为什么不能重复使用密码？｜损失扩大的过程与应对的优先顺序

重复使用的可怕之处在于“一次泄露不会就此结束”

一说到密码强度，大家的注意力往往集中在“设几位”“要不要加符号”上。但实际上损失扩大最常见的途径，并不是密码被破解，而是从别的服务泄露的密码被原样重复使用。

无论密码设得多长多复杂，只要在 10 个服务上重复使用，它的强度就等于“这 10 个服务中安全性最弱的那个”。你能管理的只有自己的密码，服务方怎样保存它是你无法选择的。

撞库攻击是这样得手的

把泄露的账号和密码组合拿到其他服务上逐一尝试的手法，叫作撞库攻击（凭据填充）。因为不是暴力破解，防守方很难把它和正常登录区分开，这正是麻烦之处。

1. 1

   ① 从某个服务泄露

   即使用户没有任何过错，也可能因为服务方的漏洞或遭到入侵，导致账号和密码的组合泄露。几年前就已注销的服务的数据，也可能事后流出。

2. 2

   ② 作为名单流传

   泄露的数据会被打包买卖、分享。其中包含邮箱地址，可以直接当作其他服务的账号使用。

3. 3

   ③ 在其他服务上被自动尝试

   攻击者用程序把同样的组合大量输入到各种服务中。和逐个猜密码不同，他们追求一次命中，所以不会触发登录失败次数的限制。

4. 4

   ④ 能登录的账号被盗用

   只有重复使用了密码的服务会被攻破。如果其中有邮箱账号，攻击者还能重置其他服务的密码，损失会一下子扩大。

看了这个流程，防守的要害就很清楚了。② 和 ③ 是个人无法阻止的。能阻止的只有 ④，也就是“让同样的组合在别处登录不了”。

应该先改哪些账号

一次更改所有账号的密码并不现实。按被盗后影响大小的顺序着手，就能用较少的工夫把损失扼杀在萌芽状态。

排序的关键不是金额大小，而是“会不会从这里扩散到别处”。邮箱账号几乎是所有其他服务的密码重置邮件的接收地址，所以不管涉及多少钱，都要最优先改成独立的密码。

今天就能开始的替换步骤

1. 1

   ① 想出一个你现在正在重复使用的密码

   每个人应该都有一两个“常用的”密码。把使用它的服务在能想到的范围内写下来。不需要完美的清点。

2. 2

   ② 先只改上表中最优先的两个

   把邮箱和手机运营商的账号改成在其他任何地方都没用过的新密码。做到这一步，连锁损失就能阻止很大一部分。

3. 3

   ③ 新密码不要自己想，而是生成

   自己想的密码难免带有规律。用生成工具，一瞬间就能做出 16 位左右难以猜测的字符串。如果服务不接受符号，就切换到只用字母和数字的设置。

4. 4

   ④ 先决定保存位置再更改

   随机密码是记不住的。用浏览器的密码保存功能也可以，但要先决定保存位置再开始更改。如果不先定好，最后还是会退回到好记的字符串。

5. 5

   ⑤ 开启两步验证

   即使密码泄露，只要还有一层确认，就不容易被入侵。如果可以选择验证器应用或通行密钥，请优先于短信设置。

6. 6

   ⑥ 其余的在每次使用时逐个更改

   剩下的服务，在下次登录时一个一个地替换。比起想一口气做完而半途而废，这样能确实地减少。

看似有效其实没用的小技巧

它们的共同点是：凡是向“人能记住的形式”靠拢的技巧，都会带有规律。放弃记忆、交给保存工具，结果反而能做到更强的状态。

觉得密码可能已经泄露时

1. 1

   ① 最先更改邮箱账号的密码

   要比其他应对都先做。如果不先守住这里，刚改完就会通过密码重置被夺回去。

2. 2

   ② 确认登录记录和关联应用

   主要服务都有可以查看最近登录设备和地区的页面。如果有不认识的设备，当场让它退出登录。

3. 3

   ③ 更改使用了相同密码的服务

   只改泄露的那一个没有意义。要把使用了相同组合的服务全部替换掉。

4. 4

   ④ 检查转发设置和绑定的邮箱地址

   盗号的惯用手段之一，是偷偷设置邮件自动转发或改掉绑定的邮箱地址。更改密码后一定要确认。

5. 5

   ⑤ 如有金钱损失，联系各公司的窗口

   银行卡被盗刷或被非法转账，越早申报越容易得到赔付。按时间顺序留下记录，手续会更顺利。

常见问题

所有密码都各不相同，不是不可能吗？

不需要全部记住。现实的做法是交给密码管理器或浏览器的保存功能，只记住打开它所需的一个主密码。请先至少让邮箱和支付类账号独立。

把密码保存在浏览器里没问题吗？

肯定比继续重复使用安全。只要给设备上锁，并给浏览器的同步账号本身设置两步验证，实际使用上就是足够的防护。

有了两步验证，就可以重复使用密码吗？

不建议这样做。两步验证是让入侵更难的额外屏障，密码依然是有效的钥匙。而且很多服务不支持两步验证，那里就会成为弱点。

生成的密码会留在工具那边吗？

本站的密码生成工具只在浏览器内生成字符串，不会发送或保存生成结果。关闭页面后结果就不会留下。