即使指紋與臉部辨識普及，**「密碼」**仍是多數系統的核心門票。然而，駭客現在入侵不用「攻」的，而是直接用「登入」的——透過外洩的帳密清單進行自動化攻擊。
1. 重新定義「弱密碼」：不只是短，而是「已知」
所謂弱密碼，除了長度不足、包含個資外，最危險的是**「已出現在外洩名單中」**。
- 假複雜迷思： 把
password改成P@ssw0rd!已無濟於事，攻擊工具早已學會這些替換規則。 - 檢查工具： 建議使用 Have I Been Pwned 檢查自己的密碼是否曾在歷史外洩事件中現蹤。
2. 三大驗證機制：證明「我是我」
- 你知道什麼： 密碼、PIN（最易被釣魚）。
- 你擁有什麼： 手機 OTP、硬體金鑰（第二把鑰匙）。
- 你是誰： 指紋、臉部（最便利且抗釣魚）。
核心公式： 密碼 + 多因素驗證 (MFA) 是目前的標配，而 Passkeys 則是未來的終極方案。
3. 2026 密碼新標竿：長度為王
根據 NIST 最新建議，企業與個人應調整策略：
- 長度優先： 建議至少 15 字元，改用「通關短語」（如：
I love drinking Coffee 2026!）取代無意義的亂碼。 - 停止定期強迫更換： 除非有外洩跡象，否則頻繁更換只會讓人想出更簡單好猜的密碼。
- 善用管理員： 每個網站一組獨立長密碼，靠密碼管理器生成與記憶。
結語：把勝負寫進「結構」裡
資安最大的變數始終是「人」。與其苛求記憶力，不如導入 FIDO2/WebAuthn 標準，利用公私鑰技術，讓「密碼被偷」這件事從根本消失。
👉 閱讀全文：https://pecezen.org/weak-passwords-data-breach-mfa-passkeys/
