呆編
傳統觀點：使用者應該定期更換密碼
在數位世界裡，保護個人和公司的資訊安全是我們日常生活中的一個重要環節。這些年的企業資安規定中，我們常被告知需要定期更換密碼，每60至90天變更一次，以確保我們的線上帳戶安全。這種觀念認為，定期更換密碼可以避免我們的帳戶被長時間的未授權使用。然而，這種做法在現今的資安環境中，確實存在一些問題。
頻繁更換密碼的弊端
頻繁更換密碼會導致用戶選擇容易記憶的簡單密碼，或者只是稍微修改原有密碼，例如在數字後面加一或將字母順序稍微調換。這種情況下，即使定期更換密碼，其安全性也會大大降低，因為簡單的密碼或者與舊密碼相似的新密碼都容易被破解。
再者，使用者容易為了記下各類不同的密碼，反而將密碼明文寫在紙條上備忘，造成更嚴重的密碼外流風險。或者某些人會準備3-4組密碼輪流更換，反而失去更換密碼的必要性。
企業組織的負擔
很多時候，企業制訂的資安政策，可能只是應付法律或稽核而已，並未考量到實際運作。當大型企業的員工認證系統每次更換密碼週期一到時，很可能出現巨大的更換密碼流量尖峰，當下那一週的工作產能可能些許受到影響。
更要考慮到某些系統輸入多次錯誤可能會封鎖帳號，這會造成更換密碼週期開始時，企業 IT 部門收到巨量的求助訊息，實務上對組織造成額外的管理問題。
新觀點1：高強度密碼
近幾年資安界開始反思，強迫使用者定期變更密碼是否真的有益於提高資訊安全? 在2017年，美國國家標準和技術研究院（NIST）的更新建議中，明確表示不再推薦強制定期更換密碼。相反地，NIST建議在密碼已知被竊取的情況下才需更換密碼，否則建議應該要改用「高強度密碼」取代常用的好記憶密碼，而無需頻繁更換。
所謂「高強度密碼」是一種難以被破解的密碼。它通常由12個或更多的字符組成(部分組織規定達到16位以上)，包括大寫和小寫字母、數字和特殊符號。一個強密碼應避免使用任何可以在字典中找到的單詞、個人相關信息（如生日或姓名）或常見的密碼模式（如123456或abcdef）。例如 Pc29_hJ/EfuZ*3ao 就是一個16位的高強度密碼。
藉由增加密碼的長度和複雜性，可以大大增加破解密碼所需的時間和資源，因此提高了帳戶的安全性。企業可以考慮以SSO的方式，由中央員工系統總管所有員工的密碼必須符合規定。
密碼管理器
另外，組織內導入密碼管理器也是一種方法，藉由類似 1Password, Lastpass, Passpack 之類的管理器，可以方便管理多個高強度密碼，也可以避免使用者硬要把密碼明文寫下來。很多人會擔心密碼管理器要是外洩是否造成更嚴重的問題，這部分在網路上其實也有不同的聲音，不過目前普遍的共識是認為，管理器內容外洩造成的風險，並沒有大家為了好記憶而多網站共用密碼來得高。畢竟這會造成一個網站被竊取，就所有網站都遭殃的狀況。
新觀點2：雙因素(2FA)或多因素(MFA)認證
而在某些情況下，雙因素認證（2FA）可能更為有效，也能夠解決上面提到的密碼管理器外洩的擔憂。雙因素認證需要提供兩種形式的證明來確認身份，如密碼（知識）和手機（所有權），或者指紋（生物特徵）。因此即便密碼被竊取，盜用者也無法真正進入帳戶內。
2FA 雙因素認證相關介紹請見
新觀點3：無密碼認證(Passwordless)
廣泛的 Passwordless 認證方式，包含手機 App 掃碼登入、指紋或人臉辨識、OAuth或第三方認證等等。上面提到的 2FA, MFA 用的認證方式如生物識別、USB key 等等，也都可以拿來當做主要認證。
Passwordless 主要的概念就是認為，藉由某個預先已經認證過你個人身分的實體（可能是網站、組織、手機裝置等等），將這個認證授權給另一個需要登入的軟體或網站，因而就可以確認你的身分，無需再次輸入帳號密碼。
常見的 LINE 電腦版掃碼登入，或是網銀App掃碼登入，都是一種 Passwordless 策略。
結論：企業應重新思考密碼管理策略
隨著資安觀念逐漸修正，企業需要重新思考原有的密碼管理策略。過度頻繁的更換密碼並非提高資訊安全的銀彈。相反地，我們應該專注於建立強大的密碼，並適時地應用雙因素認證。這樣的策略既能確保我們的線上安全，又能減少用戶的負擔。
夏木樂具備充分的網站後台開發經驗，能夠替企業實作 SSO, OAuth, 2FA, MFA 等系統，若您的企業有相關需求，歡迎與我們聯繫。
