新北市立淡水國民中學

過去的思維：強調複雜度

你一定遇過設定網站密碼時，要求要有大寫、小寫、數字、符號，還不能跟舊密碼太像。結果最後不是寫在備忘錄，就是把同一套密碼改個年份再上場。看起來很符合規則，實際上卻更容易被猜中，因為那些替換技巧早就被攻擊工具算進去了。

--林佳雯（2025）。別再逼自己記符號密碼！資安新共識：密碼長度比複雜更重要。MERXWIRE。

傳統的密碼設定規則：（2003, NIST）/ 已不推薦

這種密碼設定方式開始流行，起因於 2003 年美國國家標準技術研究所（NIST）所制定的一份文件附錄，有趣的是，撰寫該安全密碼最佳實踐原則的作者Bill Burr接受華爾街日報訪問時卻直言當初所制定的方式並不十分洽當，並為此造成使用者的不便感到抱歉（＂Much of what I did I now regret.＂）。他並不是在鼓勵使用容易被破解的密碼，而是因為當初撰寫時沒有考量到人類的惰性問題，太複雜的密碼組成要求不僅徒增困擾且可能還有反效果。

--陳彥銘（2017）。 密碼安全性原則，困擾的是駭客還是自己？。法務部調查局清流月刊106年11月號

系統管理員的訂定密碼設定規則的立意應該是好的。然而，如果設定密碼的使用者根本就記不住，最後只會出現兩種情形： 1. 因為記不住密碼而不得不越來越頻繁地找系統管理員重設密碼（而且設定過的還不能再用！） 2. 將密碼記在筆記或靠諸如Google Chrome等管理密碼。

--許可欣（2018）。也談資安：密碼迷思與出路 。臺灣大學計算機及資訊網路中心電子報，(46)。

Tr0ub4dor&3（一串難記的密碼，符合各種常見規則）有2的28次方種組合，每秒猜1000次，電腦只要約3天就能猜出來。「correcthorsebatterystaple」（4個隨機詞組成的密碼，沒有符合規則），有2的44次方種組合，每秒猜1000次大約需要550年。

--密碼規則發明人道歉：我很後悔，對不起浪費大家的時間！。（2023）。香港商業時報。

經過 20 年的努力，我們成功地訓練了所有人使用電腦容易猜到但人類難以記住的密碼。

--前NASA機器人專家 Randall Munroe（2011）。 《Password Strength》 (密碼強度)。網路漫畫 xkcd 第 936 幅作品。

進化的觀念：『夠長』比『夠亂』更難破解

密碼的長度比複雜度更重要。（2018,NIST）

美國國家標準暨技術研究院（National Institute of Standards and Technology，簡寫為NIST）認為，密碼的長度遠比複雜度更重要。基於 NIST 的理論，美國波特蘭(Portland)地區的 FBI 日前特地發文，建議企業 IT 人員以及一般網友，都應該選用長度更長的密詞(passphrase)來取代短而複雜的密碼組合(password)。

--黃慧雯（2020）。防駭靠這招 FBI建議別用複雜密碼要用15字密詞。中時新聞網。

FBI的資安技術專家表示，密碼破解難易度是受長度與複雜性影響，而長度又比複雜性的難度更高，不管是智慧門鎖、電腦登入密碼、信用卡密碼、網銀密碼……等等，都是相同的道理，因此與其選擇不相干的亂數組成密碼，不如選擇幾個單字組成一組超長的密碼，這樣不僅難以破解，民眾較不容易忘記密碼。

--林欣穎（2020）。FBI親授密碼這樣設最安全。匯流新聞網。

與其逼使用者設定花俏難記密碼，權威機構開始強調更務實觀念：「密碼越長越好，且要讓人記得住。」 英國國家網路安全中心 (NCSC) 近年大力推廣「三個隨機單字」組合法，核心邏輯是長度能大幅增加駭客猜測成本，且隨機組合遠比刻意替換字符(如將A改成@)更難被破解。

--林佳雯（2026）。別再逼自己記符號密碼！資安新共識：密碼長度比複雜更重要。MERXWIRE。

高強度密碼設定指引 (2025, NIST SP 800-63B)