密码设置与密码管理

我从 2012年 开始使用 Lastpass ,2015年转用 1Password 。这两个软件的思路大体一致,化繁为简:将每个网站的密码都设为不同的,并用自动记录在软件中。这里记录我曾经的密码管理思路,作为参考。

密码管理的痛点

简单密码有风险,见过不少朋友的密码都设得很简单:

  • 比如单纯数字,甚至见过一些 IT 相关行业将公司所有邮箱的密码设为“1234567890”,把企业网站的管理密码设为“000000”;
  • 比如身份证或者电话号码或者手机号码或者生日
  • 比如名字拼音拼音简写加几个简单的数字,往往还是“123”;
  • 比如键盘上有规律的密码,比如q!w@e#r$t%或者qwer1234等;

这些密码都在字典当中,均可轻松暴力破解。

相同密码易泄露。所有的网站使用同一个密码固然方便记忆,但当一个网站泄露了密码时,所有的网站的密码都泄露了。这样的案例非常多,被称为撞库

随机密码不好记。每个网站(服务)的密码都设置为不同,且没有规则,固然是安全了,但对记忆力是一个相当大的挑战。

分级密码不完美。多数不重要的网站使用同一简单密码,重要的网站使用不同密码。也还是需要记忆不少的密码,并不完美。

不完美的解决方案一:密码分级

在2005、2006年,我的思路是密码分级。密码采用至少四个级别,每个级别的密码都要至少8位没有特殊含义大小写字母、数字、特殊符号混合排练

  • 第一级:最简单的密码,因为经常使用,建议使用键盘上容易输入的按键;这个密码主要用于随意注册、不重要的网站
  • 第二级A:针对国内的网站,复杂的密码,用于稍微重要、若遗失账号可以对自己造成不便的网站,;第二级B:针对国外的网站,与第二级A同样复杂的密码;
  • 第三级:对于重要的服务,比如最主要的邮箱QQ密码MSN密码网银、支付宝等涉及财务的账号,要分别设立,相当相当重要,建议12位以上;
  • 第四级:工作用密码,单位分配的各种账号,不要与前面三种密码混淆,因为这个密码可能单位的网络管理员能够看到的,换新工作后要换新上密码

密码安全

解决方案二:固定+个性

将密码分成两部分(或者更多部分)。第一部分是固定的,比如“12345%”,第二部分根据网站的名称或者域名生成,比如“sina”就是 “s”,”baidu”就用“b”,“google”就用“g”。密码由这两部分组合而 成:“12345%s”,“12345%b”,“12345%g”。

不过泄露的几个密码之后,很容易被发现其中的规则。

解决方案三:密码管理软件 Lastpass

从 2006年、2007 年开始,我曾尝试过很多繁复的方式,似乎很难找到一个在简单和易用之间取得平衡的方案。按 LifeHacker 的某个统计,使用者最多三个密码管理类软件/服务 LastPass、1passwordkeepass(keepassX,KeeFox),2012 年我选择 Lastpass。

我利用 Lastpass 为每个网站生成不同的密码,并用 LastPass 保存密码,我只需要记住 LastPass 的密码。LastPass 还支持 Google 密码验证器或者类似于 U 盘的 Yubikey。目前来看是较为完美的解决方案。

或许有人担心将密码保存在 LastPass 服务器上的安全。我粗略地看了 LastPass 的说明,密码是在加密之后保存在 LastPass 服务上的,只能用主密码进行解密。关心工作机理的同学可以仔细看下说明,或者参考 LifeHacker 的这一篇文章:Is LastPass Secure? What Happens if It Gets Hacked? 

lastpass

以前也使用过 keepass,觉得不够方便。Keepass 是本地软件,只能一台机器上使用,(变通的方法是使用 dropbox 在多台电脑之间进行同步);keepass 不与浏览器结合,似乎要ctrl+C ctrl+V,使用体验不够好。

于2012年5月15日

 


解决方案四:密码管理软件 1Password

某一天 1Password 优惠,我入手了。1Password 跟 Lastpass 的工作原理类似:都在本地加密数据。但 1Password 默认将数据保存在本地磁盘,不同设备之间通过 WIFI、Dropbox 等第三方途径进行同步,Lastpass 则是将数据加密后存放到自己的服务器,一些人认为有一定的安全隐患

Lastpass 数据导出乱码的问题

跟 Google Contacts 导出的 csv 文件乱码问题一样,这是格式的问题。可以将文件名改为 .csv.txt,以 ANSI 格式另存,即可顺利导入到 1Password 。

从 Lastpass 导入到 1Password 过程请参考这里

Firefox 以全局代理的方式无法顺利调用 1Password 的问题

需要将 127.0.0.1 作为代理的例外。

于2015年10月11日

 

可参考:

 

 

《密码设置与密码管理》上有1条评论

  1. Pingback: 良好的上网习惯

发表评论

电子邮件地址不会被公开。 必填项已用*标注

This site uses Akismet to reduce spam. Learn how your comment data is processed.