效率工具篇 — 密码管理器 1Password 2020/5/27 21:09

密码管理器

什么是密码管理器？

顾名思义，就是管理你密码的工具。

那么为什么会有这个密码管理器的需求？

主要有这么几个需求：

1. 密码越来越多：当前所有的互联网软件产品，或者硬件设备，都是“账号-支付”体系，一个账号都会对应一个密码，密码非常多。比如美团一个，饿了么一个，百度一个，等等等等，靠人的脑子已经记不过来了，这种情况下，普通人会怎么做？所有账号都用一个密码呗，这种情况是非常危险的。因为一旦你某一个产品的账号密码泄漏了，那么可能会导致所有的账号被破解。
   1. 因为，每个账号管理的网站安全性是不一样的，有的网站存储密码非常专业，有的网站搞不好明文存储密码，那么坑大发了，其他的网站保护的再好也白费。
   2. 如果你的一个密码泄漏破解概率的风险是 0.01（特别是有人还用 12345，qwert 这样的弱密码，那就相当于白送），如果有一百个网站账号都用这同一个密码，统计来讲，泄漏的风险就是100%（0.01*100），并且账号越多，泄漏风险越大；
2. 修改密码的强制需求：比如在公司上班，公司考虑密码的安全性，定期强制修改公司个人账号密码，密码设定要求也特别复杂，比如，历史 3 次不重复，长度大于16字符，还得有符号，有数字，有字母。这种情况下，你一个月改一次，真要让你脑子记这些。。。
3. 二次验证（Two-factor authentication）：网站现在经常有 “二次验证”（也叫一次性密码） 的需求，是需要记录一个密钥的，然后时时刻刻计算出一个一次性密码，这个也需要有个好工具才能用起来；

密码管理器就是为了解决上面三个需求出现的：

1. 所有的密码都用密码管理器来管理，每一个账号密码都不同，可以使用非常高强度随机性强的密码；
   1. 密码管理器自身使用高强度的加密算法保护你的密码信息；
2. 方便让你使用各个终端，web浏览器，不用再让你手动输入密码了；
   1. 避免你翻小本本，后面站个人偷看了去
3. 密码修改都有历史记录，可追溯历史上使用过的所有密码；
4. 支持二次验证的密钥存储和一次性密码的生成；

那么说到这里有人可能会吐槽：密码管理器本身的安全性怎么来保证？这个密码泄漏了岂不是也是一样的全丢了。

1. 首先，这里的安全性和之前提到的一号通是不一样的（多个账号用同一个密码），同样以破解概率来讲，假设这个密码破解的概率是 0.01，这个泄漏的风险是不会随着账号的增多而增大的，而其他被管理的密码都是高强度的密码；
2. 其次，所以你只需要把这一个密码管理器的密码和安全性做到极致就好了（密码特别复杂，并且随机密钥作为输入）。你可以理解成一个保险箱，我们机密的东西保存在保险箱里，那么怎么把这个保险箱的安全性做到极致就是一个讲究了，这个由工具的厂商，或者开源的贡献者们来做考量；
   1. 密码管理器使用的加密算法都是 AES-256 这样级别的加密算法，当前科技是不存在暴力破解的可能；
3. 再者，考虑到这点，所以密码管理器数据存储的位置就有讲究了，你可以把加密文件存储在本地电脑，也可以把加密文件存储到某个云，也可以直接存储某个密码管理器的服务器；

主流产品对比

先对比三款类型的密码管理器，这三款也是大家用的比较多的。

	KeePass