【資安科普】密碼管理：90天或定期更換密碼真的安全嗎？新時代的密碼管理方案

本文章目次

傳統觀點：使用者應該定期更換密碼

在數位世界裡，保護個人和公司的資訊安全是我們日常生活中的一個重要環節。這些年的企業資安規定中，我們常被告知需要定期更換密碼，每60至90天變更一次，以確保我們的線上帳戶安全。這種觀念認為，定期更換密碼可以避免我們的帳戶被長時間的未授權使用。然而，這種做法在現今的資安環境中，確實存在一些問題。

頻繁更換密碼的弊端

頻繁更換密碼會導致用戶選擇容易記憶的簡單密碼，或者只是稍微修改原有密碼，例如在數字後面加一或將字母順序稍微調換。這種情況下，即使定期更換密碼，其安全性也會大大降低，因為簡單的密碼或者與舊密碼相似的新密碼都容易被破解。

再者，使用者容易為了記下各類不同的密碼，反而將密碼明文寫在紙條上備忘，造成更嚴重的密碼外流風險。或者某些人會準備3-4組密碼輪流更換，反而失去更換密碼的必要性。

企業組織的負擔

很多時候，企業制訂的資安政策，可能只是應付法律或稽核而已，並未考量到實際運作。當大型企業的員工認證系統每次更換密碼週期一到時，很可能出現巨大的更換密碼流量尖峰，當下那一週的工作產能可能些許受到影響。

更要考慮到某些系統輸入多次錯誤可能會封鎖帳號，這會造成更換密碼週期開始時，企業 IT 部門收到巨量的求助訊息，實務上對組織造成額外的管理問題。

新觀點1：高強度密碼

近幾年資安界開始反思，強迫使用者定期變更密碼是否真的有益於提高資訊安全? 在2017年，美國國家標準和技術研究院（NIST）的更新建議中，明確表示不再推薦強制定期更換密碼。相反地，NIST建議在密碼已知被竊取的情況下才需更換密碼，否則建議應該要改用「高強度密碼」取代常用的好記憶密碼，而無需頻繁更換。

所謂「高強度密碼」是一種難以被破解的密碼。它通常由12個或更多的字符組成(部分組織規定達到16位以上)，包括大寫和小寫字母、數字和特殊符號。一個強密碼應避免使用任何可以在字典中找到的單詞、個人相關信息（如生日或姓名）或常見的密碼模式（如123456或abcdef）。例如 Pc29_hJ/EfuZ*3ao 就是一個16位的高強度密碼。

藉由增加密碼的長度和複雜性，可以大大增加破解密碼所需的時間和資源，因此提高了帳戶的安全性。企業可以考慮以SSO的方式，由中央員工系統總管所有員工的密碼必須符合規定。

密碼管理器

另外，組織內導入密碼管理器也是一種方法，藉由類似 1Password, Lastpass, Passpack 之類的管理器，可以方便管理多個高強度密碼，也可以避免使用者硬要把密碼明文寫下來。很多人會擔心密碼管理器要是外洩是否造成更嚴重的問題，這部分在網路上其實也有不同的聲音，不過目前普遍的共識是認為，管理器內容外洩造成的風險，並沒有大家為了好記憶而多網站共用密碼來得高。畢竟這會造成一個網站被竊取，就所有網站都遭殃的狀況。