新北市立淡水國民中學

過去的思維：強調複雜度

傳統的密碼設定規則：（2003, NIST）/ 已不推薦

這種密碼設定方式開始流行，起因於 2003 年美國國家標準技術研究所（NIST）所制定的一份文件附錄，有趣的是，撰寫該安全密碼最佳實踐原則的作者Bill Burr接受華爾街日報訪問時卻直言當初所制定的方式並不十分洽當，並為此造成使用者的不便感到抱歉（＂Much of what I did I now regret.＂）。他並不是在鼓勵使用容易被破解的密碼，而是因為當初撰寫時沒有考量到人類的惰性問題，太複雜的密碼組成要求不僅徒增困擾且可能還有反效果。

--陳彥銘（2017）。 密碼安全性原則，困擾的是駭客還是自己？。法務部調查局清流月刊106年11月號

密碼複雜性的目的是在增加密碼強度，讓駭客不容易預測，但過度複雜或制式化的複雜性規則，反而產生反效果。弔詭的是，這個問題明明大家都知道，實務作業也發現問題，但卻都選擇默默接受，為什麼呢？或許是因為沒有更好的密碼最佳實務建議，所以只好按照原本的規則設定，這種消極的因應作法與心態，也提供了駭客入侵的機會。

--邱述琛（2017）。密碼規則的盲點與未來可能發展。中央社。

美國國家標準與技術研究院(NIST)在最新數位身分驗證指引中明確指出，不必再硬性要求密碼包含大小寫或特殊符號，因為這類規則反而會讓使用者陷入「可預測的模式」，對整體安全性未必有幫助，甚至可能適得其反。

--林佳雯 （2025）。別再逼自己記符號密碼！。MERXWIRE。

觀念的轉捩點：難記的密碼，困擾自己多過於防範駭客？

轉捩點1：「可預測性」的盲點

強制要求密碼包含大小寫、數字與特殊符號，往往會促使使用者採取大同小異的『捷徑』：例如把首字母大寫，並在結尾加上數字或驚嘆號（例如：Password123!）。這種可預測的行為模式，讓複雜度規則形同虛設，實際上只困擾了合法使用者，卻擋不住駭客的字典攻擊程式。

--科技報橘（2024）。好的密碼應該要「很複雜」還是「很長」？一份新密碼指南打破大眾認知。

轉捩點2：使用者的「密碼疲勞」

當我們設定了極其嚴苛的密碼規則時，實際上是在引發使用者的『密碼疲勞』。人類的大腦無法記住多組無意義的亂碼，最終導致多數人選擇把密碼寫在便利貼上貼在螢幕旁，或者在所有網站重複使用同一組密碼，這反而製造了更大的資安破口。

--台灣電腦網路危機處理暨協調中心(TWCERT)（2017）。密碼規則發明人道歉：放錯重點。

轉捩點3：「人類記憶力 vs 電腦算力」的不對等

Tr0ub4dor&3（一串難記的密碼，符合各種常見規則）有2的28次方種組合，每秒猜1000次，電腦只要約3天就能猜出來。「correcthorsebatterystaple」（4個隨機詞組成的密碼，沒有符合規則），有2的44次方種組合，每秒猜1000次大約需要550年。

--香港商業時報（2023）。密碼規則發明人道歉：我很後悔，對不起浪費大家的時間！。

經過 20 年的努力，我們成功地訓練了所有人使用電腦容易猜到但人類難以記住的密碼。

--前NASA機器人專家 Randall Munroe（2011）。 《Password Strength》 (密碼強度)。網路漫畫 xkcd 第 936 幅作品。

進化的觀念：『夠長』比『夠亂』更難被破解

密碼的長度比複雜度更重要。（2018,NIST）

美國國家標準暨技術研究院（National Institute of Standards and Technology，簡寫為NIST）認為，密碼的長度遠比複雜度更重要。基於 NIST 的理論，美國波特蘭(Portland)地區的 FBI 日前特地發文，建議企業 IT 人員以及一般網友，都應該選用長度更長的密詞(passphrase)來取代短而複雜的密碼組合(password)。

--黃慧雯（2020）。防駭靠這招 FBI建議別用複雜密碼要用15字密詞。中時新聞網。

FBI的資安技術專家表示，密碼破解難易度是受長度與複雜性影響，而長度又比複雜性的難度更高，不管是智慧門鎖、電腦登入密碼、信用卡密碼、網銀密碼……等等，都是相同的道理，因此與其選擇不相干的亂數組成密碼，不如選擇幾個單字組成一組超長的密碼，這樣不僅難以破解，民眾較不容易忘記密碼。

--林欣穎（2020）。FBI親授密碼這樣設最安全。匯流新聞網。

將password更改為passphrase是提高網路安全的絕佳方法。 passphrase由 4 個或更多隨機單字組成，比標準的password更長。這使得它們易於記憶，但又難以被他人猜到。

--澳洲國家網路安全中心(ACSC)。Passphrases are the more secure version of passwords。澳洲訊號局(ASD)。

與其逼使用者設定花俏難記密碼，權威機構開始強調更務實觀念：「密碼越長越好，且要讓人記得住。」 英國國家網路安全中心 (NCSC) 近年大力推廣「三個隨機單字」組合法，核心邏輯是長度能大幅增加駭客猜測成本，且隨機組合遠比刻意替換字符(如將A改成@)更難被破解。

--林佳雯（2026）。別再逼自己記符號密碼！資安新共識：密碼長度比複雜更重要。MERXWIRE。

高強度密碼設定指引 (2025, NIST SP 800-63B)