你希望自己是无密码的，但现实并非如此。

我们大多数人其实并不想要密码。我们想把它们彻底移除——用更干净、更隐形、从设计上就更安全的方式来替代。通行密钥（Passkeys）、生物识别，以及那些只要一接入就知道“这是你”的设备。方向就是这样，而且这也是个正确的方向。

但还有一个我们不太会明说的点：我们还没有到达那一步。

密码依然无处不在——尤其是在最关键的地方。遗留系统。服务账号。没人愿意去碰的脚本。把一切黏在一起的混合环境。它越不显眼，通常就越关键、越危险。

Kevin Mitnick 曾经说过：“人的因素才是真正安全的最薄弱环节。”

这其实是个简单的观点。它重新定义了问题。重点不在于把字符巧妙地组合起来，或是制定复杂性规则。重点在于“访问权限”——以及它有多容易被滥用。

而现在，AI 正在加速这种风险。过去需要时间的事情——猜测、破解、测试凭证——如今都可以自动化并规模化。更快的猜测、更聪明的模式、更精准的定向攻击。

只要凭证能用，就能用——这就够了。

我们正处在过渡期。通行密钥（Passkeys）在增长，密码仍在留存，而身份（identity）已经成为一切的控制平面。正是这种张力，孕育着风险。

还有人的因素。我们会忘记。会重复使用。为了更省事，而不是正确地做，就会共享。在 20 人规模时，似乎还能凑合过去；到了 100 人，就开始出现裂缝。规模一旦扩大，就会悄无声息地崩坏——不是发生某个轰动的大事件，而是不断累积的小漏洞。

如果你想要以更务实的视角看看随着团队壮大，问题到底会如何一步步显现， Sascha Marten 会把这一切拆开讲清楚。

更长的密码有帮助。口令短语也有帮助。但它们仍然是凭据。它们仍可能被暴露、被重复使用，并在各处流传。长度并不能改变真正重要的东西：访问权限。

而且 如果密码还将继续存在，那么它们就需要护栏。Jeremy Moskowitz说得很到位：你仍然有密码——因此，你需要强制执行它们如何被创建和使用。

那么你要做什么——不是在某个未来的状态中，而是在现在、在密码仍然存在的时刻？

你不必追求完美。你要掌控真实的情况：谁拥有访问权限、它存放在哪里、它如何被使用，以及它何时会发生变化。

Vince Lombardi说得比我更好：“完美并非触手可及，但如果我们追逐完美，就能捕捉卓越。” 无密码即将到来。但控制就在今天。

所以是的——可以利用世界密码日来提高意识。但不要只停留在更好的密码上。把重点放在它们所能解锁的内容上。