NIST 密码建议（新窗口）的最新更新已经发布，改变了我们处理密码的方式，可用性被置于复杂性之上。

您是否需要关注？是的。NIST 指南不仅体现了人人都应遵循的最佳实践，还会影响安全合规。落后于这些指南可能意味着不符合 HIPAA、GDPR 和 GLBA 等监管框架的要求，从而面临审计失败和高额罚款的风险。本指南将帮助您了解关键变化，以及如何在企业中最佳地落实这些变化。

什么是 NIST 密码指南?

NIST 密码指南是由美国联邦机构国家标准与技术研究院（新窗口）发布的安全标准。这些指南是各行业密码策略的基础，在政府部门等某些行业中，它们是强制性的。

这些指南基于真实世界的研究制定，并非仅仅是对密码安全的假设。正因如此，主要的合规框架往往以 NIST 密码建议为依据，而落实这些建议既能增强您的安全态势，也能提升监管合规性。

2025 年 NIST 密码要求

以下是更新后的 NIST 密码要求的简要概述：

1. 使用更长的密码

NIST 建议密码长度最短为 8 个字符，最长为 64 个字符。更长的密码更难被破解，因为它们往往比短而复杂的密码更加独特，而后者通常遵循可预测的模式。

2. 取消复杂性要求

在上述指南的基础上，特殊字符要求会导致密码过于复杂，遗憾的是，这反而会形成黑客容易猜到的可预测模式。更好的做法是接受所有类型的字符，包括空格，并鼓励员工想出独特且易记的短语作为密码，也称为密码。

3. 不再强制重置密码

只有在有证据表明密码已泄露的情况下，才应强制重置密码。否则，强制员工每隔几个月重置一次密码被认为是不良做法，因为 NIST 发现这实际上会削弱密码的安全性。

4. 维护密码屏蔽列表

NIST 建议企业维护一份密码屏蔽列表，以防止使用诸如“1234”这类容易被利用的密码，或包含员工或企业名称变体的密码。此外，NIST 还建议使用密码检查服务，确保员工不使用已在数据泄露事件中暴露的已泄露密码。

5. 摒弃安全问题与提示

基于知识的恢复提示和问题，例如“您的第一只宠物叫什么？”，是一种过时的做法。这些答案很容易通过社交媒体获取。更好的做法是依赖安全的恢复方式，例如在重置时使用恢复链接和验证码.

6. 使用现代安全工具

限制登录失败尝试的次数、要求使用多重身份验证(MFA)，以及使用企业密码管理器等工具，都能提供针对现代网络威胁的关键保护，并帮助检测密码泄露。

NIST 密码要求发生了哪些变化？

旧版 NIST 密码指南新版 NIST 密码指南
密码长度限制为 8-16 个字符支持更长的密码，最多 64 个字符
字符复杂性鼓励使用不作要求
强制更改密码每月必须更改仅在已泄露时
密码屏蔽列表基本词条已泄露的密码、模式及常见变体
恢复方式安全问题链接和验证码
其他防护措施–MFA 和密码管理器

如何落实 NIST 密码建议

落实更新后的 NIST 密码建议对于保持与监管框架的合规至关重要。即使您不受这些框架约束，这些指南也能改善您的安全态势并保护您的企业。以下是具体的落实方法。

  • 开展审计：对照新的 NIST 指南审查现有策略，找出需要更新的过时要求。
  • 更新您的系统：根据新指南重新配置身份验证系统，例如允许更长的密码并取消过期时限。
  • 构建您的屏蔽列表：对照数据泄露数据库进行筛查，以构建您的屏蔽列表。此外，还应在屏蔽列表中加入员工或公司特有的词语及其变体，以及常见的模式。
  • 强化安全层级：实施限制登录尝试次数、延迟再次尝试等措施，并使用 MFA 提供额外保护。
  • 使用密码管理工具：为员工配备密码管理器等工具，以自动完成密码的创建和存储。这些工具可杜绝密码重复使用，并确保良好的密码实践。
  • 沟通变更：向员工说明这些变更，并在必要时就密码管理工具的使用开展培训。

使用 Proton Pass 确保 NIST 密码指南合规

Proton Pass 是一款企业密码管理器，可简化 NIST 密码指南的合规流程。它以隐私为核心构建，并受端到端加密的全面保护，让您能更安心地轻松管理所有密码需求。

Proton Pass 的许多功能都符合 NIST 密码建议——您可以生成又长又独特的密码、自动登录，并实施 2FA 等安全策略。Proton Pass 还为您的团队提供一款让遵循这些指南变得轻而易举的工具。它还完全符合 GDPR、 HIPAA 和其他数据保护标准，让您的合规流程更加简单。

常见问题

我可以在哪里阅读完整的 NIST 密码指南？

您可以在 NIST 网站上找到完整的 NIST 密码指南（新窗口）。

NIST 密码要求对所有企业都是强制性的吗？

NIST 密码要求对联邦机构是强制性的。对于其他企业而言，这些指南虽非强制性，但可能会通过 HIPAA 等合规框架而变得必不可少。审计人员和承包商也可能要求符合 NIST 标准。

根据 NIST 密码建议，密码应该多长？

NIST 建议密码长度至少为八个字符，最多为 64 个字符。相较于复杂性，NIST 更鼓励使用较长的密码或密码，因为它们往往更加独特，也更难被破解。

如何创建强密码？

创建强密码的关键在于避免可预测的模式、可识别的信息以及重复使用的密码。请使用又长又独特的密码，将随机词语组合成长短语，例如“lava-milk-nose-noise”，或使用对您有意义的短语和句子。密码管理器也可以自动生成强密码。

仍然不确定如何最好地创建一个又长又强的密码，也不想注册密码管理器？可以使用我们的密码生成器工具。

密码管理器如何契合 NIST 密码指南？

像 Proton Pass 这样的密码管理器可通过生成又长又独特的密码并杜绝重复使用密码，帮助企业符合 NIST 密码指南。事实上，NIST 指南明确指出密码管理器是创建强密码的有效工具，并建议使用它们。

Proton Pass 更进一步保障合规。除了为员工生成又长又独特的密码之外，它还能自动登录并实施 2FA 等安全策略，且经过端到端加密，这意味着任何人都无法未经授权访问您的密码。