事件回顧

LinkedIn 600萬用戶密碼被盜並發布於俄羅斯駭客論壇。同期 Last.fm、eHarmony 亦遭攻擊洩露百萬密碼。LinkedIn 無首席安全官，運營副總裁兼管安全，安全投入嚴重不足。

密碼存儲安全等級評估

等級	存儲方式	典型案例	抗破解能力
F (最差)	明文存儲	RockYou 2009洩露3200萬	零防護
D	單次無鹽雜湊 (MD5/SHA1)	LinkedIn, eHarmony, Last.fm	GPU/彩虹表秒破
C	鹽值雜湊 (隨機鹽+SHA256)	較好實踐	需逐個暴力破解，成本大增
B	慢速雜湊 (bcrypt/scrypt/PBKDF2)	現代最佳實踐	可調整計算成本，極大延緩破解
A	Argon2id + 硬件隔離(HSM) + 多因子認證	高安全等級系統	當前最強防護

破解手段科普

• 字典攻擊： 利用常用密碼字典(含外文、宗教詞彙如 angel, god 等)優先嘗試
• 彩虹表： 預計算海量明文-雜湊映射表(可達500億條)，以空間換時間秒級查找
• GPU/ASIC 加速： 現代顯卡單秒可嘗試 百萬至數十億 次雜湊計算

企業與用戶行動指南

1. 企業：強制採用 Argon2id/bcrypt/scrypt + 唯一隨機鹽，部署 HSM 保護主鍵，啟用 MFA
2. 用戶：每個站點使用唯一強密碼 (密碼管理器生成/存儲)、開啟雙因子認證、定期檢查 Have I Been Pwned
3. 監管：推動立法強制數據洩露通報、最低安全標準、懲罰性賠償