破解密碼需要多久，取決於三件事：可能的密碼有多少種（長度和字元種類）、攻擊者測試猜測的速度有多快，以及密碼是否真的是隨機的。隨機的 8 個小寫字母密碼，如果以快速雜湊儲存，在租用的顯示卡上可能幾週就會被破解；而混合字元、隨機產生的 16 字元密碼，所需時間會比宇宙的年齡還長。免費密碼產生器會在你的裝置上產生這種隨機、夠長的密碼。
網路上流傳的那些彩色表格很有參考價值，但它們基於一些假設。了解這些假設，才能知道真正能保護你帳號的是什麼。
「破解」實際上是什麼意思
當你在某個地方註冊時，一個做得好的網站不會儲存你的密碼。它會儲存一個 雜湊值（hash）：也就是密碼經過加密打亂後的指紋。登入時，網站會對你輸入的內容做雜湊，然後比對指紋。免費雜湊產生器可以說明這個概念：輸入 password123，它的 MD5 雜湊值是 482c811da5d5b4bc6d497ffa98491e38，無論在哪一台電腦上，每次都一樣。
如果網站的資料庫被竊取，攻擊者拿到的是雜湊值，而不是密碼本身。破解就是猜測密碼、對每個猜測做雜湊，然後離線比對是否吻合，並以硬體能達到的最快速度進行。網站的鎖定機制也無法減緩他們。
這就是為什麼有兩件事決定破解時間：
- 攻擊者可能需要嘗試的可能性數量。
- 猜測速度，這很大程度取決於網站使用的雜湊方法。
暴力破解的計算
可能的密碼數量，等於字元集的大小自乘長度次方。
| 字元集 | 字元數 |
|---|---|
| 只有數字 | 10 |
| 小寫字母 | 26 |
| 小寫 + 大寫 + 數字 | 62 |
| 我們產生器中的四種類型全部 | 85 |
8 個字元的小寫密碼有 26^8，約 2,090 億種可能；使用全部 85 個字元時，8 個字元約有 2.7 × 10^15 種可能。每增加一個字元，總數就會乘上字元集的大小，這就是為什麼長度比其他任何因素都重要。
最新的表格怎麼說
根據 Hive Systems 2026 年的密碼表格，一組 16 張 RTX 5090 顯示卡攻擊以 bcrypt（一種刻意設計得很慢的雜湊，工作因子為 10）儲存的密碼，大約每秒能猜 138,675 次。以這個速度，他們估計 8 個小寫字母的密碼約需兩週被破解，而使用全部字元類型的 8 字元密碼則約需 132 年。他們的時間是最壞情況，也就是正確密碼恰好是最後一次猜測。
使用相同的猜測速度，以及我們產生器的 85 字元集，這是我們計算出的隨機密碼最壞情況時間：
| 長度 | 只用小寫（26） | 四種類型全部（85） |
|---|---|---|
| 6 | 約 37 分鐘 | 約 32 天 |
| 8 | 約 17 天 | 約 620 年 |
| 10 | 約 32 年 | 約 450 萬年 |
| 12 | 約 22,000 年 | 約 320 億年 |
| 16 | 約 100 億年 | 約 1.7 × 10^18 年 |
我們的 8 字元數字與 Hive 的不同，因為表格對字元集大小、雜湊設定和計算猜測次數的方式不同；但重點是一樣的。正確的猜測平均大約在中間出現，所以一般情況下，請把這些數字減半。
為什麼這張表可能太樂觀
這張表以兩種方式假設對你最有利：
網站可能使用快速雜湊。 bcrypt 本來就是為了讓速度變慢而設計的。老舊或粗心的系統會使用 MD5 或單純的 SHA-1 等快速雜湊，一張顯示卡每秒就能測試數十億次。面對這些雜湊，上面的時間會縮短一百萬倍以上。你無法得知網站如何儲存你的密碼，所以要假設最壞的情況。MD5 與 SHA-256 的比較說明了其中的差異。
你的密碼可能不是隨機的。 暴力破解是最慢的攻擊方式。真正的破解通常從外洩密碼清單、字典單字、姓名、日期，以及像 Password123! 這樣的常見模式開始（首字母大寫，數字和符號放在最後）。這種方式建立的密碼，不論有多少種字元類型，幾秒鐘內就會被找到，因為攻擊者會先嘗試這些模式。
它可能已經外洩。 如果你重複使用密碼，而你用過它的任何網站遭入侵，攻擊者根本不需要破解任何東西，他們只要在其他網站上試用相同的電子郵件和密碼即可。
什麼才真正能保護你
- 長度與隨機性。 16 個字元以上的隨機密碼，對任何現實的攻擊者來說，都超出暴力破解的能力。依美國 NIST 的 SP 800-63B（第 4 修訂版，2025 年）所述，只靠密碼的服務應要求至少 15 個字元，且不應強制組合規則或定期更換。
- 每個網站使用不同的密碼。 這能完全防止重複使用密碼的攻擊。
- 密碼管理工具。 它會為你記住數十組又長又隨機的密碼，讓你不必自己記。如此一來，增加長度就不會帶來任何負擔。
- 雙重驗證。 即使密碼被破解，攻擊者仍然需要你的手機或安全金鑰。請先為電子郵件、銀行和社群帳號開啟。
如果你需要一個可以記住、可以打字輸入的密碼，例如你的密碼管理工具主密碼，由隨機單字組成的長密碼片語很適合。請參閱密碼片語與密碼的比較。
產生一組不會被破解的密碼
打開免費密碼產生器，把 長度 設為 16 或以上（預設從 20 開始），保持 小寫字母、大寫字母、數字 和 符號 都勾選，按下 產生，然後按 複製。密碼會在你的裝置上產生，永遠不會被傳送到任何地方。關於這些設定的更多說明，請參閱如何建立強密碼。
常見問題
- 破解一個 8 字元的密碼要多久？
- 取決於字元種類和儲存方式。依 Hive Systems 2026 年的表格，對抗 bcrypt 時，隨機小寫字母約需兩週，使用所有字元類型則約需 132 年。若對抗 MD5 這類快速雜湊，兩者都會快得多。
- 12 個字元的密碼夠安全嗎？
- 使用所有字元類型、隨機產生的 12 字元密碼，超出暴力破解的能力範圍。對於重要帳號，16 個字元以上仍然是較好的預設，因為使用密碼管理工具時，長度不會帶來負擔。
- 符號能讓密碼更強嗎？
- 每個字元會有一點幫助，但增加長度的幫助更大。一組沒有符號、隨機產生的 16 字元密碼，比一組有符號的 10 字元隨機密碼更強。
- 駭客最終能破解任何密碼嗎？
- 理論上可以；實際上，隨機的 16 字元密碼所需的時間，遠超過任何攻擊者願意等待的時間。容易猜到、常見或重複使用的密碼才會很快被破解。
- 在網路上檢查密碼強度安全嗎？
- 不要把真正的密碼輸入線上強度檢查工具。改為產生一組新的隨機密碼；我們的產生器會在你的裝置上產生它。
產生器
試試密碼產生器
免費、免註冊，在瀏覽器中就能用。 一鍵產生高強度的隨機密碼：選擇 8 到 128 個字元的長度，以及要使用小寫字母、大寫字母、數字和符號中的哪些類型，然後複製即可。