第 5 章：账号密码：你到底有多少"数字分身"？
约 3697 字大约 12 分钟
2025-12-22
手机掉水里了。买新的，下载微信，登录——聊天记录全没了。登录淘宝，购物车空了。登录游戏，进度归零。登录邮箱——密码忘了。
这一连串崩溃的根源只有一个：你没搞懂"账号"到底意味着什么。
账号的本质
你在互联网上做的每一件事——发消息、买东西、存文件——都在某个平台上留下了数据。账号就是你跟那个平台之间的契约凭证：你证明你是你，它把属于你的数据还给你。
这个凭证的完整链路是：
你输入账号密码 → 服务器验证 → 通过 → 服务器发一个令牌
→ 你带着令牌访问 → 服务器看到令牌就知道是你为什么需要这么多账号
不同平台的数据是隔离的。微信不知道你在淘宝买了什么，淘宝不知道你在 B 站看了什么——这是设计，不是缺陷。每个账号都是一份独立的契约。
| 服务类型 | 记录什么 | 例子 |
|---|---|---|
| 通讯社交 | 社交关系、聊天记录 | 微信、QQ、微博 |
| 购物支付 | 交易记录、收货地址 | 淘宝、京东、支付宝 |
| 娱乐内容 | 偏好、进度、消费 | B站、Steam、网易云 |
| 工作学习 | 文档、邮件、认证 | 学校邮箱、网盘、Office |
| 设备生态 | 同步设置、云备份 | 苹果 ID、小米账号 |
普通人平均有 70-100 个在线账户，能记住密码的不超过 10 个。
忘记密码：最常用的"功能"
你对账号密码最深的印象往往是你忘了它的那一刻——设置的时候可没这么刻骨铭心。所以先把这个事情讲清楚。
大多数平台的找回密码流程是：
点击"忘记密码" → 选择验证方式
├── 邮箱验证（发链接到绑定邮箱）
├── 手机验证（发验证码到绑定手机）
└── 密保问题（你的小学叫什么？）
验证通过 → 重置密码 → 重新登录每一个环节都有坑。
邮箱验证
最常用也最脆弱。如果你的邮箱密码跟其他网站一样，别人拿到了你的密码，就能用"忘记密码"接管你所有绑定这个邮箱的账号。所以邮箱密码必须独立、足够强、开双重认证。
手机验证
最方便，但换手机号就完了。很多学生毕业后学校邮箱被回收，如果当时绑的是学校邮箱而不是手机号，找回密码就是死循环：去邮箱收验证码？邮箱登不进去了。改绑定手机？需要邮箱验证。
毕业前必做
- 所有重要账号（微信、支付宝、淘宝、Steam、GitHub）绑定手机号和个人邮箱（不是学校邮箱）
- 学校邮箱毕业后大概率被回收，在那之前把绑定改掉
- 如果已经绑了学校邮箱且改不了，至少确保手机号能收验证码
密保问题
"你的小学叫什么？""你母亲的 maiden name 是什么？"——这些问题在社交媒体时代几乎没有安全性：只要翻翻你的朋友圈，答案就出来了。
三大生态怎么选
你的账号体系决定了你的数据在哪个池子里游。
苹果： 设备间无缝切换，隐私保护较好。iCloud 免费空间仅 5GB（建议花 6 元/月买 50GB）。出苹果生态就难用。
谷歌： 15GB 免费空间，跨平台，不绑定设备。但在国内需要特殊手段才能完整使用。谷歌靠广告赚钱——你的数据就是它的原料。
微软： Office 办公绝对优势，企业和学校广泛使用。移动端体验不如苹果和谷歌。
国内生态： 微信、淘宝、百度、小米/华为各有一套。手机号一键登录方便，但数据不互通，换品牌手机时迁移痛苦。
同步检查清单
换设备前务必确认的问题：
苹果用户： 设置 → 你的名字 → iCloud → 确认通讯录、日历、照片等开关打开 安卓用户： 设置 → 账户 → Google/品牌云服务 → 确认同步开关打开 微软用户： Windows 设置 → 账户 → 同步你的设置 → 开启
去网页版验证
很多人开了同步但从来没检查过。登录 iCloud.com / drive.google.com / onedrive.com，看看文件是不是真的同步上去了。等换设备才发现没同步成功就晚了。
密码管理实战
烂密码排行榜
123456 → 瞬间破解
password → 0.29 毫秒
qwerty → 瞬间破解
你的生日 → 认识你的人都能猜撞库攻击：为什么不能所有网站用同一密码
假设你在 A 论坛注册了，用的密码是 abc123。A 论坛被黑客拿下，数据库泄露了——里面就有你的邮箱和 abc123（通常是哈希值，但弱密码一秒就能还原）。
黑客拿这组邮箱+密码去试你的邮箱、淘宝、支付宝、学信网。这就是撞库。你不需要做错什么——只要 A 论坛不安全，你所有使用同一密码的平台都危险了。
这就是问题的根源：你无法控制平台的安全性，但你可以控制不同平台使用不同密码。
密码管理器
密码管理器记住一个主密码，其他所有密码都由它生成和管理。这样每个网站用不同的随机强密码，你只需要记一个。
| 工具 | 费用 | 特点 |
|---|---|---|
| Bitwarden | 免费 / $10/年 | 开源，全平台，推荐 |
| 1Password | $2.99/月 | 界面友好，家庭共享 |
| Chrome 密码管理 | 免费 | 浏览器内置，但只限 Chrome |
| iCloud 钥匙串 | 免费 | 苹果生态内置 |
为什么推荐 Bitwarden
对学生来说 Bitwarden 是最实际的选择：免费版功能完整，开源（代码公开可审计），全平台覆盖——你在 Windows 手机、学校机房 Chrome 浏览器、自己的 MacBook 上都能拿到密码。Chrome 记住密码只在 Chrome 里有效，换了浏览器或设备就抓瞎。
双重认证（2FA）
密码只能证明"你知道什么"，2FA 再加一层"你有什么"——通常是你的手机。
输入账号密码 → 身份验证器 APP 生成一次性码 → 输入 → 登录成功哪些账号必须开 2FA：
- 邮箱——密码重置的入口，丢了什么都丢了
- 银行、支付宝、微信支付
- 社交账号（微信、微博、QQ）
不要只用短信验证码。 SIM 卡可以补办、可以劫持。用身份验证器 APP（Google Authenticator、Authy、Microsoft Authenticator）更安全。
恢复代码就是你的命
开启 2FA 时系统会给你一串恢复码（通常是 16 位数字）。打印出来夹在学生证里，或者存到一个安全的地方。
如果你手机丢了，恢复码就是唯一能找回账号的方式。没有它，客服都救不了你。
账号被盗的应急步骤
发现迹象：收到陌生设备登录通知、朋友说收到你的奇怪消息、密码突然失效。
- 改密码——还能登录就马上改；不能登录用"忘记密码"重置
- 踢设备——查看登录过的设备列表，把陌生设备全部踢出
- 开 2FA——如果之前没开，现在就开
- 通知相关方——支付账户通知银行，社交账号告诉朋友"账号被盗"
- 复盘原因——密码太弱？点了钓鱼链接？密码在其他网站泄露过？
现在就去查查你的密码泄露了没
访问 haveibeenpwned.com，输入你的邮箱。如果显示"pwned"，说明你的信息在某个数据泄露事件中被曝光了——立即去改密码，尤其是跟其他网站相同的那几个。
番外：加密技术简史
下面的内容不会让你密码更安全，但它能回答一个问题："密码"这件事背后到底有什么数学？
从手工到机械
最早的加密手段远早于电子设备——公元前 400 年就有人用一根棍子加密消息。
罗马密码棒（Scytale，约公元前 400 年）： 把一条羊皮纸螺旋缠在棍子上，沿着棍子纵向写下消息。解下来后，羊皮纸上只是一串乱码字母，只有用相同直径的棍子重新缠上才能读出来。
凯撒密码（约公元前 50 年）： 把每个字母往后移动固定的位数。A→D，B→E，C→F……这就是最早的替换密码。现代任何加密算法的核心思路没变——仍然是"替换 + 置换"，只是复杂程度天差地别。
维吉尼亚密码（1586 年）： 用关键词来改变每个字母的偏移量，而不是像凯撒那样全部移同样位数。这个简单改进让破解难度暴增，被称为"不可破译的密码"，持续了 300 多年才被破解。
恩尼格玛密码机（二战，1930-1945）： 德国使用的机电加密设备，转子系统让每个字母的替换方式每次都不同。理论上可能的组合超过 10^114——当时的人认为这绝对破不了。艾伦·图灵和他领导的团队设计了一种叫 Bombe 的机器，通过利用已知明文（每天同一时间德国发送的天气预报有固定格式），把破解时间从天文数字降到了数小时。
现代加密的核心概念
哈希（Hash）： 网站存密码的正确方式。哈希函数把任意长度的输入变成固定长度的输出，而且这个过程不可逆——你不能从哈希值反推出原文。当你登录时，网站把你输入的密码做哈希，跟数据库里存的哈希值比对。如果一致就通过。
加盐（Salt）： 如果两个用户的密码都是"123456"，不做处理的话它们的哈希值一样。黑客只要破解了一次就能知道所有用这个密码的人。加盐就是在密码后面加一串随机字符再哈希——就算一万个人的密码都是"123456"，哈希值也完全不同。
对称加密： 加密和解密用同一把密钥。你压缩文件时设置的密码，其实就是对称加密。
非对称加密： 加密用公钥，解密用私钥。公钥谁都可以知道，私钥只有你自己有。别人用你的公钥加密消息，只有你能用私钥解开。HTTPS、SSH、数字签名都基于这个原理。
这跟离散数学有什么关系
上面提到的"不可逆的哈希"、"公钥和私钥的数学关系"、"凯撒密码的字母移位"——它们的数学基础都来自同一门学科：离散数学。
- 凯撒和维吉尼亚用的是模运算（Modular Arithmetic）——把 26 个字母看成一个环，A 在 Z 后面重新开始
- RSA 加密算法（最广泛使用的非对称加密）依赖于质因数分解的难度——两个大质数相乘很容易，但从乘积反推出是哪两个质数很难
- 哈希函数涉及有限域和概率论
- 现代密码学的大量证明依赖于数论和组合数学
如果你被这些内容吸引了——离散数学通常是计算机专业大二的必修课。它不像微积分那样直接出现在物理题里，但它是你学的所有计算机安全、网络协议、区块链技术的底层语言。
如果你还想动手试试这些东西在实际攻防中怎么用——CTF（Capture The Flag，网络安全竞赛）是最好的切入点。CTF 里有一类题目叫 Crypto（密码学），会涉及凯撒密码的变种、哈希碰撞利用、弱 RSA 参数破解、中间人攻击模拟等等。你不需要学完密码学才能打 CTF——很多题目反而会让你在实战中理解课堂上学不到的东西。
国内知名的 CTF 平台：i春秋、BUUCTF、CTFshow。国际的：CTFtime（可以查到世界各地正在进行的比赛）。从 Crypto 入门题开始，能做一道是一道。
第一个计算机密码
1961 年，MIT 的 CTSS 系统诞生了第一个计算机密码系统。有趣的是，一年后一位研究员打印出了系统里所有密码——这是人类历史上第一次数据泄露。这管理员只是为了省事，不想每次登录都输密码。
所以，密码泄露只有一个问题：时间。 这就是为什么我们需要密码管理器 + 双重认证 + 不同网站不同密码。
常见问题
Q：双重认证的手机丢了怎么办？
A：这就是为什么之前让你备份恢复代码。没有恢复代码？联系客服验证身份——过程很麻烦，但这是保护你的最后防线。
Q：手机号换了，怎么迁移所有账号？
A：拿到新号后不要立刻注销旧号。给自己一个月过渡期，逐步把重要账号绑定的手机号改过来，确认全部成功后再注销。
Q：哪些账户最重要？
A：邮箱排第一。 大部分平台的密码重置都靠邮箱。邮箱被攻破，所有账号都可能被接管。邮箱、银行、支付这三类必须开 2FA。
Q：密码管理器安全吗？万一被黑了呢？
A：正规产品使用"零知识加密"——你的主密码只有你知道，加密后的数据服务商自己也解不开。比所有网站用同一密码安全 100 倍。
Q：怎么知道我的密码有没有泄露？
A：访问 haveibeenpwned.com，输入你的邮箱。如果显示"pwned"，立即改密码。
Q：共用账号给室友安全吗？
A：Netflix 家庭共享、Spotify Duo 这类官方共享功能有权限隔离。直接给密码意味着对方能改绑定手机、看你的聊天记录、用你的支付方式。平台官方分享功能不收费的话，永远别直接给密码。
下章预告
账号搞定了。但系统设置里那些开关——你到底要不要开？