密码策略的落地：长度比复杂度更重要

发布时间:2026-05-27 17:25

很多团队的密码策略还停留在老观念：必须大小写混合、必须含数字符号、九十天强制更换。现代密码学的实践结论却在往另一个方向走：密码的强度主要取决于长度，过于复杂的规则反而催生出弱模式密码，比如把首字母大写加感叹号挂在句尾。理解这个转变，才能制定真正有效的服务器密码策略。 ## 为什么长度优先 攻击者离线破解密码时，按字典与常见变形组合逐个尝试。复杂度规则挡不住变形字典：单词加数字加尾巴的组合早已被收录进破解字典。真正推高破解成本的是熵，也就是组合空间的大小，每多一个字符，尝试空间呈指数级扩大。一个由多个随机词组成的长口令，即便全是小写字母，也比八位大小写数字符号混杂的短密码更抗破解，而且长口令对人类更好记，输错率更低。 ## 在系统里落地 Linux 下通过密码质量模块配置最小长度与基本约束，在配置文件里设置： ```conf minlen = 14 maxrepeat = 3 ``` 含义是口令至少十四个字符，同一字符最多连续出现三次，其余复杂度项保持宽松。同时建议关闭不合理的强制周期更换，只在怀疑泄露或确实到期时要求更换。对远程登录，更有效的办法是让密码退居二线：优先启用密钥登录并禁用密码认证，密钥的长度天然远超任何人类可记的口令。 ## 常见错误与修正 第一种错误是规则严苛到人人贴便签，十四位以上还要求四类字符全有，结果密码贴在显示器上，安全归零。第二种错误是强制九十天一换，用户只会在旧密码后加月份数字，策略形同虚设。第三种是忽略了服务账号与默认账号，系统里还存在从未改过的初始口令。修正思路统一：把强度要求集中到长度上，把记忆负担转移到口令管理工具，把登录安全转移到密钥与多因素认证上。顺云控制台里的账号体系同样适用这条原则，管理口令按长口令标准设置，再配合平台的多重验证，比单纯堆复杂度符号可靠得多。