2012年，字典一个叫“RockYou”的破解社交游戏公司数据库被拖走，3200万用户的和暴明文密码像超市货架上的罐头一样整齐排列。安全人员一分析，力破后背发凉——排名第一的防盗密码是“123456”，第二是窃措“password”，第三是字典“12345678”。这组数据成了后来所有暴力破解字典的破解“祖传家底”，直到今天，和暴攻击者手里的力破字典里还躺着这些老面孔。
字典攻击的防盗原理很简单：攻击者不跟你玩数学游戏，他们直接拿人类最常犯的窃措懒惰来撞门。你的字典密码如果是“qwerty”或者“iloveyou”，字典里早就给你留好了位置。破解暴力破解更粗暴，和暴把键盘上所有字符排列组合挨个试，理论上只要时间够长，六位纯数字密码最多试一百万次就能撞开——现在的普通显卡每秒能试几十亿次，你算算这需要多久？可能比你泡一碗泡面的时间还短。
但有意思的是，真正让安全团队头疼的不是破解速度，而是人的行为惯性。我见过某大型企业的内部系统，安全策略要求每三个月强制改密，结果员工们发明了“密码链”——把初始密码改成“Password1”，下次改成“Password2”，一路排到“Password99”。更绝的是有人直接把密码写在便利贴上，贴在显示器边框，理由是“怕忘记”。这种环境下，再强的加密算法都像给金库装了指纹锁，却在旁边留了扇没上插销的后门。
防盗窃的核心逻辑其实就两条：让攻击者的字典失效，让暴力破解的时间成本超出其收益。第一条路，加盐（salt）是最实用的手段——系统在密码后面拼一串随机字符再哈希，哪怕两个用户的密码都是“sunshine”，存储值也完全不同。这直接废掉了预计算彩虹表，攻击者想用现成字典撞库？对不起，每个用户的哈希值都得单独算一遍，成本翻了几万倍。第二条路，限速和锁定机制。连续输错五次就锁账号十五分钟，这招土但管用。2015年某云服务商被暴力破解攻陷的案例里，攻击者每秒发起上千次登录请求，而管理员居然没设任何频率限制——这就像把门锁拆了，还在门上贴了张纸条：请随意进入。
不过，技术防护总有死角。去年我帮一个朋友排查账号被盗原因，发现他的密码是“zhang1990”，这明显是“姓名首字母加生日”的典型格式。攻击者的字典里专门有一类“个人信息字典”，会把你社交平台上晒过的宠物名、车牌号、母校缩写统统组合进去。这种攻击根本不需要暴力破解，它用的是社交工程加字典的混合打法。你说你密码够复杂？那架不住你把自己生日、孩子名字、结婚纪念日全公开挂在朋友圈。
所以，最有效的防盗窃措施其实是分层设防。核心账号（比如网银、邮箱）用独立的高强度密码，绝不和普通论坛账号重复。哪怕小网站被拖库导致密码泄露，攻击者拿到的也只是一把打不开核心门的废钥匙。加上两步验证——就算密码被字典撞破，攻击者还得过短信验证码或认证器那一关。我自己的做法是：密码用一句只有自己知道的短语的首字母缩写，比如“我儿子三岁时养过一只叫煤球的猫”变成“wze3sygy1zmqdmm”，再混入特殊符号。这种密码字典里永远不会有，暴力破解需要算到宇宙热寂。
说到底，攻击者永远在找最便宜的突破口。你不需要把安全做得固若金汤，只需要比隔壁用户更难啃。这条规则从RockYou时代到现在都没变过——别当那只最肥的羊，狼群自然会绕着你走。