自从移动设备成为我们日常生活和工作的主要工具之后，我们便习惯了使用PIN来登入自己的设备。很难想象有谁还会使用复杂密码来打开自己的电话。那么问题来了：4位，或者6位的PIN是不是就不安全了呢？从概率学上说：是的。 这也是为什么密码的复杂性是一直被强调的，一个符合现今密码复杂度的条件可能包括：至少8位长，有大小写字母和数字。用这些条件来看，PIN绝对是够不上条件的。
但是，微软怎么就跳出来说：“PIN其实要比Password安全”呢？ 其实他说的不全面。 全面的说法应该是这个样子的：“在用户设备或者企业设备资产在受管理的情况下，用PIN登入这些设备访问资源特别是全局资源，要比使用密码登入更加安全。”
这句话其实也不好理解。 首先要解释何谓“受管理的设备”。 一个受管理的设备需要至少符合以下三个条件：一，全身加密，且只有在登入以后才可访问资源（需要TPM）； 二，设备登记在册，在丢失的情况下有快速机制抹除数据并拒绝访问； 三，有防止暴力破解登入的机制。 比如企业用户可以使用Active Directory（或Azure Active Directory）强制所有设备在登记入域并且执行了上述三个条件以后才能访问全局资源。 大多数苹果iOS设备也缺省都会全局加密并且强制打开iCloud追踪机制，这些机制都保证设备是受管理的。
回到PIN登入机制本身，PIN登入其实都是跟随设备的，且在设备本身完成，每一台设备都需要单独设定PIN。 用户在登入一台受管理的设备之后，如果需要访问全局资源，那么被访问的资源不仅要看用户是不是用户本人，还要看他/她是不是从一台受管理可信赖的设备访问的。 这种方式是一种天然的双因子认证的机制。 相对而言，密码则是并不跟随设备的。一旦密码被窃，它可以被使用在其他设备上进行认证。 这也是密码在今天的网络环境下的一大难题。 根据调查，绝大多数密码被他人冒用登入的安全事件并不是因为密码复杂度不够所造成的，而是因为用户到处使用同一个密码登入，而其中一个网站或系统被人破解或恶意泄露造成的。
所以，我们说PIN更加安全，完全是建立在两个现今网络安全机制基础上而言的： 1） 在受管理可信赖的安全设备上，PIN登入更加安全 2） PIN登入更能够保护全局资源，比如云储存的数据和企业的数据。
当然，4位的PIN还是不足以应对暴力破解，所以一般会要求6位或更严格的PIN位数。 另外，说到PIN，不妨也提一提指纹认证，还有颜值认证等等。 这些认证机制，原则上和PIN一样，是在设备本身完成，再由设备向服务器请求认证的。 但这一切都基于正确的设计，也还只有Windows和iOS在这方面严格执行并且考虑到了用户相关的隐私需求。