管理员账号密码

机房角落那台老服务器的管理机箱上，贴着一张泛黄的员账便签纸，上面用圆珠笔写着“admin / 123456”。号密没人知道是管理谁贴的，也没人敢撕。员账这行字就像某种古老咒语，号密承载着整个公司最核心的管理数据库权限。直到上个月，员账新来的号密运维实习生误触了键盘，把密码改成了“admin / Admin@2024”，管理然后便签纸没更新——于是员账全公司陷入了长达两小时的“系统瘫痪”。

管理员账号密码，号密从来不是管理技术问题，是员账人性问题。你设得复杂，号密自己记不住，三天两头重置；你设得简单，别人猜得到，数据裸奔。最讽刺的是，那些真正重要的系统，管理员往往用“password”或“123456”这种近乎裸奔的密码，而那些无关紧要的测试环境，反而被复杂的“xK#9!pQz”锁得死死的。我见过一家银行的运维主管，他管着几十亿交易额的系统，密码是“root”加生日。他说：“改复杂了，我怕自己忘了；忘了，就得走流程，那更麻烦。”

这种“怕麻烦”心理，正是所有安全漏洞的根源。我曾帮一家创业公司做安全审计，发现他们的云服务器管理员密码是“iloveyou”，而且开启了远程登录端口。我提醒他们改掉，CTO笑着说：“我们团队就五个人，谁会来攻击我们？”结果三个月后，他们的数据库被勒索病毒加密，黑客留了张纸条：“谢谢你的iloveyou，让我省了不少力气。”那家公司最后花了二十万赎回数据，而CTO从此再也没说过“谁有空攻击我们”这种话。

但密码管理最吊诡的地方在于——它不是越复杂越好。美国NIST在2017年就推翻了自己二十年的建议，不再推荐强制定期更换密码，也不鼓励强制特殊字符组合，因为研究发现，人们为了记住“P@ssw0rd!2024”这种密码，往往会把它写在便利贴上，或者用同一个密码注册所有网站。反而是“correct-horse-battery-staple”这种长短语，既好记又难破。可惜，大多数企业的安全策略还停留在上个世纪，要求你每九十天换一次密码，结果大家就在“Spring2024!”和“Summer2024!”之间来回切换。

我自己的做法很简单：重要系统用密码管理器生成随机密码，然后开启双因素认证。次要系统干脆用“一句只有我知道的废话”当密码，比如“我家猫不吃香菜”。同事笑我太随意，但至少我从来没被锁在系统外面过。倒是那些天天改密码的同事，每个月都要喊运维来重置一次，时间久了，运维直接在工位上贴了张纸条：“密码忘了？先试试你女朋友的名字。”

说到底，管理员账号密码这玩意儿，就像家里的门锁。你装个指纹锁，看起来很高级，但要是停电了，还得靠备用钥匙。你设个超长密码，防住了黑客，也防住了自己。真正的安全，不是靠一个密码扛住所有攻击，而是靠习惯——定期备份、最小权限、多因素认证、不共用账号。密码只是第一道门，门后面还得有走廊、有监控、有保险柜。

那张泛黄的便签纸还在机箱上贴着，没人去更新，也没人再去碰那台老服务器了。它已经退役，成了机房里的摆设。但每次路过，我都会想起那个“admin/123456”的年代——那时候，信任比安全重要，方便比防御优先。现在呢，密码越来越长，信任越来越少。

本文地址：http://www.79wt.cn/news/617e0299380.html