快把你的密碼改成完整的英文句子 (Pass Phrases)

在Openfind 2012 Solution Day 筆記中我提到「運用一般家用硬體，在 1 秒內即可破解任何 8 位數(含)以下的密碼」，因此密碼長度基本上是越長越好。從當兵的時候開始為了滿足長度&複雜度的要求，我都用注音輸入法的順序當做密碼，例如「林益世」就是「xup6u4g4」，通常這樣的密碼不但長度夠，而且複雜度也夠。


問題是開始使用 Smartphone 以後，這樣的密碼就變得非常難輸入，沒有桌上的標準尺寸鍵盤，根本就記不住注音符號對應到哪些英數字/標點符號，因此有一段時間都把密碼改為比較簡單的密碼，但這樣風險就變高了。


幸好前陣子看到 Jeff Atwood 的 Passwords vs. Pass Phrases 這篇文章，於是我開始把自己常用網站的密碼都改成完整的英文句子，好處包括：

1. 長度絕對足夠，且包含標點符號。
2. 容易記憶，與其用家人的生日「1900/01/01」，不如改為「Tim's bDay was January 1st.」、「My s0n's 1st Xmas is sooo great!!」等句子，並且故意把「英文o，數字0」、「英文l、數字1」之類的字元交替使用(多用英文的網路慣用簡寫)，強度更強。
3. 在 mobile devices 上容易輸入，因為都是英文+數字+標點符號。

以下是測試結果。

• Microsoft Windows Live ID (Hotmail, SkyDrive)
• 密碼長度：6~16個字元，不允許使用空格。沒有密碼強度提示。
• Google Account (GMail, Calendar, Drive...)
• 密碼長度： 沒有明確標示，但可使用長達22個字元的密碼。輸入第8個字元時強度由medium變為strong，不符合現況！
• 兩階段驗證設定方式
• Yahoo! Account (Yahoo! Mail)
• 密碼長度：6~32個字元，有密碼強度提示，輸入第6個字元時強度由「密碼無效」變為「甚強」。
• Apple ID (iTunes Store, iCloud)
• 密碼長度：8字元以上，輸入第17個字元的時候強度由moderate變為strong。 可使用長達22個字元的密碼 。
• Dropbox
• 密碼長度：沒有明確標示，但可使用長達22個字元的密碼。奇怪的地方是新密碼不用重複輸入兩次。
• Evernote
• 密碼長度：沒有明確標示， 但可使用長達22個字元的密碼。沒有密碼強度提示。
• Plurk (噗浪)
• 密碼長度：沒有明確標示， 但可使用長達22個字元的密碼。沒有密碼強度提示。
• Facebook (臉書)
• 密碼長度：沒有明確標示， 但可使用長達22個字元的密碼。輸入第8個字元時強度由medium變為strong，不符合現況！
• 兩階段驗證設定方式
• Skype
• 密碼長度：6~20個字元，沒有密碼強度提示。
• Battle.Net
• 密碼長度：8~16個字元，輸入第11個字元時強度由「中等」變為「強」。
• PayPal (2012-07-17更新)
• 密碼長度：8~20個字元， 輸入第11個字元時強度由「一般」變為「高」。

目前看來長度比較危險的是微軟的Windows Live ID & 暴雪的帳號，但暴雪還有手機動態密碼鎖可以保護，因此還是比較安全的。