NIST 与微软一起改变我们对密码的看法

微软《Microsoft Password Guidance》白皮书基于 Azure AD 海量登录数据（日均超 1000 万次密码攻击），主张取消字符组合要求与强制定期改密、保留 8 位最小长度、封禁常见密码并推行风险驱动的 MFA。

NIST 新起草数字身份指南解读：密码需比对泄露库、字典词与上下文相关词；SMS 不再作单因子，推送式 MFA 在更高保障等级中上位，为企业密码策略提供基线。

AD 密码策略 GPO 建议：渗透测试中约 40% 的域密码可被破解；文章建议按 NIST 指南取消强制过期（最长使用期限设为 0）、提高最小长度至 16 位并配合口令短语培训，可将破解率降至约 5%。

AD 用户管理委派需要遵循最小权限原则，但诸如 Authenticated Users 可触及的密码选项等遗留权限会悄然放大风险。文章剖析 Windows Server 2025 及更早版本中的相关陷阱与加固思路。

SaaS 密码像蟑螂一样不断滋生：文章剖析 IDaaS 服务（Azure AD、Okta 等）如何以密码保险库与浏览器扩展重放实现 SaaS 单点登录，并列出该方案仍存在的五类安全短板。

针对 Infosec 展会上宣称「不可破解」的每 60 秒更换密码的动态密码设备，作者通过概率分析证明：攻击者对滚动密码的尝试机会会随每次更换重置，但总体成功率与攻击静态密码相当，此类卖点实属营销噱头。