宋明成

密码最佳实践是众所周知的，但它们真的是最好的吗？在过去的几十年中，大多数公司已经实施了他们认为是基本密码标准的内容。

这些通常包括：

确保由数字，字母（大写和小写）字符以及特殊符号和类似字符组成的复杂密码；

强制用户定期更改密码；

要求用户先前未使用的新密码。

这些准则已被广泛接受，因此我们看到支付卡行业数据安全标准（PCI DSS）中的要求规定密码应每90天更换一次。

但是，像所有成熟的技术政策一样，重要的是不时停下思考，并评估该政策在不断变化的环境中是否有意义。这正是美国国家标准与技术研究院（NIST）为密码准则所做的。我们应该忘记几十年来我们已经习以为常的最佳实践，并将新常态应用于密码管理实践。让我们来看看一些常用的密码安全实践，并与NIST的更新建议进行比较。

情结不一定强

我们似乎永远不得不选择包含数字字符，大小写字母和特殊字符变体的密码，以使密码复杂化。但是，NIST已经声明这不会导致更强的密码，并且这种做法应该被替代为对密码选择更加动态的支持。NIST建议组织通过检查选择的密码来防止已知泄露的泄露数据和已知的弱密码，从而支持用户选择更好的密码。很难说这个练习是不可能的，因为互联网上有大量诸如HashCat和类似的密码测试工具等工具的可用性使得密码选择的质量检查相当容易。

越长越好，并允许剪切和粘贴

我们都遇到过例子，你的密码长度不能超过8或10个字符。……