测试密码安全性的网站

去年冬天，测试我在一个技术论坛上看到有人贴出自己密码被破解的密码时间：3小时42分钟。密码是安全“Sunshine2023!”，十二位，网站大小写加数字加符号，测试按很多网站的密码标准算“强密码”了。但破解它的安全机器不过是一张消费级显卡，跑的网站是公开的字典规则。这人把截图发出来时配了句话：“我以为够复杂了。测试”

测试密码安全性的密码网站，干的安全就是这件事——在你把密码交给真正的攻击者之前，先告诉你它有多脆弱。网站这类网站大致分两种。测试一种是密码在你输入密码的瞬间，用本地浏览器里的安全JavaScript脚本跑一套估算逻辑，密码根本不会离开你的电脑。另一种则会把密码的哈希值发到服务器，跟已经泄露的密码库做比对。前者安全，后者你得信它。我通常只碰第一种。

比较有名的几个：passwordmonster.com、howsecureismypassword.net、还有bitwarden自带的免费检测工具。界面都差不多，一个输入框，你打字，下面实时跳出“破解需要多久”。有的还会给进度条，从红到绿。但不同网站给出的时间能差出好几个数量级。原因在于它们对“攻击者能力”的假设不同。有的按单台家用电脑算，有的按专业GPU集群算，还有的考虑到了未来量子计算机的威胁——虽然目前那更多是理论上的。

我拿几个自己的旧密码试过。一个八位纯数字的生日组合，某网站显示“瞬间”。另一个是英文单词加两个数字，显示“三周”。换成随机生成的十六位字符串，直接跳到“数十亿年”。但这里有个陷阱：随机字符串如果用的是常见模式，比如“qwerty”打头，或者键盘上相邻的按键，破解时间会断崖式下跌。那些网站通常不告诉你这个，它们只算字符集大小和长度。

真正让我在意的是，这些工具很少解释“为什么”。你看到“3小时”和“300年”的区别，但不知道背后是字典攻击、暴力枚举还是彩虹表。有些网站会列一个“常见密码”榜单，你输入“123456”或者“password”，它直接标红说“已在泄露库中出现”。这比单纯的时间估算有用得多。因为攻击者不会真的从零开始暴力破解你的密码，他们先试泄露过的密码，再试字典变形，最后才轮到穷举。

我自己的习惯是：任何重要账户的密码，先扔进本地检测工具看一眼。如果它说“少于一天”，立刻改。如果它说“几百年”，我还会问自己一句：这个密码是不是从某个规律推出来的？比如我喜欢的乐队名加年份加感叹号？如果是，那它可能已经在某个我没听说过的泄露库里了。工具给不了这个判断，只有我自己知道。

另外，别在这些网站上输入你正在用的密码。哪怕它声称“本地计算”，你也无法验证。用个变体，或者干脆用一个你永远不会真正使用的密码去测试规则。我见过有人把网银密码输进去，就为了看那个进度条变绿。那跟把钥匙插在门上然后走开没什么区别。

这些网站终究只是参考。它们能告诉你密码在数学上有多难猜，但猜你密码的人可能根本不靠数学——他们靠的是你留在其他网站上的个人信息、你发过的朋友圈、你习惯用的昵称。密码安全性测试工具解决的是其中一个变量，不是全部。真正安全的做法是：用密码管理器生成随机字符串，每个账户不一样，再开两步验证。那些测试网站，偶尔拿来玩玩可以，别当成护身符。