内容摘要：2012年LinkedIn被拖库，1.6亿个账号密码泄露。安全研究员分析发现，其中超过一半的密码能在24小时内被破解——不是靠什么高级漏洞，就是最简单的字典攻击和暴力破解。这件事让我印象很深，因为当时

2012年LinkedIn被拖库，何防1.6亿个账号密码泄露。止字安全研究员分析发现，典破其中超过一半的解和密码能在24小时内被破解——不是靠什么高级漏洞，就是暴力最简单的字典攻击和暴力破解。这件事让我印象很深，破解因为当时很多人用的何防密码是“123456”和“password”。

字典攻击的止字原理很粗暴：攻击者把常见密码、泄露过的典破密码、单词组合装进一个巨大的解和列表，然后一个一个试。暴力暴力破解更无脑，破解直接穷举所有可能的何防字符组合。这两种方法之所以至今有效，止字是典破因为大多数人的密码习惯太容易预测了。

防止这类攻击，第一道防线是密码本身。别用“qwerty”“iloveyou”这种字典里排前几位的密码。也别用“password123”这种自以为加了数字就安全的组合——攻击者的字典里早就收录了所有常见变形。真正有效的密码是随机的长字符串，比如“7$kQp2!vR9xL”。但问题来了，没人能记住这种密码，于是大家又把它写在便利贴上。

这就引出了第二道防线：多因素认证。就算密码被猜中，攻击者还需要第二重验证——手机上的验证码、指纹或者硬件密钥。我见过一个真实案例，某公司员工密码是“Summer2023”，字典里肯定有，但因为他开了短信验证，攻击者试出密码后也进不去系统。后来那封钓鱼邮件差点让他主动交出验证码，那是另一个故事了。

系统层面的防护同样关键。限制登录尝试次数是最直接的手段，连续输错五次就锁账号十五分钟，暴力破解的效率立刻暴跌。但攻击者会换IP绕过限制，所以还要加上行为分析——比如同一个IP段在短时间内大量尝试，或者登录时间异常，直接触发告警甚至自动封禁。

还有个容易被忽视的细节：密码存储方式。服务端如果明文存密码，一旦数据库泄露，所有用户都裸奔。正确做法是加盐哈希，而且要用bcrypt或argon2这种计算成本高的算法。慢是故意的——每次验证多花0.1秒，用户无感知，但攻击者跑字典的速度会慢几个数量级。

回到个人层面，你可能会想：“我又不是大公司，谁没事攻击我？”这种想法很危险。攻击者不针对你个人，他们用自动化脚本扫描全网，发现弱密码就顺手薅走。我有个朋友，游戏账号被暴力破解，对方只是为了用他的号发垃圾广告。损失不大，但账号里几年的虚拟资产全没了。

最有效的习惯是密码管理器。让软件生成并保存每个网站不同的随机密码，你只需要记住一个主密码。这个主密码要足够长，最好是四五个随机单词的组合，比如“correct horse battery staple”——XKCD漫画里提过这个例子，它比“Tr0ub4dor&3”难猜得多，却好记得多。

别指望单一措施能解决所有问题。密码强度、多因素认证、登录限流、服务端加密存储，每一层都在增加攻击者的成本。当破解一个账号需要的时间从几分钟变成几小时甚至几天，大多数攻击者就会转向更容易的目标。

说到底，安全不是绝对状态，而是成本和收益的博弈。你只需要让自己比隔壁那个人更难啃一点。就这么简单。