密碼是數位身份第一道防線，駭客破解手法隨技術演進不斷升級。本文系統梳理十大經典破解手法、實戰工具、成功率分析，並給出個人/企業級對應防禦策略，助你建立纵深密碼防護體系。
| 手法 | 原理 | 典型工具 | 成功條件 | 防禦對策 |
|---|---|---|---|---|
| 1. 暴力破解 / 窮舉 | 嘗試所有字元組合直到匹配 | Hashcat, John the Ripper, Hydra, Medusa | 密碼短、字元集小、無嘗試限制、離線雜湊 | 長度≥12、全字元集、帳號鎖定/延遲、MFA |
| 2. 字典/彩虹表攻擊 | 預計算常見密碼雜湊表快速比對 | RainbowCrack, Ophcrack, Hashcat (-a 0) | 密碼為常見單詞/組合、使用未加鹽/弱雜湊演算法 (MD5/SHA1/NTLM) | 強制複雜度、Argon2/bcrypt/scrypt + 高迭代 + 唯一鹽值 |
| 3. 鍵盤記錄 | 惡意軟體/硬體記錄按鍵序列 | 鍵盤記錄器木馬、硬體 Keylogger (USB/PS2 中間器) | 受害者執行惡意程式/物理接觸鍵盤線路 | EDR/殺毒、虛擬鍵盤輸入敏感密碼、硬體防竊、MFA |
| 4. 螢幕/剪貼板監控 | 截圖/記錄虛擬鍵盤點擊/監控剪貼板 | 遠控木馬 (RAT)、銀行木馬模組 | 使用虛擬鍵盤/複製貼上密碼 | 安全桌面/虛擬化隔離輸入、禁止非信任程式截圖/讀取剪貼板 |
| 5. 網路釣魚 | 偽造登入頁/郵件/簡訊誘騙輸入帳密 | SET, Gophish, King Phisher, 自製釣魚套件 | 用戶安全意識薄弱、域名相似度高、無 MFA/硬體金鑰 | 硬體安全金鑰 (FIDO2/WebAuthn)、DMARC/SPF/DKIM、防釣魚訓練、密碼管理器拒絕填充非匹配域名 |
| 6. 網路嗅探 | 明文/弱加密協定傳輸過程中攔截帳密 | Wireshark, tcpdump, Ettercap, Cain & Abel, dsniff | HTTP/FTP/Telnet/POP3/SMTP/IMAP 無 TLS、ARP 欺騙/交換機鏡像埠 | 全站 HTTPS (HSTS)、強制 TLS 1.2+、SSH 金鑰認證、VLAN 隔離、加密 VPN |
| 7. 密碼顯示/儲存提取 | 瀏覽器/系統/應用儲存的明文/可逆加密密碼 | LaZagne, WebBrowserPassView, mimikatz (DPAPI), gpp-decrypt | 啟用「記住密碼」、瀏覽器同步、GPP 推送密碼 | 禁用瀏覽器儲存密碼、使用獨立密碼管理器 (Bitwarden/1Password/KeePass)、DPAPI 保護、GPP 廢棄 |
| 8. 遠程桌面/控制劫持 | RDP/VNC/TeamViewer/AnyDesk 弱密碼/漏洞/憑證竊取 | RDP 暴力破解、CVE-2019-0708 (BlueKeep)、憑證竊取 | 暴露公網 RDP、弱密碼、未啟用 NLA/MFA | 禁用公網 RDP/僅 VPN 存取、強制 NLA+MFA、限制登入 IP、Just-In-Time VM 存取 |
| 9. 惡性習慣/密碼重用 | 多系統同密碼、個人資訊作密碼、紙本記錄、分享給同事 | 撞庫攻擊、社工推理、物理竊取 | 用戶習慣差、無密碼策略約束 | 密碼管理器生成/儲存唯一強密碼、企業密碼策略 (長度/歷史/輪換/禁用常見)、定期洩露檢測 (Have I Been Pwned API) |
| 10. 密碼心理學/社工推理 | 分析受害者興趣/生日/寵物/鍵盤走勢/社群公開資訊構建字典 | CUPP, Mentalist, 自定義字典生成器 | 密碼含個人資訊、鍵盤走勢規律、社群過度分享 | 純隨機生成密碼、不使用任何個人資訊、社群隱私設定、安全問題答案隨機化 |
| 層級 | 個人用戶 | 企業/組織 |
|---|---|---|
| 認證核心 | 密碼管理器 + 硬體安全金鑰 (YubiKey/Google Titan) + 雙因子 (TOTP/App) | 身分識別提供者 + 無密碼認證 (FIDO2/Windows Hello/智慧卡) + 風險基礎適應性認證 |
| 密碼策略 | 唯一、≥16 字元、全字元集、定期檢測洩露 | NIST 800-63B 準則、禁止常見/洩露密碼、長度≥15、無強制輪換 (除非洩露) |
| 儲存保護 | Bitwarden/1Password/KeePassXC (AES-256/Argon2) + 生物識別解鎖 | 特權存取管理 (PAM)、密碼保險箱、Just-In-Time 憑證、會話記錄審計 |
| 網路傳輸 | 全站 HTTPS、DoH/DoT、VPN、不在公共 WiFi 處理敏感帳務 | mTLS、服務網格、零信任網路、加密 DNS、流量檢測異常登入 |
| 端點防護 | EDR/殺毒、自動更新、虛擬鍵盤/安全桌面輸入敏感密碼 | EPP/EDR/XDR、應用程式控制、記憶體保護、剪貼板/螢幕捕獲阻斷 |
| 監控響應 | 關注 Have I Been Pwned 通知、異地登入警報、定期審核授權應用 | SIEM/SOAR 關聯分析、UEBA 異常行為檢測、自動封鎖/重置洩露憑證、紅隊演練 |
密碼安全無絕對，唯有纵深防禦、假設失陷、持續驗證。立即遷移至密碼管理器 + 硬體金鑰 + 無密碼認證，將破解成本推向天文數字。
