“定期更换密码”被视为金科玉律，但权威机构早已指出这是过时且无效的安全策略。它不仅无法有效提升安全性，反而可能让账户更易受到攻击。本文将揭示其背后的风险，并探讨真正有效的安全措施。
智能速览
NIST官方指南明确不建议定期强制改密码。
微软已移除密码过期策略，称其价值极低。
研究显示，强迫改密码会导致用户进行可预测的变形。
基于旧密码猜出新密码的成功率高达41%。
相比改密码，强制多因素认证是更有效的方案。
精华内容
当“定期更换密码”成为安全标配时，权威机构和研究数据却给出了截然相反的结论。这种看似安全的习惯，背后隐藏着意想不到的风险。
权威定调
美国国家标准与技术研究院（NIST）在其官方指南 NIST SP 800-63B 中明确建议，不应要求用户定期更改密码。这一建议颠覆了长期以来的安全惯例。微软的行动更为果断，自 2019 年 5 月起，直接从 Windows 10 的安全基线中移除了“密码过期策略”，并评价这是一种“古老且过时的缓解措施，价值极低”。
用户行为
北卡罗来纳大学的研究团队通过实测揭示了这一策略失效的根本原因。当被强制要求更改密码时，绝大多数用户并不会创建一个全新的、高强度的密码，而是会选择在旧密码基础上进行简单的、有规律的变形。例如，将 `Pa$$word1!` 修改为 `Pa$$word2!`，再变为 `Pa$$word3!`。这种行为模式使得新密码的复杂性并未实质性提升。
真实风险
这种可预测的密码变更模式，为攻击者提供了极大的便利。根据北卡罗来纳大学的数据，如果攻击者获取了用户的旧密码，利用简单的规则去猜测新密码，成功率可以高达 41%。在某些情况下，猜出下一个变形密码仅需 3 秒钟。这使得定期更换密码不仅没有增强安全性，反而可能因为密码的规律性而降低了账户的安全门槛。
更优策略
既然定期更换密码弊大于利，那么更有效的安全策略是什么？答案是多因素认证（MFA）。相比依赖单一且可能被猜测的密码，MFA 通过引入第二重验证（如手机验证码、身份验证器应用），极大地提升了账户的安全性。这是一种“你知道的”加上“你拥有的”或“你本身就是”的组合，即使密码泄露，攻击者也难以突破第二道防线。
摒弃无效的密码轮换，拥抱以多因素认证为核心的现代安全体系，才是保护数字身份的关键。是时候重新审视那些被视为“常识”的安全习惯了，你的账户安全策略准备好了吗？
