这是此问题的错误解决方案。首先，不，假设无法从磁盘或内存中恢复密码是不安全的。磁盘上才是真正的威胁……如果你遇到了可以从 RAM 中提取数据的对手，那么你可能会遇到一个无论如何都无法击败的对手。

此外，密码盗窃只是您使用被盗笔记本电脑面临的威胁之一。敏感数据丢失是另一个通常更严重的威胁。你的方案没有解决这个问题。

因此，正确的解决方案是全盘加密。这可以保护被盗笔记本电脑驱动器上的所有数据，通过单一解决方案解决这两个问题。它还使您可以自由地使用最适合鼓励最强密码的任何机制，而不必担心要求永远不要存储密码的额外权衡。

这是一个多层次的谬误。

首先，您不能指望人们记住每项服务的强密码和唯一密码。它只是不会发生。实现这一点只是乞求将“passwords.xlsx”固定到一半的用户桌面（另一半将使用“passwords.docx”）。

其次，试图防止密码更改是朝着完全错误的方向迈出的一步。相反，您应该投资一种策略，使根据需要或想要的频率更改密码变得轻松，并帮助用户（包括管理员）以安全有效的方式管理这些密码。

最后一句话的原因是，如果密码有一点是确定的，那就是在某一时刻，您将不得不更改它们。管理员继续前进？更改所有系统密码。一位经理在公司网络和他儿子的足球队论坛上使用了相同的密码？更改他的密码。找到一个贴在他的屏幕上的工资单管理员？更改他的密码。

尽可能使用单点登录，为您的用户提供方便的密码管理器，尽可能多地教育他们并使更改密码变得非常容易。这是降低企业密码使用风险的唯一方法。

当用户被迫记住大量密码时，他们有几个选择：

• 重复使用密码
• 使用易于记忆的弱密码（Password123）
• 使用从主密码（PasswordSQL、PasswordWin、Password1、Password2）派生的密码

所有这些选项都不利于安全。大多数系统需要一种方法来存储用户的密码或从这些密码生成的值（例如散列）。Windows（SAM 文件）和 Linux（/etc/shadow）系统、数据库等都会发生这种情况。如果密码很弱，找出散列/加密值背后的密码相对容易完成。

另一方面，如果使用安全密码管理器，则可以为每项服务使用强密码，并且只需要记住一个（或几个）复杂密码。

一个好的方法是：

• 加密所有系统的硬盘驱动器
• 强制对加密驱动器和正在使用的系统/服务使用复杂密码
• 选择一个安全的密码管理器，它可以正确加密存储的密码并使其成为唯一认可的解决方案
• 应定期更改密码，并应检查和防止密码重复使用 - 这是一个备受争议的话题，我将由您决定什么是最好的

好的，首先我们需要介绍什么是好的密码：

“好”密码的长度很长，并且能够（通常是要求）使用特殊字符。

为什么可能添加特殊字符很重要？通过拥有更多可能的字符，您为每个密码创建了一组更大的组合。

例子：

• 密码必须是 8 个字符，使用小写字母。

  每个位置有 26 个可能的字符，因此 26^8 = 208827064576 种可能的组合。

• 密码必须为 8 个字符。密码可能包括大写、小写、数字和特殊字符。

  26 个小写字母 + 26 个大写字母 + 10 个数字 + 30(ish) 各种特殊字符 = 每个字符有 92 种可能性。

  92^8 = 5.13E15 种可能的组合！

因此，我们可以看到，通过增加每个字符的可能值，我们大大增加了暴力破解这些密码所需的能力。

为什么这很重要？

简而言之，较长的密码更难让人记住。结果，人们更倾向于写下密码并重复使用它们。因此，回答您的第一个问题：不，您仍然需要更改密码。 人们可能会在丢失公司笔记本电脑时报告，但可能不会告诉公司他们的钱包是否被盗（里面写有密码）或他们的雅虎帐户被黑客入侵（方便地使用相同的密码......但公司当然不会不知道这个。）

关于你的第二个问题...

这取决于，除了键盘记录器：

• 假设笔记本电脑有密码加密驱动器。

  如果笔记本电脑在被盗时关闭。你还算安全。

  如果笔记本电脑开机，你就有麻烦了——不管机器是否登录。几个简单的例子：

  - Cain & Abel 等程序可以转储存储在浏览器或本地计算机上的任何密码。

  -此外，一些带有火线的机器可能容易受到直接内存访问攻击，这可能会泄漏内存内容。（对于黑客来说很幸运，一些火线卡是即插即用的！）

  如果笔记本电脑处于睡眠模式，RAM 会保留足够的电量来保持内存内容的活跃。因此，理论上任何最近使用的密码都可以被“那些知道这些事情的人”收集到。（例如，液氮浴到 RAM 中并将其交换到已经运行的 PC 中。）

• 如果笔记本电脑没有加密驱动器...

  -无论笔记本电脑是打开还是关闭，数据都可以由另一个操作系统提取，从而使 Cain & Abel 等工具能够发挥作用。

所以，最后：

• 要求对笔记本电脑进行全盘加密（例如 TrueCrypt）
• 用户密码应至少包含 8 个字符，并包含大写、小写、数字和/或特殊字符的组合。
• 密码应定期更改（例如 120-180 天）
• 使用经批准的密码管理器。
• 最后但并非最不重要的一点是教育您的员工。解释密码丢失的基本风险，并说明保护公司/网络是每个用户职责的一部分。包括基本做法，例如不插入奇怪的 USB 设备、不让无人看管的系统处于登录状态以及不写下密码。

***这通常没有来自 IT 部门的“很大力量”。重要的是，贵公司的高管/所有者要认同最后一点，理解它，并在全公司范围内以他们的权威推广它。