定期更换密码是愚蠢的密码规则？

数十年来，消费者和企业员工经常被灌输一些“强密码规则”，例如定期更换密码，在密码中使用特殊字符等。虽然近年来此类密码规则的有效性遭到安全专家的广泛质疑，但是新一代密码规则（例如用长度换强度、非必要不更新等）由于企业界的强大惯性和阻力（例如大多数互联网服务和企业系统都不支持64位长密码）而难以普及推广。

近期，美国国家标准与技术研究院（NIST）发布了最新的数字身份指南草案（SP800-63-4第二版），颠覆了人们对密码安全的认知。指南提议取消一些最流行的，同时也是“最荒谬”的常识性做法，例如：

强制用户定期更改密码
强制或限制用特定字符
强制要求混合多种类型字符
使用安全问题作为验证手段

破除密码安全的陈规陋习

在数字时代，密码是保护用户隐私和数据安全的关键要素。然而，NIST指出，许多传统密码管理规则不仅没有增强安全性，反而适得其反。最典型的例子是强制用户定期更改密码的要求。

几十年前，密码安全性认知尚未普及，人们往往选择容易被破解的常见词汇或简单字符组合，因此定期更改密码被认为是防止被盗用的一种策略。但是，随着密码管理技术的进步和随机生成密码的普及，强制更改密码的做法不仅增加了用户的负担，还可能导致密码复杂性下降。

NIST给验证服务和管理者的“颠覆性”密码建议如下：

密码长度至少为8个字符，建议不少于15个字符。
应允许最大密码长度至少为64个字符。
应该接受所有打印ASCII（RFC20）字符，或在密码中添加空格字符。
应接受密码中的Unicode（ISO/ISC 10646）字符。评估密码长度时，每个Unicode代码点应计为一个字符。
不得对密码施加其他组合要求（例如，要求混合不同类型的字符）。
不得要求用户定期更改密码，除非有证据表明账户被盗用。
不得允许订阅者存储未经身份验证的用户可访问的提示。
不得提示订阅者在选择密码时使用基于知识的身份验证(KBA)（例如“您的第一只宠物的名字是什么？”）或安全问题。
验证者应当完整验证所提交的密码（即，不要截断它）。

特殊字符与安全问题是一对“卧龙凤雏”

NIST还质疑另一项广受诟病的规则——要求密码必须包含大小写字母、数字和特殊字符。NIST认为，在密码足够长且复杂的情况下，这类字符组合规则并没有实质上的安全提升作用，反而会导致用户选择更容易记忆且相对脆弱的密码。

许多用户为了满足这些复杂的规则，往往倾向于使用重复的字符或常见组合，如“Password123!”之类的“伪强密码”。

同样，NIST建议废除使用安全问题（如“你的第一只宠物叫什么？”）作为密码验证手段。研究表明，安全问题容易被破解或通过社交工程攻击获取答案，难以真正保障用户隐私（有时反而会导致隐私泄漏）。

用长度换取强度

NIST在新指南中建议，密码验证系统应接受至少64个字符长度的密码，并支持所有ASCII字符和Unicode字符的使用。这意味着用户不仅可以设置更长的密码（例如：wo xihuan chi gobelieve baozi），还可以使用更广泛的字符集，进一步增强密码的复杂性与安全性。

同时，NIST强调，密码验证应当检查用户输入的完整密码，而非截断处理，确保密码的每一个字符都被考虑在内。

密码安全新趋势：回归常识与用户体验

NIST的最新指南草案不仅在技术层面上进行了优化，更重要的是，它体现了密码安全领域的一种回归——回归常识、回归用户体验。正如NIST在声明中指出的，许多密码管理规则之所以存在，是因为早期网络安全认知不足，然而，随着技术的进步和攻击手段的复杂化，许多看似“安全”的做法其实已经不再适用，甚至成为了安全隐患的源头。

以密码长度为例，NIST建议的8-15字符的最低密码长度既确保了密码的基本安全性，又避免了过度复杂的字符组合规则，让用户可以在增强安全性的同时减少记忆负担。这一理念与近年来密码管理软件（如密码管理器）和生物识别技术的普及相呼应，进一步提升了整体用户体验。

未来展望：安全管理需要以人为本

尽管近年来不少专家一再批评现行密码规则的弊端，但银行、互联网平台和政府机构大多依然固守这些过时、无效甚至有害的规则。NIST（美国国家标准与技术研究院）发布的新指南草案尽管并不具备强制性，但被业界广泛看作是终结“无效”密码规则的一个标志性历史事件，也是全球密码安全标准演进的重要一环，有望在更广泛的领域内被采纳和应用，带动密码安全领域的深层变革。

未来，随着量子计算等新技术的发展，密码学的基础原理也可能发生变革。目前来看，这一提议对于密码管理和用户安全的提升是显而易见的，但其最终效果仍有待观察和验证。

“人的因素”是网络安全重要的环节，NIST密码新规的提出代表了一个重要的网络安全趋势——有效的安全管理需要更多地依赖技术创新和用户友好的安全设计，而不是机械地强制用户遵循陈规陋习。

参考链接：

https://pages.nist.gov/800-63-4/sp800-63b.html

转自：GoUpSec