Re: [閒聊] 人類對密碼還能瘋狂到什麼程度？

[DendiQ (貔貅)]

只能再貼一次：

15 年前發明煩死人的密碼規則，Bill Burr：抱歉浪費大家時間
https://www.inside.com.tw/article/10162

...一切都始於近 15 年前，一名叫 Bill Burr 的美國國家教準技術研究所（NIST， National
 Institute of Standards and Technology）主管。Bill Burr 2003 年草擬了一份 8 頁
的指南，教大家怎麼建立安全的密碼，這份文件就叫做「NIST 特別刊物 800-63. 附錄 A
」。裡面建議大家設定密碼要用奇怪而無意義的字加上罕見的字元、大寫英文和數字，並
且時常更換密碼。

我們後來常看到的大小寫、英數字規範，或多或少就是源自於這份文件，當時 Burr 的專
業並非資安，而他現在已經 72 歲，也從研究所退休了。

最近 Bill Burr 接受 華爾街日報 訪問，提到了他很後悔也很抱歉為大家帶來這麼多困
擾。儘管這份白皮書是早在一般人還用不到網際網路的 1980 年代就完成，而且 Burr 當
時對此研究不深，他還是後悔讓大家設下太難懂又難記的密碼，況且其中很多規則可能放
錯了重點。...

---

現在大家都把重點放在 登入失敗次數限制、多重要素驗證 MFA，
甚至極端點用無密碼登入，只有落伍的網站才會搞那些麻煩的規則。

- 新Microsoft帳戶將預設使用無密碼登入
  https://www.ithome.com.tw/news/168721
- 3大科技巨頭支持的「無密碼登入」更簡易，但安全嗎？
  https://www.gvm.com.tw/article/89727
- Google帳號支援Passkey登入，強調比密碼、2SV安全方便
  https://www.ithome.com.tw/news/156706

※ 引述《er2324 (er2324)》之銘言：
: 聽人說非常久以前，
: 台灣的Online Game 申請密碼可以只用1234這麼簡單的規則跟字數。
: 隨著時代演進，慢慢開始－－
: 1.
: 限制字數，至少要O個字
: ↓
: 2.
: 不能只用數字，需要英文+數字+限制最小字數
: ↓
: 3.
: 英文+大小寫+數字+限制最小字數
: ↓
: 4.
: (目前)
: 英文+大小寫+數字+特殊符號+限制最小字數
: 你們覺得接下來密碼的規則還可以瘋狂到什麼地步？
: 這時候中文就有一個好處。
: 中文是世界上最難的語言之一，你直接把密碼用"早上起床"的鍵盤按法，
: 這就是一個外國人超難破解的密碼了。

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 114.34.203.27 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/C_Chat/M.1756259391.A.C57.html
推 Issarc0721: 寧願做多重驗證也不想搞麻煩的密碼
推 Pep5iC05893: https://i.imgur.com/bBPfVql.jpg
推 ILoveAMD: 密碼夠長就可以，其他都多餘的
※ 編輯: DendiQ (114.34.203.27 臺灣), 08/27/2025 10:01:56
推 tsairay: 密碼其實沒有那麼不堪,無密碼登入都要依靠裝置
→ tsairay: 裝置是會壞會遺失的
推 k798976869: 因為公司要賣硬體 發現這樣能賺錢
→ linzero: 大概是以防止暴力破解的觀點出發，但要防暴力破解有其他
→ linzero: 方法
推 zack867: 而且NIST在幾年前也已經把這規則改掉了