为了保证网络上信息的安全，密码的密钥是重中之重。在过去，许多网站和在线服务要求用户在短信事件发生后立即更改密码，甚至设置极其复杂的密码规则，只是为了避免进一步的损害。

但是，设置极其复杂的密码，并要求用户频繁、定期地更改密码，真的有助于保护个人账户的安全吗？我们可能得换个角度考虑这个问题。

数据库被入侵了。更改密码也无济于事

事实上，大多数涉及个人数据外流的大规模信息安全事件，并不是由个人或单个用户造成的，而是由网站数据库或服务提供商自身造成的。由于权限管理不当，或者软、硬件部分的薄弱，都有被黑客利用的机会。

换句话说，即使你已经尽了一切努力来保护你的数据，你也无法阻止存储数据的服务器被黑客攻击，所以即使是最复杂的密码也无法阻止黑客进入源头。此外，许多公司要求立即更改密码的做法大多没有意义。毕竟，当机密数据已经从服务器泄露时，想要更改密码以防止下一次泄漏的用户不会改变数据已经暴露的事实。

与此同时，黑客很有可能在被攻破的设备中植入后门，等待下一次攻击机会，再次提取数据。如果服务器提供商不能将这些后门“归零”并填补漏洞，如果用户此时更改了新密码，则相当于直接帮助黑客打出了新密钥。

更改密码的目的是“控制损失”。

那么，更改密码有什么意义呢？从数据安全的角度来看，入侵后立即更改密码的行为主要是为了避免灾难影响其他业务，特别是对于那些更喜欢选择同一组密码的用户，平滑多个在线业务用户，及时控制损害管理。

因此，用户在对账号密码有更好的管理习惯时，应该有意识地让不同的服务，每个人都有不同的密码，而不是仅仅依靠一组或两组密码去周游世界，网络运营商提供的服务也采取不信任的态度，预设自己的数据库，总有一天会出现信息安全事件。

然而，由于网络上有成千上万的服务，人类的大脑必须记住不同的密码，并适应每种服务严格而复杂的密码规则，这将是非常费力的。所以像LastPass和1Password这样的密码管理器有一个好地方。如果配合混合密码生成器使用，不仅可以减少思考者的麻烦，还可以提高账号的安全性，避免扩充数据带来的安全损害。

没有密码是最好的密码

b谷歌、Facebook和微软等更主流的在线服务提供商已经意识到，最好的密码是“没有密码”，它们选择在用户登录账户时，向用户附带的手机、平板电脑或其他设备发送一条信息，再一次经历登录过程。甚至直接改为绑定扫描二维码等方式登录，彻底摒弃账号和密码的概念。

现在数据安全的最基本要求是，用户必须尽可能启用两步身份验证(2FA，或双因素身份验证)，假设他们正在使用的服务尚未提供类似的功能。无论是通过接收手机短信、拨打识别电话，还是输入认证器App生成的OTP密码，都可以通过这种方式大大提高账户的安全性，提供比极其复杂的密码和频繁的密码更改更有用的保护措施。