译者 | 陈峻

审校 | 重楼

在数字时代，密码的强度往往是安全与脆弱之间的一线之隔。然而，在密码的世界里，并非所有的复杂密码都具有等同的功效。下面，我将和您讨论密码的复杂性与熵之间的微妙关系，及其对于网络安全所产生的至关重要的影响。

复杂性的错误逻辑

在创建所谓复杂密码时，人类往往会陷入自命不凡的陷阱中。毕竟，我们是一种习惯性的动物，喜欢有意义的序列和熟悉的结构。这种与生俱来的、对模式的偏好自然延伸到了创建密码的方式上，进而做出自己无法意识到的、易被预测的选择。例如，各种所谓难忘的日期、连续的键盘路径、以及简单的字母数字排列等看似复杂，而实际上却使得密码更容易受到攻击。

复杂性的假象

密码的复杂性是一个经常被曲解的话题。许多人认为，只要在密码末尾加上一个大写字母或数字，就能提高密码的安全性。然而，此举无异于在纸门上加锁。乍一看，它给人一种安全的错觉，但仔细分析便知，它在现实世界中提供的安全保护可谓微乎其微。毕竟，黑客很容易也擅长利用字典攻击工具，通过现有的算法，对常见的单词和简单的变体进行有条不紊的猜测。

因此，好的密码不仅要包含各种字符，还要通过更深的层叠、更细微的方法，充分考虑如何将这些字符合理地进行组合。也就是说，它应该是一种随机性的编排，能够将大、小写字母、数字和符号交织到一起，避免使用常见的短语和可预测的替换，以其真正的复杂性，让攻击者无法寻找到其明显的模式，无从进行逻辑排序或猜测。

正确处理复杂性

如前所述，保障密码的复杂性不仅仅在于字母、数字和符号的混合，从根本上说，更在于其组合的不可预测性。您可以把密码想象成一个复杂的拼图，其中的每一块（字符）应当被随机放置，而不存在任何可辨别的模式或常见的替换。例如，我们可以用复杂的格式：9a!Pw2s$dR来代替Password1!这种看似杂乱无章的密码编排，就能够远离易被黑客破译的模式，从而大幅提高破解难度和整体安全性。

揭开熵的神秘面纱

熵的不可预测特性往往被运用在网络安全领域中。它能够量化和测量密码中固有的随机性和不确定性。我们可以把熵想象成充满了不可预知性的浩瀚无边的海洋。由于这片海域波涛汹涌，而且时有黑客之类的“海盗”出现，因此穿越它是具有挑战性的。

而密码的高熵（High entropy）性意味着，由于不再遵循可识别的模式或逻辑，因此它成为了未经授权的解密尝试或暴力攻击的巨大阻碍。继续上述比喻，如果我们把密码中的每个字符都看作是大海中的一朵浪花的话，那么这些波浪（字符）的多样性和随机性越强，大海状态就越混乱，其可预测性也就越低。

所有说，高熵密码并非是对那些常用短语、逻辑序列、或容易猜到的字母、数字及符号组合的替换，而是让这些元素在不可预测方面相互影响。而正是这些随机性和缺乏规律性构成了真正的安全密码，使其成为一套无法被直接破解的密码机制。

高熵的重要性

为了更好地理解高熵性在密码安全领域的重要性，让我们来看一个例子。乍一看，"Tr0ub4dor&3"之类的密码可能既复杂又安全。然而，在浩瀚的熵海洋中，它就像一只坐以待毙的鸭子，既脆弱又容易被暴露。这种脆弱性的原因就在于它的可预测性。

具体而言，这类密码虽然使用了数字和符号组合，但是也沿用了一种十分常见的模式--用字母代替视觉上相似的数字或符号。比如：用"0"代替了"o"，用"4"代替了"a"。这种看似奇崛实为寻常的复杂性，在无形中已遵循了黑客擅长利用的可预测规则与模式。

可以说，每个字符都能够增加一层复杂性。不过，这并非由于其本身的特殊性，而是因为它与其他字符的组合、以及在顺序安排上的出人意料。与此形成鲜明对比的是类似"W8z$2!pLw"的密码。它并没有遵循任何明显的逻辑或常见的替换模式。由于这些字符的排列方式无法预测，因此黑客极难用普通算法进行猜测或破解。据此，其随机性和缺乏规律性有效地成为了抵御入侵的强大屏障。

而正是这种密码级别的混乱与不可预测性、才真正定义了高熵密码。此类密码不仅能抵御普通的黑客攻击，而且可以将破解密码所需的努力和资源，提升到攻击者通常无法接受的程度。这种不可预测的复杂程度，能够使得密码从单纯的威慑变成了强大的屏障，进而大幅提高密码的安全性和抵御网络攻击的能力。

密码生成器

针对前文提到的人类在创造复杂性时的固有缺陷，密码生成器在某种程度上便成为了刚需。我们可以把密码生成器看作是熵海洋中精明的领航员。它将引导我们远离可预测性和人为偏见等危险暗礁。

通常，它们会采用算法生成真正随机的高熵密码。此类密码远超出了基于模式的黑客攻击策略的掌握范围。从本质上说，密码生成器的无偏见算法才是真正提供强大的数字防御的技术性方法。

高熵密码制定的实用步骤

• 保障长度：较长的密码通常意味着较高的熵。业界往往将12-15个字符的密码视为熵海洋中的一艘坚固的舰船。
• 避免常见的替换：那些将"E"替换为"3"，或将"O"替换为"0"的方式，比您想象得更容易被预测。
• 混合使用：使用大小写字母、数字和符号的组合。但要记住，随机组合的方式比组合本身更重要。
• 使用密码管理器：作为您在熵海洋中的首要伙伴，它们可以为您生成和存储复杂的密码。
• 定期更新：再不可预测的密码也需要更新。定期使用新的密码可以避免黑客跟踪甚至是摸清规律。

复杂性与熵的平衡

在不断变化的网络应用环境中，为了保护数字资产，我们与其使用脆弱的密码，简单地将门锁上，不如把锁设计成一个复杂的迷宫，让即使有着丰富经验的黑客也望而生畏。作为网络安全实践中的一项基本原则，具备高熵性的密码往往能够通过使用深度密码学的相关算法，保证其不可预测和随机的特性。它就像一艘装备精良、难以捉摸的舰船一样，能够在波涛汹涌的数字世界海域中顺畅航行，躲避网络海盗带来的持续威胁。

译者介绍

陈峻（Julian Chen），51CTO社区编辑，具有十多年的IT项目实施经验，善于对内外部资源与风险实施管控，专注传播网络与信息安全知识与经验。

原文标题：Navigating the Stormy Seas of Cybersecurity: The Power of High-Entropy Passwords，作者：Chris Ray