在哪里与密码管理器划清界限？

Question

我刚刚开始使用密码管理器，我想知道在软件中存储的内容在哪里是最好的做法。

理想情况下，我可以存储Windows/Unix用户密码、远程服务器的sudo密码、SSH密钥的密码、电子邮件帐户密码和网上银行密码以及网站的密码，但是在密码管理器中保存这些密码是安全的吗？

Answer 1

当您使用密码管理器时，您正在创建一个单一的失败点。如果您将所有密码存储在一个系统中，并且该系统被破坏，那么您的所有密码都会被公开。这和单点登录问题是一样的。但是，您可以在不同的主数据库中存储不同的密码集，以便在可能的情况下提供一些隔离。您也可以将较少使用或更安全的密码脱机存储在USB磁盘上。

另外，作为澄清的一点，您希望确保您使用的是加密的密码管理器(例如，KeePass，而不仅仅是内置在管理器中的内容。我也对基于web服务的密码管理器持怀疑态度，因为您不知道您是否可以信任您的浏览器进行输入，信任您的网络进行传输，还是信任提供商进行安全存储。如果你使用像dropbox这样的东西同步你的数据库，也有一个更有限的风险，但这只是因为它在更多的地方--尽管这确实防止了如果你丢失了你唯一的密码数据库的拷贝，发生自我造成的DoS的风险。

使用大多数加密的密码管理器，您可以通过设置超时来进一步限制暴露，这些超时会在时间框架之后、屏幕保护程序继续运行或手动锁定系统时锁定数据库。您还可以根据软件兼容性应用多因素身份验证，如证书、智能卡、生物识别技术。您还希望确保加密是强的，并且已正确实现。您应该保持在您的密码管理器开发人员的网站上的任何安全更新，等等。

当然，如果有人要使用浏览器的存储或不加密或弱加密(密码保护的excel文件)之类的内容，那么您就或多或少地将密码存储在明文文件中。

Answer 2

我把所有东西都存储在密码管理器上。我喜欢单点失败的想法，它大大简化了保护我的数据的整个过程。

我记性很差。非常可怕。对于我使用的每一项服务，密码管理器的替代方案可能是弱密码。这显然是一件非常糟糕的事情。我使用密钥文件将所有随机生成的密码保存在密码数据库中。

如果你采取一些预防措施，这应该是相当安全的。不要在不受信任的计算机上打开密码数据库。如果您为隐藏在机器中的漂亮的小键盘记录器解锁数据库，那么世界上所有的加密都不会拯救您。