Passw0rd2 → Passw0rd3 類規律變換，攻擊者極易猜解
6. 禁用字典詞/姓名/生日/寵物名/鍵盤序列
   防「字典攻擊」。推薦短語密碼：MyD0g!sCall3dFid0 比 fido 強無數倍
7. 長度 8-16 位，含大小寫+數字+符號
   過長（>20位）導致記憶困難、輸入錯誤、被迫用重複字符；設定合理上限反而激發創意
8. 系統強制執行策略，不靠自覺
   組策略/AD/密碼管理器強制：歷史記憶(不重複近5次)、複雜度、鎖定閾值、過期提醒
9. 入職合同寫入、定期培訓、滾動考核
   不透露密碼、不共用賬號、內外部系統密碼隔離。文化建設>技術手段
10. 布局無密碼未來：FIDO2/WebAuthn、生物識別、硬件金鑰
    密碼終將被取代，提前部署無密碼認證試點，降低對密碼單一依賴

給管理員的執行清單