我的密码有多强？

上面那个数字实际在度量什么

多数强度计只算一件事：你密码的长度，乘以你所取用的字符集大小。对于一个随机选出的密码，这是个不错的公式；而对于一个由人选出的密码——也就是几乎所有密码——它就严重误导人了。

按那个公式，Password123! 大约得 79 位。十二个字符，四类字符，满足有史以来所有企业密码策略。而一台破解机器远不到一秒就能拿到它，因为那并不是十二次独立选择。那是一个词典词、一个大家都放在同一个位置的大写字母、三个大家都按同样顺序排的数字，以及一个放在末尾的符号。四次决策，全都可预测。

所以本页做的是另一件事。它把你的密码拆成它能找到的、代价最低的一串可辨识片段，按「够到每一片要花多少次猜测」给每一片定价，然后相乘。任何它认不出来的部分，都按完全暴力破解的价码计。结果就是那个总数的 log₂，而「攻击者会认出什么」那份清单，就是它最终选定的那套拆解方式——是真正的入口路线，不是一份「所有可疑之处」的清单。

它会给哪些模式定价

位置也有影响，只是和人们以为的不一样。把数字从末尾挪到一个词的中间会有一点帮助，因为那把这个词切成了两个更短的片段，词典匹配器跨不过去。但它的帮助远远小于再加四个随机字符。

这个估计在哪里过于宽厚

这一点值得直说，因为一个自吹自擂的强度检测器比没有还糟：本页上的每一个数字都是一个上界。

这里的词典是 2,099 个常用英文词，加上 181 个泄露最多的密码。这足以逮住那些造成大部分密码失陷的失败模式，但和真正的攻击者所用的相比差得远。他们的词表动辄几十万个词、涵盖每一种语言，还加上名、姓、地名、足球俱乐部、乐队名，以及过去十五年里每一次公开泄露的全部内容。

具体一点：Tr0ub4dor&3——那个 XKCD 例子，一个真正意义上的弱密码——在这里大约得 72 位，因为「troubadour」不在一份两千词的表里。而一个词典里含有它的工具，会把同样这串字符定价在大约 28 位。这个落差不是算术上的 bug；它就是词典的大小差别，也正是为什么这里一个好分数意味着的是没有发现明显的弱点，而不是这个密码是安全的。

如果结果很糟

人的本能是去修补那个不及格的密码——加个符号，把一个字母换成数字，在末尾放个 2026。那产出的是一个与原来只差一步的密码，而那一步恰恰就是破解工具会施加的变换。如果一个密码分数很差，就换掉它，而不是修它。

生成器会给你一个替代品；而对于那两三个你确实必须记住的密码，它的口令短语模式是更好的选择——六个随机词大约是 66 位，而且经得起被人手敲出来，二十个随机字符则经不起。

有一件事是任何强度检测器都看不见的，而它偏偏最要紧：你是不是在别的地方也用过这个密码。账号丢失的主要方式不是被猜中，而是撞库——从一个站点泄露出来的密码，被拿去在其他每一个用同一个邮箱的站点上重放一遍。一个 120 位的密码用在两个地方，一旦第一个被攻破，它在第二个地方提供的保护就是零。