多年来，网络安全建议一直是老一套：设置更好的密码，保护在线安全。那么，为什么“qwerty”这样的密码仍如此常见？
一位网络安全教授撰文指出，网站和服务应承担起责任，鼓励并落实更好的“网络卫生”习惯。
网站至少应建立机制，过滤掉糟糕的密码——将常见密码列入“黑名单”。
年复一年，“123456”“qwerty”甚至“password”这样的密码都被发现是最受欢迎的选择，而2021年也不例外。
这些报告通常都会给用户同样的建议：设置更好的密码，保护在线安全。这或许确实没错，但我们也该意识到，多年来不断宣扬这一信息，几乎没有产生任何效果。
我认为，要改善现状，我们需要停止责怪人们，转而让网站和服务承担起责任，鼓励并落实更好的“网络卫生”习惯。
当然，把矛头指向用户很容易——毕竟，做出糟糕密码选择的最终是他们。但与此同时，人们普遍都知道人们经常会做出这样的选择。因此可以合理推断，如果没有指导或限制来防止使用弱密码，他们很可能会继续保持同样的习惯。
尽管如此，一代又一代的用户既没人告诉他们什么样的密码才算好，也没人阻止他们图省事、随便选择。很容易就能找到一些网站，它们会毫无异议地接受最糟糕的密码。也不难找到一些网站，要求用户创建密码，却不给任何指导。还有些网站会提示用户所选密码较弱，却仍允许使用。
服务提供方如何做得更好
如果你负责运营一个会接受“123456”“qwerty”或“password”这类密码的网站或服务，那么是时候重新审视你的系统了。如果你放任用户做出糟糕的选择，他们就会认为这些选择可以接受，并继续这种不良做法。
相反，通过实施更严格的规则，你可以从问题根源着手解决。网站应建立机制，过滤掉糟糕的密码——将常见密码列入“黑名单”。
世界经济论坛在网络安全领域开展了哪些工作
网络安全中心提供一个值得信赖的平台，让各方领导者齐聚一堂，理解不断演变的网络风险及其系统性影响。该中心致力于在日益互联的数字世界中增进理解与信任。
通过推动跨行业协作和洞见共享，该中心帮助合作伙伴增强网络韧性，并应对需要集体行动的挑战。
在创建密码时为用户提供指导可能有所帮助，但网站应停止强制要求权威机构（例如英国国家网络安全中心和美国国家标准与技术研究院如今认为不应强制执行的要求。例如，这些机构不建议强制要求密码具备复杂性（如包含大小写字母、数字和标点符号）。
这两个机构都指出，增加密码长度比提高复杂性更重要。这是因为较长的密码更能抵御暴力破解（攻击者尝试字母、数字和符号的所有组合，以找到匹配项），而复杂度较低的密码也更容易记住。
然而，许多网站仍要求密码具备复杂性，并限制密码长度上限，因此常常会拦截一些完全合理的密码，而这些密码本可以由我们的浏览器和其他工具自动生成。
你可能会想，为什么这很重要。如果人们想选择弱密码，让自己面临风险，那为什么这要成为服务提供方的问题？一种说法是，如果某项服务有责任保护用户的个人数据（服务提供方依据《通用数据保护条例》（GDPR）承担这项责任），那么允许用户因选择弱密码而使自己暴露于风险之中，就很不合理。
还应注意，在某些情况下，一名用户的弱密码可能会让攻击者得以进入系统，进而利用其他漏洞并扩大其访问权限。因此，服务提供方有理由尽量减少这类机会，同时保护其他人的数据。
密码不会消失
如今，我们看到人们开始转向无密码身份验证，但这一名称本身就凸显了密码验证方式的主导地位。早在15年多以前，人们就预言密码将会消亡，但它们至今仍然存在。可以肯定的是，密码还会在相当长一段时间内继续伴随我们。
因此，我们有一个选择：共同承担责任，把基本工作做好——这需要用户和服务提供方共同采取行动；或者继续集体袖手旁观，抱怨用户的行为。
对于提供和运营基于密码的系统、网站及服务的人来说，行动方向应该很明确：检查你的网站允许使用哪些密码，看看是否应该改进。如果它允许弱密码通过，就应当加以改变，或者至少采取措施劝阻用户选择这类密码。
如果你是以用户身份阅读本文，并想了解创建更好密码的建议，英国国家网络安全中心提供了一些实用建议。例如，将三个随机单词组合起来，设置更长但更容易记住的密码；并在浏览器中安全保存密码，以进一步减轻在多个网站记忆密码的负担。因此，即使服务提供方做得不够，你仍可以采取一些措施保护自己。
