这么做有几个好处。比如，用户无需再在各设备间同步以确保所有东西都是最新的。公司角度来看，这么做也大大方便了按月计费而不是一锤子买卖。
然而不幸的是，这种方法也让口令管理器提供商成为了全球黑客的众矢之的：只要能破解这一个系统，它托管的所有口令就尽在我手。另外，别忘了，各国政府总有办法强迫这些公司交出这些本应保密的信息，有时候还附带禁言令，拿了你的口令你都不知道。
可用性也是个问题：每次想登录个网站都要打开个App或运行个软件也是件蛮痛苦的事。
相反，记在脑子里倒是可以随时随地毫无障碍地取用，还不用付费，可算作是不上锁还黑不着的数据库了吧。
结论：使用并惯于使用口令管理器吧。除非你要保护的东西真的极端机密。但如果真的是极端机密的东西，那你就不应该只通过用户名/口令的方式访问之。
经常修改口令？
如前文讨论过的，经常修改和根本不改都有各自的理由。
经常修改意味着旧口令毫无用处。至少理论上毫无用处。但实际上，很多研究人员都发现，因为我们是人不是机器，这种方法带来了其他一系列问题。
举个例子，如果不得不经常修改自己的口令，人们就倾向于使用更短更不安全的口令。人们会弱化对口令本身固有安全性的重视程度，因为很快又会换掉了嘛。这明显不合逻辑，但老实说，也并非全无道理，毕竟我们大多数人并不真的觉得自己会被黑。
经常修改口令还会吞掉大量的资源：各种系统需要频繁更新，人们老是被催着去该口令。而且，“新”口令没那么容易记住，也就导致不断的重置和不停麻烦技术部那些本就不堪重负的技术支持人员。
改还是不改？多久改一次？那就是个平衡问题：定期修改口令的好处超出了其不利因素吗？大多数情况下，并不。
在有充分理由怀疑已经被黑客盯上的情况下，修改口令是有意义的。但那时处于这种情况下的人们应该已经强烈注意到了运营安全的需求，其中就包括使用会定期修改的复杂长口令。每隔几个月就从IT部门调几个人过来告诉他们那些本就已经在做的事毫无必要，也很烦人。
于是，我们真正讨论的是那些身处高位却对安全毫无概念的人：基本上，就是那些首席级高管和政客了。对他们而言，让手下人去做就对了。
最常见的强制修改口令的情况最容易发生在被黑过的公司身上，比如推特，被黑后让每个用户都改了口令。但在企业层面上，还是别费力不讨好了，强制定期更换口令不适合作为一项策略规定。
结论：虽然很有吸引力，但别强制定期更改口令。
双因子身份验证？
双因子身份验证最棒的一点，是多了层额外的安全保护——以正确用户名/口令登录后还短信一条临时验证码之类的。
也就是说，除了掌握你的用户名/口令，还必须持有(或能访问)你的手机，才可以登录你的账户。这大概是当前正常预算范围内普通用户能获得的合理安全和抵御远程访问最有效的方式了。
双因子方法没有物理安全或生物特征扫描器那么好，但也足够好了。基本可以确信试图访问某系统的人就是其所声称的那个人。
当然，无论是对系统管理员还是对用户而言，双因子身份验证也有可能带来痛苦的体验。每次访问系统都会带来额外的费用和繁琐手续，还有时间延迟。但如果是个重要系统，不用权衡，直接上双因子吧。
自己的银行账户需不需要双因子身份验证？当然需要！那可都是血汗钱。那么，Facebook或者亚马逊账户呢？嗯，可能需要吧。于是，在线安全的另一大问题浮现——超越口令和用户本身。
结论：重要登录(社交媒体、电子商务、银行业务)上用双因子身份验证。自己运营的每个重要系统上都提供双因子身份验证选项。就这么做吧，虽然会麻烦一点，但黑客也同样觉得双因子身份验证很麻烦啊。
更健壮的系统
虽然每个人都会担心用户及其口令问题，随时在变还会相互冲突的各种建议就是这种担心的明证，但事实上，口令问题没有所谓的正确答案。
任何仅依赖用户名/口令访问的系统基本上都是在“欢迎入侵”。真正的安全工作，真正应该重视的地方，是口令现象背后的东西。
暴力破解只适用于容忍数千次登录尝试的系统。虽然X次错误尝试之后锁定账户会让用户沮丧乃至暴躁，但这确实是遏制暴力破解攻击的超有效方法。
同样的，引入双因子身份验证系统或许有点麻烦，但它也能大幅增强安全。设置入侵检测系统并安排专人管理，是比试图改变每个用户的行为更有效的资源和时间利用方式。NIST其实在这方面有挺多好建议。
引入具体的口令策略是把双刃剑。强制用户使用超过8位的口令，还至少要包含1个大写字母、1个数字，有助于改善安全状况。
但这种做法完全无视了用户再三设置口令都不被通过的挫败感。更别说还有些让人抓狂的小决定：可以用“#”不能用“%”，可以用冒号不能用分号等等。
准备好应付大量口令重置请求和令人生无可恋的技术支持要求电话吧，同时千万记住别犯蠢用明文发送口令。
理想世界中会有一套标准供不同系统沟通可接受的口令类型，口令管理器能自动配置新口令，而整个过程只需用户点击一下按钮即可完成。
当然，这就是Facebook和谷歌的做法，他们利用自身庞大的既有用户群让公司企业可以更容易地让用户安全登录公司系统，虽然同时也雁过拔毛地刮取信息转手变卖……
“用Facebook登录”按钮的吸引力是巨大的，但真的用Facebook登录的IT专业人士最好去面壁忏悔一下。
然后，还有个更残酷的真相：如果每个人都用同一个系统，那大家就都不安全了。安全出自多样性。
总结
综上，更有水平的口令使用指南如下：
使用口令管理器和长口令。
尽量启用双因子身份验证，别抱怨那额外的一步。
脑子里常备2套口令：用在不甚重要但不创建账户就登录不了的网站上的一两个随时可以抛弃的简单口令;还有就是可以记住且永远不会告诉别人的一两个重要的长口令(四五个对你自身有意义的随机单词就挺好)。后者用于银行账户和类似的重要系统。如果用户不幸遭遇灾祸提前到阎王面前报到，想要访问这些账户的人就必须发函并亲自前来验明与用户的合法关系才行。
使用2个浏览器：一个用来登录Facebook、谷歌之类的，另一个用来访问其他的。别让这些疯狂吞噬数据的大家伙侵入你的日常在线生活。
最后，别浪费时间试图教导别人应该怎样管理口令。这么做对你没有任何好处，你不是在浪费时间做无用功，就是把你自己放到了别人IT支持员工的位置上——相信我，IT支持不是什么愉快的经历。
有疑问？想想斯诺登会怎么做就好了啊！
口令日快乐！
(责任编辑：安博涛)
