Windows 8 引入「圖片密碼」：使用者在自選圖片上繪製三個手勢 (點擊、直線、圓形) 組合作為登入憑證。RSA SecurID 發明者 Kenneth Weiss 指出嚴重安全隱憂。

核心弱點分析

1. 指紋油蹤殘留：觸控螢幕上手勢軌跡留下油脂痕跡，在特定光線下清晰可見，物理接觸裝置即可破解
2. 遠端攝錄風險：高解析度攝影機可從數公尺外拍攝手勢輸入過程，無需物理接觸
3. 組合空間有限：三個手勢在固定興趣點 (臉、地標) 上排列組合，理論組合數遠低於同長度 PIN/密碼
4. 無鎖定機制：預設無嘗試次數限制與鎖定延遲 (群組原則可調整)

微軟官方定位

微軟將圖片密碼定位為「觸控裝置便利性功能」，而非高安全性認證機制。建議：

• 企業環境：強制使用複雜密碼或智慧卡
• 個人裝置：搭配 PIN 碼作為備選，啟用 BitLocker 加密磁碟
• 敏感場合：避免使用圖片密碼

學術研究佐證

多篇學術論文 (如 USENIX Security '13) 實測證實：在已知圖片前提下，利用油蹤分析與機器學習，破解成功率超過 90% (5 次嘗試內)。

圖片密碼適合「低風險、高便利」場景，不宜作為唯一或主要保護機制。