O3.01.2Risk-triggered password change设计研究
强制定期更换降低整体安全
别名: 基于风险改密 · 密码到期 · event-triggered password reset
概念解释
风险触发的密码更换（risk-triggered password change）把改密要求绑定到泄露证据、异常接管或凭据恢复，而不是每隔固定天数让所有人重设。无风险信号的周期到期会增加记忆和支持成本，并诱发在旧密码上递增数字、替换季节等可预测变形，未必缩短攻击者实际可用凭据的时间。
机制
强制改密打断任务，但用户通常没有同时获得新的记忆策略，于是以最小差异保留旧秘密，或把密码写下、跨服务复用。若系统只替换登录字符串而不撤销已被盗会话、应用密码和恢复令牌，改密的安全收益还会被高估。风险触发把干预集中到有证据的账户，并要求处置整条认证状态，而不只是满足日历规则。
怎么研究
纵向比较周期到期与事件触发策略，使用隐私安全的派生指标观察重置完成、帮助台请求、锁定、管理器采用和可预测变形率。在受控接管演练中植入已知会话与令牌，检查触发、通知、重置和撤销是否共同阻断继续访问。不要仅用“改密次数”证明安全；应分别报告暴露窗口、恢复成功和误触发成本。
边界
发现密码已泄露、被钓鱼、遭破解，或有可靠的账户接管迹象时，应要求更换；管理员初始化、共享秘密退出或高风险恢复也可能需要一次性重置。某些环境有外部到期要求，设计者仍应减少可预测变形并处理其他会话。取消任意周期并不意味着密码永久可信，也不能替代监测、多因素认证和安全恢复。
怎么落地
- 明确定义泄露匹配、异常访问、恢复完成和人工调查等改密触发器，并记录触发依据。
- 在同一处置中轮换密码、撤销相关会话与令牌、检查恢复渠道，并向账户所有者展示已执行动作。
- 允许密码管理器生成和保存全新秘密；将候选密码作为完整值与常见、预期和已泄露密码清单比对，并在拒绝后引导用户不要只做微小改动。若另做相似变体检测，须有独立威胁依据并验证对长口令的误拒与可用性影响。
- 监测误报、未完成重置、支持负担和处置后的再次访问；仅当外部要求确实适用时才启用固定到期。