FBI：以长密词取代密码、不应设定密码变更期间或次数上限

有鉴于密码难记造成的反效果，FBI建议用户，最好改用15字元以上的密词（passphrase）取代复杂的密码，且不应设定多久变更一次或密码输入错误几次就锁定。

密码是手机、电脑、邮件及各种个人账号登入验证的主要验证方法，然而太多研究显示，大部分用户偏好使用好记的密码，像是1234、123456、或是password，有些人甚至在多个不同账号上都使用相同的简单密码。即使到了2019年，许多人都还是存在这种不良的上网行为，像是上千名公众人物的推特账号，遭一名学生以1234或iloveyou的简单技俩破解密码。

因此许多网站或企业开始要求用户设定复杂的密码，像是强制要求具备大、小写英文字母、阿拉伯数字及特殊符号等。但美国标准与科技研究院（NIST）认为，密码的长度比复杂度更为重要。

波特兰FBI依据NIST的理论，建议企业IT人员或一般用户，与其使用复杂的短密码，应该改用更长的密词（passphrase），最好由几个字词、最少15个字元组成。超长密词不但比密码方便记忆，而且能增加破解难度。例如VoicesProtected2020WeAre就是够强的密词，若能加入数个不相干的字更好，如DirectorMonthLearnTruck。

FBI建议，企业IT人员最好要求使用者使用15个字元以上的密词，不要有大、小写或特殊字元。同时应只在IT认为网络遭骇时，才要求用户变更密码。网管人员最好能扫描所有人的密码，看看是否用了被破解率高的字典字词当密码，也不得提供密码“提示”。

FBI也提醒IT不应再实施账户密码输入几次就锁定的政策，否则骇客可能故意发动机器人攻击，反让用户被锁住而无法使用电子邮件等账号。

现在许多人会使用Vault程式或密码管理器，来储存众多密码。有人担心如果vault被破解了，可能反而让攻击者取得所有密码，但是安全专家普遍认为，Vault使用利大于弊。FBI也建议IT经理们不妨研究一下。