企業普遍強制 90 天換密碼，但駭客獲取密碼只靠四招：社工釣魚(A)、字典噴灑(B)、哈希離線破解(C)、鍵盤記錄木馬(D)。90 天輪換無法阻斷 A/B/C/D，只能趕走「偷看郵件的潛伏者」。本文深度剖析四大攻擊手法、密碼過期政策的真實效用、業界爭議，並給出基於計算力的動態週期、長度+複雜度+MFA+密碼管理器的現代防護組合拳。

一、駭客四大核心手法（90天換密全不覆蓋）

代號	手法	典型場景	90天換密是否有效
A	社工/釣魚	偽裝IT/HR/銀行郵件/頁面騙取明文密碼	❌ 密碼換了，釣魚頁面照樣騙新密碼
B	字典/噴灑攻擊	前幾百常用弱密碼噴灑全網，撞開即停	❌ 弱密碼換成另一個弱密碼，繼續被撞
C	哈希離線破解	拿到數據庫/NTDS.dit/SAM，彩虹表/GPU跑破	❌ 若幾天內跑不出，攻擊者轉移目標；跑出來90天內早已利用完
D	鍵盤記錄/惡意軟件	鍵盤記錄器/表單抓取/內存刮取獲取明文	❌ 木馬長駐，換密碼照樣記錄新密碼

二、90天強制換密的「唯一實際收益」

只能阻止「已竊取密碼、僅想長期偷窺郵件/文檔的低階潛伏者」。對真正想竊取機密/橫向移動/勒索的攻擊者，45天內即可完成核心目標，換密碼無意義。

三、業界爭議與演進觀點

• NIST SP 800-63B / Microsoft 官方建議：取消定期強制換密，改為檢測到洩露/疑似洩露時強制換 + 長度≥8、無複雜度要求、禁用已洩露字典、啟用MFA
• 摩爾定律視角：GPU算力指數級增長，彩虹表/破解成本指數級下降，固定 90 天週期極不科學
• 動態週期提案：根據當前算力測算「破解成本 > 資產價值」的時間點作為輪換週期
• 用戶行為學：強制頻繁換密 → 用戶採用規律/便利貼/跨系統復用 → 整體安全性下降

四、現代密碼防護組合拳（替代單純輪換）

1. 長度優先：最小 12-14 位，鼓勵短語（Passphrase）
2. 拒絕已洩露密碼：接入 HIBP Pwned Passwords API 或本地字典，註冊/修改時實時攔截
3. 強制 MFA：核心系統 100% 覆蓋 TOTP/WebAuthn/硬件金鑰
4. 企業級密碼管理器：Bitwarden/1Password/KeePass 生成/存儲/自動填充，人腦只記一個主密鑰
5. 定期審計而非定期輪換：季度掃描弱密碼/重用密碼/未開啟MFA賬號，精準整改
6. 關鍵賬號專用策略：Domain Admin / 根賬號 / 生產數據庫 → 專用 PAM(特權訪問管理) + 即時提權 + 會話錄像

五、給審計/合規部門的話

若合規框架（PCI-DSS/ISO27001/等保）仍硬性要求 90 天輪換，建議採用「合規動作 + 實戰策略」雙軌制：為滿足審計保留輪換記錄，實際執行上述現代組合拳，並向審計方解釋「基於風險的認證策略」優於機械週期。