奔跑中的奶酪

再有人问密码管理,把这篇文章发给他!

导读

再有人问密码管理,把这篇文章发给他!

世界上难办的事情分两种:一种是困难的,一种是麻烦的。

密码管理属于第二种,密码是属于那种如果简单了,就容易被盗,而如果复杂了,又容易记不住的事情。

本期内容就帮大家彻底解决这个问题,文章的一开始可能会点难理解,但别担心,到了后面的实际操作,也就“抖音cmd黑客”的水平。

一、密码是怎么被盗的

互联网有云:上网不安全,安全不上网。

只要你上网,你的密码就有被盗的可能,因为风险可能发生在上网的每一个环节。

比如在输入密码时,如果电脑中了盗号木马,那么密码就会被窃取。又比如在网络传输时,如果密码是明文传输,又或者你访问的网站本身就是钓鱼网站,那么密码一样也会被窃取。

i28_01

但真正让用户担心的,还得是网站数据库泄漏

也就是我们把密码交给了网站,但网站保管不善将密码泄漏了出去,比如 2011 年的“CSDN 密码外泄事件”,就有超过 600 万帐号密码被泄露。

1、拖库

业界把黑客窃取网站数据库的行为,叫做“拖库”,也戏称叫做“脱裤”。

i28_拖库

在众多数据库泄漏事件中,最有名的当属 2013 年 Adobe 公司的数据库泄漏

事件影响超过 1.52 亿个帐户,于是一个叫做 https://haveibeenpwned.com(我被搞了吗)的网站成立,只需要输入邮箱就可以查询自己的帐号是否泄漏。

i28_HIBP

2、洗库

网站一旦被入侵,如果数据库未经加密,那你的密码就相当于裸露在黑客面前,此前的“CSDN密码外泄事件”就是明文储存密码。

可即使网站做了加密处理,也同样有被破解的风险。

现在大多数网站都会采用“MD5 加密”,也就是将用户密码散列成 32 位字符,这个过程单向不可逆,所以理论上无懈可击。但黑客们会对密码进行枚举破解,然后把密文做成一个索引表,由此来反推原始密码,这个索引表也叫做“彩虹表”。

业界把黑客对数据库进行破解,然后按一定格式进行整理的行为,叫做“洗库”。

i28_洗库

在这种情况下,一些网站还会在 MD5 加密的基础上进行加盐(Salt)。

也就是在原来的基础上添加一个随机数,然后再重新获得一个 MD5 加密值,这样密码的安全性就大大提高。

i28_加密方式

可要是你的密码很简单!

即便是加密加盐,通过“彩虹表”还是可以破解。

所以一些涉及财产的网站,会要求用户进行“二次验证”,比如有 短信验证码、邮件验证码、数字验证码、动态令牌、Usb Key 等方式。

3、撞库

洗库成功后,黑客还会把有效的帐号密码,去到别的网站上登陆,这个过程叫做“撞库”。

原因是很多人喜欢在不同的网站上都使用同一套帐号密码,虽然方便,但这就像是一把可以打开多扇门的钥

此前的“京东密码泄漏事件”,就是黑客通过“撞库”的方法,凑巧地获得了一些京东用户的数据,而京东本身的的数据库并没有泄漏。

i28_撞库

黑客还会将有效的数据库在黑市出售或者交换,久而久之形成的“社工库”就非常的庞大,撞库成功的几率也就非常的高,你的密码被盗也就不奇怪了。

二、常见密码管理方法

所以,要保障密码安全,我们要做的是:使用复杂密码还有在不同网站使用不同密码

可想要让密码也同时容易记住,那就需要些技巧了,目前有两种方法:

1、基础密码变形法

一种方法是通过「基础密码+网站名称+变化规则」来构建一套密码清单:

首先,选定一个基础密码

选择一句话做为基础密码,然后取这句话的拼音或者英文。比如 “网上冲浪指南2021” 的拼音是:wsclzn2021

然后,混合加入网站名称。

取各个网站域名的第 1~2 和第 3~4 位字母,分别加入到密码的开头和结尾。比如 baidu.com 取前面 4 位字母就是 ba 和 id,混合加入后就是:bawsclzn2021id

最后,添加一套变化规则

比如把 2021 里的 21 变成按 Shift 键之后的特殊字符 @! ,也就是:bawsclzn20@!id。又比如把密码的第 2 位和倒数第 2 位字母变成大写字母,也就是:bAwsclzn20@!Id

i28_基础密码变形法

如此一来,我们就得到了一套适用于多个网站,且看似乱码实则安全容易记的密码清单了。

可是,这套密码清单算不上绝对的安全。

首先,黑客也不傻,只需要对比两三个样本后,变化规则就被看穿了。其次,如果某个网站需要改密码,那么就会在原来的规则之上增加例外规则,例外规则多了,密码管理也就混乱了。

2、密码管理工具法

于是,另一种完全不用记密码,甚至不需要任何技术的方法出现,也就是使用密码管理工具。

它的思路是,让每个网站都有一个独立的随机密码,然后将这些密码保存起来,需要时就会自动填充,我们只需要记住一个主密码就行。

现在各大浏览器都有密码管理功能,但就但就功能,安全以及多平台通用能力来看,还是第三方密码管理工具更加好用,比如有 BitWarden、EnPass、Lastpass、KeePass 和 1PassWord 等等。

i28_密码管理工具

你要问安全不安?

这些密码管理工具采用了 AES-256 这类极高的加密算法,除非量子计算机出来,否则完全没有暴力破解的可能。

你要问要钱不要钱?

密码管理工具的选择有很多,免费付费的都有,BitWarden 是目前最适合一般用户的选择,开源免费不说,上手还极其的简单。

三、如何做好密码管理

下面我们来讲讲如何使用 BitWarden。

1、快速登录

如果是个人电脑,可以设置 BitWarden “从不退出”。

而如果是公司电脑,那么可以用 PIN 码的登录方式,手机端还支持 TouchID、FaceID 这样的生物识别技术,很方便。

i28_登陆方式_自动登录

2、自动填写密码

使用右键菜单,又或者使用快捷键 Alt+L(可自定义)就可以手动填写密码。

勾选“设置—> 选项—> 启用页面加载时的自动填充”,拓展就会自动填写密码,省去了选择的烦恼。如果出现不能保存的情况,那么需要点击右上角的“+”图标手动来添加。

i28_登陆方式_自动填表

至于想登陆 QQ 等客户端软件时,使用快捷键 Alt+K 打开密码库,复制密码,然后粘贴到登陆窗口就可以了。

3、自动填写表单

BitWarden 的自动填表功能包括 4 类:登陆、支付卡、身份、安全笔记。

登陆:

用于保存网站的帐号和密码,最主要用的就是这个。

支付卡:

用于保存信用卡信息,国内一般很少用到,可以忽略。

身份:

用于保存注册帐号时的身份信息。

安全笔记:

用于保存私密信息,比如银行卡卡号、软件序列号等之类的都可以保存在这里。

i28_登陆方式_填表类型

这里特别讲一下“身份”这一栏。

在注册帐号时,我们需要输入用户名、电子邮箱、姓名、地址等信息,如果事先将这一套“身份”信息保存起来,注册时就会自动填写,需要区分大号大号时,还可以设置多套“身份”信息。

4、主密码忘记了怎么办?

BitWarden 有密码提示的功能,通过邮件可以获得。

但如果你连密码提示都不记得了,那就只能通过邮件将 BitWarden 帐号删除,然后你注册过的网站密码,可以通过“忘记密码”找回,所以千万别忘记主密码。

5、公共场所登录怎么办?

比如需要在网吧、图片馆、别人电脑等非私密场合登录,那么使用手机端的 “Send” 功能。

也就是将密码以“链接”的形式分享出去,设置链接的有效期为访问 1 次后失效,这样就不用担心密码会泄漏的问题。

i28_Send

6、无法自动填写怎么办?

一些网站或客户端无法自动填充密码,也无法粘贴密码,但好在这样的网站极少,如果真遇到了,那就用“基础密码变形法”手动设置一个密码吧。

结尾

可以说,能做到这些,这一辈子就几乎不会有密码安全,以及密码记不住的问题了,如果有其他的问题,欢迎在评论区里留言,我会尽可能的回复。

最后,如果再有人经常密码被盗,再有人记不住密码,那就把这篇文章发给他…

i28_参考资源

最后

  1. 欢迎关注奶酪 公众号 获取奶酪所有的原创资源,比如回复关键字 i28 可获取本文提到的资源。
  2. 欢迎订阅我的 “奶酪书签专业版”,15年沉淀,超过 5000 个分类井条有序的好用实用 html 网站书签。
  3. 本文由「奔跑中的奶酪」原创创作,欢迎订阅、留言和 打赏,也欢迎引用和转载,但要注明出处。
注:本文由 奔跑中的奶酪 作者:奔跑中的奶酪 发表,其版权均为作者所有,如需转载,请注明作者名字以及文章来源。
70
avataravatar

评论:

11 条评论,访客:11 条,站长:0 条
  1. avatar
    (´・_・`)发布于: 

    我的密码要6亿年才能破解,你们呢?

  2. 奔跑的?
    奔跑的?发布于: 

    last pass不7是免费同步了吗?

  3. 一个平凡人
    一个平凡人发布于: 

    从入门到熟练:KeePass全网最详使用指南:https://post.m.smzdm.com/p/713042/

    这是在网上看到的很详细的KeePass介绍!

  4. 麦坤
    麦坤发布于: 

    文章最后一句话,让我对密码管理变得瞬间简单了。 基础密码告诉他,我是帅哥,让他琢磨去吧,哈哈

  5. Jesse
    Jesse发布于: 

    最近换了Bitwarden,感觉还不错啊

    • avatar
       发布于: 

      用了奶大的浏览器后我开始用bitwarden,把lastpass的密码全部导过来了,但是我发现bitwarden好像不会自动弹记录密码?我也没找到相关的自动填充

      • Jesse
        Jesse发布于: 

        好像是只能用鼠标点……

  6. FL
    FL发布于: 

    那么enpass是不是等同于1password?

      • FL
        FL发布于: 

        我说的是密码数据处理的方式,两家应该是差不多吧,还是enpass安全性差很多?

发表评论