多密码管理具体实践方案

上一篇介绍了多密码管理的方案「密码太多记不住?多密码管理方案」,这篇讨论具体的实践方式。

1、密码库方案选择

  • 如果是纯苹果用户,推荐使用iCloud Keychain。
  • 如果是跨平台、跨浏览器用户,推荐使用LastPass。
  • 如果希望自建密码库,推荐使用KeePass。

2、使用一个好的主密码

3、网站和浏览器设置

浏览器不保持网站的登录状态。浏览器不保存密码。

网站的保持登录状态功能,实质上是保存cookie,如果浏览器出现漏洞,攻击者有可能拿到你的cookie,然后冒充你的身份登录网站。我们在使用密码库的前提下,不建议让网站保持登录。

* Google Smart Lock是和Chrome浏览器集成的,如果使用Google的密码库服务,那就让Chrome保存密码。

4、KeePass的密码库属性

  • 数据库文件加密算法换成 ChaCha20
  • 密钥导出函数换成 Argon2
  • 使用“1秒延迟”按钮调节参数

注:

  1. ChaCha20和Argon2是最近版本支持的算法。某些平台上的KeePass程序还没有更新支持。
  2. 1秒延迟按钮是以本机运算能力来测试的。手机芯片的运算能力可能较弱,用时也较长。综合考虑确定参数。

5、KeePass常开时,密码保持星号状态

反例:如果密码呈显示状态,其它应用程序是有可能读取其内容的。

示例中的读取窗口文本工具 <Textify下载>。切换密码星号与原文显示 快捷键 Ctrl+H。

6、KeePass输入主密码使用安全桌面

7、使用越狱/root设备的注意事项

有些人喜欢使用越狱的iOS设备,或者root过的安卓设备,可以安装功能强大的插件/框架,让某些操作更高效、去广告、“翻墙”等。但是越狱/root过的设备,APP有可能拥有过于强大的能力,比如:截获短信、读取/修改其它APP的内存、读取/修改网络传输数据等。如果小心使用,是有可能安全使用的,但是这个“小心”使用要费的心思太多了。 如果一定要用越狱/root设备,建议:

  • 把自己重要的数据与越狱/root设备分隔开,比如:银行卡的预留手机号、账号的密保/安全手机号(可用于重置密码)、手机银行APP、互联网投资/理财。
  • 在越狱/root设备上使用单独的支付宝和微信支付账户,只留一点零用钱,定期转账充值即可。
  • 安卓手机打开内存加密(比较新的手机系统都是默认打开了),这样如果不知道你的PIN码或解锁图案,是无法读取手机内存数据的。

8、使用TOTP(基于时间的一次性密码)

TOTP本质是一个密码,但是很多网站把它当作二次验证的手段或密保方式。这也就意味着,不要把TOTP和密码保存在一起。如果使用密码库来管理密码的话,应该把TOTP单独保存一个密码库,最好使用一个不同的主密码。

转载需保留链接来源:软件玩家 » 多密码管理具体实践方案

赞 (0)

评论 0

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址

感谢您的支持!

微信扫一扫打赏