六位数密码的穷举与破解：从数学到安全
六位数密码的穷举世界
六位数密码，从数学角度看，就是由0-9组成的六位序列，每一位有10种选择，因此总共有10^6 = 1,000,000种可能的组合。这个数字看似庞大，但在现代计算能力面前，传统的穷举攻击可以在数小时内遍历所有组合，尤其是在没有速率限制和锁定机制的情况下。
穷举攻击的时间评估
假设攻击者的设备每秒可以尝试1,000个密码（这在实际的GPU集群中非常保守），那么遍历所有100万组合需要1,000秒，约16.7分钟。如果使用更高速的硬件（如每秒100万次尝试），则仅需1秒。因此，纯数字六位数密码在面对高速穷举时不堪一击。
实际中的防护策略
幸运的是，大多数系统引入了防护机制：
- 速率限制：如每10秒仅允许5次尝试，此时全遍历理论时间延长至约23天（100万÷（0.5次/秒）÷86400）。
- 锁定策略：连续多次失败后锁定账户，例如5次错误后锁定24小时，使得穷举几乎不可行。
- 多因素认证：即使密码被破解，二次验证增加安全层级。
密码选择与心理
人性弱点：许多人使用生日、重复数字（如111111）、顺序数字（123456）等，这些组合在密码列表中排名靠前，攻击者会优先尝试。因此，即使有100万种可能，低熵密码大大降低了实际安全强度。
结论：六位数密码的地位
作为独立认证因素，纯六位数密码已不再安全，建议加入字母、符号，或使用更长的密码短语。但在有良好速率限制和锁定的系统中，随机生成的六位数密码仍可接受，尤其是作为一次性验证码时。理解“所有密码”的规模是构建安全系统的基础。