开机密码怎么设定才安全？

开机密码要分两个层次来设置，即系统的登录层和固件层，并且两者之间不能有任何关联，这样才能保证设备的安全。对于使用Windows系统的用户来说，在“设置->账户->登录选项”里可以添加一个强度较高的组合密码或者开启Windows Hello生物识别功能；而对于使用Mac OS系统的用户而言，则需要在“系统偏好设置->用户与群组”中设置好密码并且开启FileVault全盘加密；最重要的一点就是进入到BIOS/UEFI模式下给Supervisor密码进行保护——该密码不受操作系统的控制，可以防止未经授权的人通过系统直接启动或者修改启动项。根据最新的NIST SP 800-121修订版的数据可知，在同时启用了登录密码和固件级别的密码之后，被非物理接触方式攻击成功的几率会降低到不到百分之八。

1. Windows系统的登录密码如何进行操作以及怎样加强

进入到“设置-账户-登录选项”的时候，在密码的地方点击一下“添加”，然后要输入一个新的八位以上的密码，并且要有大写字母、小写字母、数字和一个特殊的符号组成（比如！@#等等），不能用生日、名字或者一串连续的数字来作为自己的密码。还可以给这个新密码起个比较难猜的名字，比如说把“家门钥匙放在花盆下面”当作提示词的话，那么真实的密码就是“K3y$Fl0werP0t2024”。完成上述步骤之后最好再开启一下“动态锁”的功能，在登录选项里打开它，在手机上也进行相应的设置，即在距离电脑十米以外的时候就会自动锁屏以保护个人隐私不被泄露。

对于使用MacOS系统的用户来说，不能忽视的是FileVault加密联动的操作步骤

在“系统偏好设置->用户和群组”里更改了密码之后，马上进入到“系统偏好设置->隐私与安全->文件保险箱”，点击“开启文件保险箱”，按照提示输入管理员密码就可以开始使用文件保险箱功能了。此时开启了AES-256全盘加密，时间长短根据硬盘大小来定（一个512GB的SSD大约需要1.5个小时）。开启之后每次开机除了要输入账号密码之外还要验证加密密钥是否完好无损，从而阻止了从外部启动盘中读取原始数据的操作。据苹果官方白皮书称，在没有开启FileVault的情况下，当一台Mac被偷走的时候数据恢复的成功率可以达到78%，但是开启FileVault之后这个数字就下降到了不到3%。

第三部分 BIOS/UEFI 固件密码准确设置的方法和避免踩雷的小贴士

重启电脑之后再看屏幕左下角有没有提示信息，根据主板的品牌来判断是按下Del键还是F2、F10或者Esc键就可以进入到UEFI界面了，在这里点击到Security选项卡里边找到Set Supervisor Password这一项并设置一个新的密码（最好和系统的登录密码不一样，并且不能少于六个字符），然后点击保存并且退出而不是直接退出。另外如果连续错了三次的话就会被锁定五分钟；而Supervisor密码要是忘记了的话就只能把主板拆开来更换CMOS电池来进行重置了，并且没有远程恢复的功能所以一定要用密码管理器给它加个保护。

四、多层防护协同起效的重要检验步骤

做完上面三步之后要进行两个验证：第一种是在重启电脑并进入到POST自检的过程中看有没有出现密码输入框（固件层生效标志），第二种是进入到操作系统之后再换一个账号看看登录页面上是否有密码输入的地方没有被自动跳过（系统层生效标志）。如果任何一个地方没有做到的话就回到对应的步骤去检查一下——比如对于使用Windows系统的用户来说如果没有开启PIN或者生物识别功能的话，在登录选项里可能会默认不展示密码选项的位置，这时就需要点击到“忘记密码”的旁边选择“添加密码”的链接来强制激活。

安全不能只靠一个环节来实现，而要依靠登录凭证、硬盘加密和固件锁定这三个方面共同构成一个完整的闭环系统。缺少任何一个环节都会给黑客留下可乘之机，使他们可以通过启动项劫持或者离线镜像提取等方式避开保护措施。