密码和通行密钥：保护您的账户
在多个网站重复使用同一密码，仍是账户被盗最常见的原因之一。三种工具可以解决大部分问题：密码管理器、双重认证和通行密钥（passkey）。
Kayzen Security 编辑团队阅读约需 4 分钟
怎样才算好密码
长度比表面上的复杂度更重要。由几个互不相关的词组成的密码短语既长又好记。CNIL 发布了一份关于密码的详细建议（2022 年 7 月 21 日第 2022-100 号决议），根据密码是单独使用还是配合第二因素使用而有所区别。
- 每个账户唯一。
- 足够长：一个密码短语或随机生成的字符串。
- 绝不取自个人信息（名字、日期、宠物名）。
- 一旦得知泄露或有所怀疑，立即更换。
密码管理器
密码管理器将您的登录凭据存放在一个加密保险库中，由一个唯一的主密码保护。它能生成随机密码、自动填写，并且只在正确的网站上提供，这也降低了钓鱼风险。
请选择知名的工具，妥善保护主密码，并为保险库本身开启双重认证。在企业中，团队版密码管理器可以共享访问权限，而无需通过电子邮件发送。
双重认证
- 身份验证器应用或物理安全密钥：最安全的选择。
- 短信验证码：聊胜于无，但风险更高（号码劫持、实时钓鱼）。
- 绝不要把收到的验证码告诉向您索要的人，即使对方自称是您的银行或技术支持。
- 将备用码存放在安全的地方，不要放在主设备上。
通行密钥：顺理成章的下一步
通行密钥（passkey）基于 FIDO Alliance 和 W3C 的标准。您的设备会为每个网站生成一对专属密钥：私钥绝不会发送给网站，而是保存在您的设备或密码管理器中，并以加密方式同步；您可以用指纹、面容或设备密码解锁它。
由于密钥与真实域名绑定，假冒网站无法使用它：这是抵御网络钓鱼的有力防护。当某项服务提供通行密钥时就启用它，同时保留一种账户恢复方式。
在企业中
- 强制对邮箱、远程访问和管理工具启用双重认证。
- 提供团队版密码管理器，而不是共享电子表格。
- 及时停用离职人员的账户。
- 每台电脑使用不同的本地管理员密码。
官方资料
- CNIL （新标签页） — Mots de passe : une nouvelle recommandation pour maîtriser sa sécurité
- FIDO Alliance （新标签页） — Passkeys (clés d'accès)
- Cybermalveillance.gouv.fr （新标签页） — Assistance et prévention en sécurité numérique (fiches réflexes, prestataires ExpertCyber)
所引用的资料由其作者以原始语言发布。Kayzen 与上述任何机构均无关联。
本指南仅供一般性参考，不能替代法律意见，也不能替代信息安全专业人员的介入。