一個人必須記住多少密碼呢？你是否曾經想不起來某個帳號的密碼？成串帳戶的密碼，好像流行性感冒讓人頭痛，沒有人夠免疫，而且沒有治療方法。(林佳萱)

但在數位資訊的年代，密碼卻非常必要。現在大家會在網路上刷卡付帳、寄送資料、分享照片，每個人都有使用者帳戶，每個人都必須輸入密碼以「驗明正身、確定本尊」。設定密碼要好記又得難猜，這就產生所謂的密碼困擾。

《CNET》網站報導，英國電信（BT）收購後BT Counterpane的安全技術主管、全美密碼學與資訊安全權威教父Bruce Schneier也表示，「這真是個難解的問題」。他在自己的部落格上提到，「密碼存在本身的困擾比資訊保密還麻煩」。

雖然早在2002年就有人關注這個問題，眾人都覺得密碼使用不便，但目前想尋求新的方案替代密碼進行網路身分認證卻有困難，預計10年內，我們仍得跟密碼衍生的困擾共存。

資訊安全公司Veracode的技術主管 Chris Wysopal表示，「密碼的優點是使用容易。從這個角度來看，目前沒有什麼方案可以超越密碼。不過，也因為10年來伺服器儲存密碼的演算方法從來沒有改變過，所以密碼駭客也持續使用同樣的方式破解演算法。」

Cryptography Research 總裁 Paul Kocher也表示，「對伺服器端來說，目前沒有其他技術能超越密碼的簡易性。不過，雖然密碼很方便，我們的人腦卻無法好好記住安全的冗長密碼。」

以前的人可能沒這種困擾，但隨著百萬千萬人開始使用網路，儲存及傳送越來越多個人隱私資訊，大家都得記得越來越多帳戶密碼。密碼帶來的困擾成倍增加，而且大部分人記不了那麼多密碼，重複使用幾組密碼的結果，就造成隱私資料具有外曝的風險。

根據 Mircosoft去年的研究報告顯示，平均每個電腦使用者擁有 6.5組密碼，而且同 1組密碼應用在 4個不同的網站或帳戶上，也就是說每個使用者大概有25個需要密碼的帳戶。這份報告甚至說，每個人每天平均要輸入 8組密碼。

這代表我們每個人都要記長長一大串網站、網站帳戶、帳戶密碼。許多人把這些資訊記錄在筆記本上，然後把筆記本跟電腦一起放，也有些人寫在黏貼的便條紙上然後貼在螢幕旁邊。在家裡這麼做已經不見得安全（可能有不速之客盯上這些密碼然後入侵你的銀行帳戶），在公司更是非常危險。

PasswordResearch.com創辦人 Bruce K. Marshall是一名網路安全顧問，他在自己的部落格上表示，可以把一組新密碼寫在紙條上然後收在皮夾裡，但是不應該把網站之類可辨識的資料都一併附上。而且當新密碼記住以後，這張紙條在幾個星期內就要銷毀。

許多資訊安全專家認為，帳戶有不同的安全等級。某些網站的帳戶需要安全強度較高的密碼，例如Amazon.com、PayPal。而有些網站則比較沒有關係（例如《紐約時報》帳戶、同好會部落格或論壇），如果不需要流通個人隱私資訊，那就可以用一組容易記憶的密碼，在這些網站帳戶重複使用。針對那些需要安全保護的帳戶，則使用獨特、強度強的密碼。

資訊安全技術主管 Chris Wysopal表示，「我常用的方式就是針對網站的性質增加或改變我的密碼。最簡單的方法，是在一組已經夠安全、使用在每個帳戶的密碼上再多加幾個字。」

跟單字的密碼比較起來，片語的密碼、或多字組合的密碼（例如”I hate to golf”）會讓密碼駭客比較難攻破，因為密碼較長。不過也因為字元數很多，無法使用在大部分限制密碼字數的網站上。

根據 Chris Wysopal的看法，一個安全強度足夠的密碼至少要15個字元，而30個到40個字元數的長度最為適當。可以混合使用大寫和小寫、使用數字以及符號，這樣可以增加密碼的強度。（例如”I hate to golf”可以變成”1H82G@lf”）

另外，使用能在字典裡找得到的字，就算用其他語言，都會增加密碼駭客猜出密碼的機率。使用寵物的名字、縮寫、其他個人訊息也很不保險，只要手握某些基本資料，就連陌生人也可以破解密碼。

科技顧問諮詢服務公司主管 Chris LoVerme在他的部落格上建議，可以把數學加入密碼中，例如”Ten*10=1000” ，因為這在字典裡面找不到，也很難被暴力攻擊法（Brute Force Attack；測試所有可能的密碼順序和組合）破解。

另外，也有一些基本但好用的方法可以保證使用者的密碼安全無虞：Microsoft（MSFT-US）建議，千萬不要把密碼透過e-mail傳送，也不要在網咖或機場公用電腦上輸入密碼，因為這種地方最容易暗藏間諜軟體（keystroke logger）─專門按鍵側錄偷取使用者的密碼。

（可以測試密碼安全強度的網址：http://www.microsoft.com/protect/yourself/password/checker.mspx）

選用安全的密碼只是第一步，接下來是使用者必須記住這個密碼。如果只是一般網站使用，可以設定讓電腦的瀏覽器自動記住帳戶及密碼。但非常需要安全保護的資訊則不建議這麼做，最好在每次使用電腦時都親自輸入，如果電腦出問題，這些密碼資料也無法被程式復原。

也可以使用密碼管理軟體，這種軟體可以安全地個別儲存使用者帳戶和密碼。例如免費開放軟體Password Safe，由Windows utility Schneier撰寫，使用加強加密保護密碼的安全，使用者只需要記住一個啟動程式的密碼即可。免費資訊安全軟體Agatra也可以儲存密碼，雖然僅供線上使用，但只要能連接網路，走到哪都不用擔心。

LogOnce Toolbar 是微軟 Internet Explorer的免費密碼管理外掛程式，這個軟體將使用者的密碼資訊儲存在地區或遠端伺服器，就算更換不同的電腦，仍然可以安全記憶並使用帳戶密碼。線上使用的密碼儲存管理服務軟體Passpack，最近也推出離線使用版本Passpack desktop，消費者版本是免費的。

還有付費密碼軟體可以選擇：Roboform售價30美元，在使用者首次輸入帳戶和密碼就會記錄，日後則自動提供帳戶密碼資訊。

早期有些人對圖像認證系統（graphical authentication system）的開發相當樂觀─這種方法不需輸入密碼，而是讓使用者點選圖片；不過很顯然這種方式並沒有在全世界啟用。部分原因是圖像認證不夠保險，操作螢幕顯示之際很容易被旁人肩窺（shoulder-surfing）。

不過 Microsoft還沒放棄研發圖像密碼。該公司在 Newcastle大學的圖像認證研究上投資甚多，根據去年成果顯示，圖像認證可能比一般輸入文字密碼的方式安全1000倍，而且也比較容易記憶。在測試中，使用者要畫一張圖，同時程式軟體則核對主人的筆觸和筆劃次數是否一致。

Microsoft 還在研究別的技術：墨跡認證（Inkblot Authentication)，這個可以幫助使用者選擇、記憶與區辨安全密碼。

Bank of America和Yahoo原本都只使用密碼認證，現在也增加使用圖像系統，向使用者證實登入網頁確實是Bank of America或Yahoo網路頁面，以保護客戶資訊免遭網路釣魚（Phishing；偽造一模一樣的假登錄網頁引誘使用者登入，盜取個人資料）攻擊。

Yahoo 的「個人帳號安全圖章」讓使用者可由圖章設定辨識網頁真偽，Bank of America的SiteKey系統也用類似的方法讓客戶判斷登錄頁面。不過儘管如此，研究發現SiteKey系統非常容易遭受「中間人攻擊」（Man-in-the-middle Attack；攻擊者扮演中間人角色，讓兩端通訊經由他傳遞，並在通訊兩端不知情的情況下閱讀、插入、更改傳遞訊息）。

密碼仍然是現在最常見的認證方式，密碼的原理是告訴系統，「輸入者」知道某些「被認證授權者」才知道的秘密，因此證明輸入密碼的人就是被認證授權的使用者。但是，最好不要使用太單純的文字當做密碼（例如寵物的名字、媽媽娘家的姓氏等等）。

現在也有雙因素認證系統（two-factor authentication)：結合密碼和第二項認證載具（像一張小卡片或隨機產生的一次性使用密碼）。甚至有三條件的認證系統：再加上一項生物測定，例如指紋辨識、聲紋、虹膜掃描、鍵盤敲擊習慣辨識等，這些資訊都更能「證明本尊」。

雖然目前已經有些筆記型電腦具備指紋辨識設備，但專家表示，未來短期內生物測定仍無法成為主流，因為安裝費用高昂，也缺乏使用者的申請需求。

然而，現在憑證載具（token)開始逐漸受到商業界重視，主因是越來越多使用客戶被盜用帳號，企業不得不開始想辦法解決。舉例來說，因為許多玩家抱怨自己的帳號被劫持或侵入，線上遊戲魔獸世界（World of Warcraft)的製造商最近開始提供 6.5美元的電子憑證載具設備，給玩家多一層保護。

較便宜但功能類似憑證載具的東西是「賓果卡片」（bingo card），這是可裝入皮夾大小的卡片，上面充滿許多儲存隨機產生數字與文字組合的格子，在登入系統時，使用者會被要求提供卡片上的資訊。

另外一種認證方式則是所在地認證。目前也有某些情況（例如網路銀行）使用這種認證方法，原理是根據使用者的數據機資訊核對使用者上網的所在地，不過，也因此使用者無法在他處上網登入。

替公司戶及政府單位處理身分資訊的資訊安全專家David Miller表示，「科技電信業 Cisco和Nortel都已經開始採用所在地認證作為其中一種認證條件。」他也透露，未來美國有線電視及 ISP業者 Comcast也考慮採用所在地認證，「這樣某個帳號就只能在某個認證的房屋地點使用，想盜用帳號？那得盜進別人家裡去」。

也有很好用的軟體讓使用者能集中管理網路上不同身分、帳戶以及密碼資訊，例如Symantec的Norton Identity Client。而 Windows Live ID服務則讓使用者登入 Microsoft家族的一系列網頁時，只用一個帳號就通行無阻。

公司戶也可以考慮Symark International的 PowerKeeper appliance系統，這個系統可以針對「特殊業務」及「日常事務」提供員工一次性密碼，員工不僅不需要記憶密碼，公司也可以加強資訊安全，避免員工提供密碼及內部機密給外人。

Matt Shannahan在AdmitOne資訊安全公司工作，他的公司專門提供鍵盤敲擊習慣辨識的生物測定認證產品。Matt Shannahan表示，有些非常重要的隱私資訊認證系統甚至可以打電話通知或寄送確認訊息給本人，另外有的系統則能檢查登入帳戶的使用者電腦是否遭到侵入，是否有資訊安全問題。

PasswordResearch.com創辦人 Bruce K. Marshall表示，經過這麼多年，科技又進步了這麼多，密碼問題還能持續困擾著大家非常不可思議。「以前我以為，在有生之年我會見證密碼走入歷史，因為科技會開發出更多更安全的替代方案。但是現在看來，密碼的地位還是很重要，大部分系統第一、第二道認證仍然是密碼。」

「人們對密碼再熟悉不過了。」他說。

2