2、密码强度基础：密码长度、复杂度、字符集要求的基本原理

2.1 核心概念与数学原理

密码强度本质上取决于密钥空间的大小，即所有可能密码组合的总数。密钥空间越大，暴力破解所需的时间就越长。密钥空间的计算公式为：

密钥空间 = (字符集大小) ^ (密码长度)

其中：

• 字符集大小：密码中允许使用的不同字符的总数（如小写字母=26，大小写字母=52，加上数字=62，再加特殊字符≈95）。
• 密码长度：密码中包含的字符个数。

从公式可以看出，增加密码长度对密钥空间的提升是指数级的，而增加字符集大小是线性提升。因此，在密码策略中，长度往往比复杂度更重要。

2.2 密码长度：最有效的防御手段

密码长度是决定强度的首要因素。每增加一个字符，密钥空间就会乘以字符集的大小。以下表格展示了不同长度下密钥空间的变化：

密码长度	仅小写字母 (26)	大小写字母 (52)	字母+数字 (62)	全字符集 (95)
6 位	3.09 亿	197 亿	568 亿	7350 亿
8 位	2088 亿	53.5 万亿	2.18 万亿亿	6.63 万亿亿
10 位	1.41 万亿亿	1.45 亿亿亿	8.39 亿亿亿	5.99 亿亿亿亿
12 位	9.54 亿亿亿	3.93 亿亿亿亿	3.23 亿亿亿亿亿	5.40 亿亿亿亿亿亿
16 位	4.36 亿亿亿亿	2.89 亿亿亿亿亿亿	4.77 亿亿亿亿亿亿亿	4.40 亿亿亿亿亿亿亿亿

关键结论：一个12位长度的全字符集密码，其密钥空间是6位全字符集密码的 73亿倍。这就是为什么现代密码标准（如NIST SP 800-63B）建议最小密码长度为8位，并推荐使用更长的密码。

2.3 字符集复杂度：多维度防御

字符集复杂度要求密码包含来自不同类别的字符，通常包括：

常见的复杂度要求包括：

• 基本要求：至少包含3种字符类型（如小写+大写+数字）
• 中等要求：至少包含3种字符类型，且长度≥10位
• 高安全要求：包含全部4种字符类型，且长度≥12位

重要提示：过度的复杂度要求（如强制要求包含特殊字符且不能重复使用）可能导致用户写出类似 P@ssw0rd! 这样的可预测密码，反而降低安全性。现代密码策略更倾向于长密码 + 适度复杂度的组合。

2.4 信息熵：衡量密码强度的科学指标

信息熵（以比特为单位）是衡量密码不确定性的标准指标。熵值越高，密码越强。计算公式为：

熵值 (bits) = log₂(字符集大小) × 密码长度

例如：

• 一个8位小写字母密码：log₂(26) × 8 ≈ 4.7 × 8 = 37.6 bits
• 一个8位全字符集密码：log₂(95) × 8 ≈ 6.57 × 8 = 52.6 bits
• 一个12位全字符集密码：log₂(95) × 12 ≈ 6.57 × 12 = 78.8 bits

行业参考标准：

安全等级	最低熵值	典型密码示例	适用场景
基础	≥ 30 bits	8位小写+数字	低风险内部系统
标准	≥ 50 bits	10位大小写+数字	企业办公系统
高安全	≥ 70 bits	12位全字符集	金融、政务系统
极高安全	≥ 100 bits	16位全字符集	密钥、根证书

2.5 合规审计要点

在进行密码策略合规审计时，需要重点关注以下方面：

1. 最小长度要求：检查系统是否设置了最低密码长度（建议≥8位，高安全系统≥12位）
2. 字符集多样性：验证是否要求至少3种字符类型，但避免过度复杂的规则
3. 熵值计算验证：使用公式 log₂(字符集大小) × 长度 计算实际熵值，确保达到安全标准
4. 常见密码黑名单：检查是否禁止使用常见弱密码（如 password123、qwerty 等）
5. 密码历史检查：验证系统是否记录密码历史，防止重复使用最近N个密码