明年起实施密码法，提醒各位葱油请修改自己墙外网站的密码（港台朋友也请注意）

明年1月1日中国大陆开始实行密码法。具体来说，就是你在墙内网站所用的密码，有可能会被共产党掌握。

这里有必要向各位葱油普及一下这个法律可能带来的风险：

首先，如果共产党想查你墙内社交网站的账号信息，实际上不需要密码，只要网站方面配合就行了。但这里的风险是，墙内网站有可能在注册时，出于各种目的偷偷用明文保存你的密码。这样的话，一旦你被查，密码就有可能被共产党拿到手。此时如果你的其他墙内外账号都使用同样密码，很有可能被一起攻破。

这里普及一下黑客“撞库”的概念。简要地说，就是黑客会有一个庞大的密码库，在想要破解某人账户的时候，会用这个库里面的密码进行暴力破解。而且，如果你的身份范围比较小，实际上大大缩小了你可能使用密码的范围，暴力破解会变得更简单。

当然，如果你只是个小虾米，不是编程随想那种名人的话，一般情况下共产党的黑客是懒得理你的。不过相信你也不想被黑客登进自己的账号，把你的隐私看得一清二楚吧？

那么可能有人会问：如果我的密码在网站是加密保存，那么会不会被破解呢？

其实也是有可能的。例如，如果使用SHA加密你的密码，理论上是不可破解的。但是，SHA算法加密后的结果是一个稳定的值，换句话说只要知道你的这个加密后的值，就相当于知道了你的密码，同样只要使用这个值去尝试其它网站就可以了。

所以，一般网站在保存密码的时候都要经过“加盐”（add-salt）

@hallo

加盐是指生成随机数据然后和原密码合在一起做哈希，不是对密码做个变换。
https://en.wikipedia.org/wiki/Salt_(cryptography)

科普一下，密码学中的哈希函数有这么一个特点，即你无法通过哈希后的值来计算哈希前的值，换句话说，如果y=hash(x)，那么你没办法从y反推出x。这个单向的性质通常被用来保存密码。你登录的时候，网站只要对你输入密码计算一下哈希，然后和数据库里的哈希值比较来验证密码的正确性。

一般来说，在注册的时候也不会直接存密码的哈希（因为我们可以提前算好一些常见密码的哈希），而是生成一段随机数据，叫做盐，然后存储加盐后的密码的哈希和盐。比如123456这种简单密码，加上注册时随机生成的数据dsdfj，数据库保存hash(123456+dsdfj)和dsdfj。这样的话，即使是简单密码，在不同的数据库里最终的哈希值其实都是不一样的。当然这里只是用简单密码举个例子，并不是说简单密码也安全。虽然没办法通过哈希推测出简单密码，但是简单密码可以直接枚举。

也就是说，只要不同网站使用不同的算法进行加盐，最后实际存储的值每个网站都不一样，那么就大大降低了一个网站被破解以后，其它网站跟着全部沦陷的风险。

当然，每个网站加盐的算法，实际上是固定的。一旦黑客通过各种方式知道了加盐的算法，同样可以用撞库的方式，把库里的密码全部用算法修改以后再暴力破解。所以，假设Twitter今天出现安全漏洞，加盐算法泄露，Twitter就会强制要求用户更改密码。

总之，这里建议各位葱油在注册墙外网站时，一定不要使用跟任何墙内网站相同的密码。无论肉身在墙内还是墙外，都要特别注意。这里也提醒海外华人和港澳台的朋友，在注册中国大陆网站时用新的密码。

更稳妥一点的做法，是使用密码管理软件，比如说1Password。谷歌现在也推出了在浏览器里自动生成密码并存储的功能。但关键还是，敏感网站请一定使用不容易破解的密码。品葱有多次登录失败后锁定账号30分钟的设定，相对不容易被暴力破解。

最后，密码保护做得再好，也有可能会因为身份暴露被发现。请各位千万注意安全，不要在推特和这里暴露自己的信息。