1111 當密碼 10 秒被破解？一堂給台灣人的密碼整理課:密碼管理員設定完全指南

一組「1111」,駭客的破解程式跑不到 10 秒。

這不是危言聳聽。密碼管理公司 NordPass 逐年發布的全球常用密碼排行榜上，台灣使用者長年貢獻了「1111」「123456」「a123456」這類組合，而資安圈的普遍共識是:純數字四碼密碼，消費級顯示卡跑暴力破解，時間以「秒」計。

問題來了。多數台灣人不是不知道風險，而是不知道「換成什麼」。這篇就是給第一次接觸密碼管理員的人的操作指南。

關鍵1:先理解敵人怎麼攻擊，你才知道防什麼

駭客極少「猜」你的密碼。主流手法有三:一是拿外洩資料庫裡的帳密直接「撞庫」——你在某購物網站洩的密碼，被拿去試銀行和信箱；二是字典攻擊，把常見字詞排列組合逐一比對；三是釣魚，直接騙你輸入。

管理網站 Have I Been Pwned 的公開資料庫收錄的暴霞外洩紀錄已達數百億筆。換句話說，你的 email 幾乎必然出現在其中某次外洩事件裡。防線只有一條:每個網站用不同密碼。

但人腦記不住二十組隨機字串。這正是密碼管理員存在的原因:你只記一組主密碼，它替你記其他全部。

關鍵2:三分鐘選好工具，別陷入比較地獄

新手選擇只需要看三件事:是否支援「零知識架構」(伺服器端只存加密後的資料，廠商自己也看不到)、是否有瀏覽器擴充套件自動填入、是否跨手機與電腦同步。

主流選項包含 1Password、Bitwarden(開源、有免費版)、Apple 內建的「密碼」App,以及 Google 密碼管理員。對 iPhone 加 Android 混用的家庭，Bitwarden 的免費跨平台方案通常最省事；全蘋果生態則直接用內建方案即可，零學習成本。

設定流程四步:安裝 → 設主密碼(一句話 passphrase,例如四個不相關單字加一個數字)→ 裝瀏覽器擴充套件 → 開啟兩步驗證(先用簡訊 OTP 也行，進階再換驗證器 App 或硬體金鑰)。

策略:不要「一夜換完」，用洋蔥式換法

一次換掉所有密碼，九成的人會放棄。實務做法是分層:

第一層(今天): email、銀行、電信、政府的兩三個關鍵帳號。email 是重中之重，因為所有「忘記密碼」的信都寄到那裡，等於是所有帳號的萬能鑰匙。

第二層(本月):儲存付款資料的購物網站、社群帳號。

第三層(遇到再換):其他長尾網站。密碼管理員的外洩監控功能會主動通知你哪些站該換，跟著警示走即可。

每換一個站，就讓管理員「產生」一組 16 碼以上隨機密碼。你從此不需要知道密碼內容，只需要記得:填入的事，交給工具。

最後一道防線:主密碼本身

主密碼是你唯一要背的東西，也因此是全系統最脆弱的環節。資安圈的建議是「長比複雜重要」:四個不相關中英單字組成的 20 字以上通關密語，比八碼含符號的密碼更難破解、更好記。

代價是——忘了它，沒人救得了你(這正是零知識架構的雙面刃)。寫下來鎖進抽屜，比存在手機記事本安全得多。紙本離線，反而是駭客碰不到的地方。

換完之後回頭看，你會發現原本真正的風險不是「密碼不夠長」，而是同一組密碼用了十年、跨越二十個網站。下一步的問題是:台灣的企業內部帳號，什麼時候才要跟上同一套邏輯？