密码管理方案 - 具体实践
一、密码库方案选择 如果是纯苹果用户，推荐使用iCloud Keychain。 如果是跨平台、跨浏览器用户，推荐使用 LastPass 。 如果希望自建密码库，推荐使用 KeePass 。 二、使用一个好的主密码 xkcd密码生成器 分析：< 如何得到一个安全又好用的主密码 > 三、网站和浏览器设置 浏览器不保持网站的登录状态。 浏览器不保存密码的。 网站的保持登录状态功能，实质上是保存cookie，如果浏览器出现漏洞，攻击者有可能拿到你的cookie，然后冒充你的身份登录网站。我们在使用密码库的前提下，不建议让网站保持登录。 * Google Smart Lock是和Chrome浏览器集成的，如果使用Google的密码库服务，那就让Chrome保存密码。 四、KeePass的密码库属性 数据库文件加密算法换成 ChaCha20 密钥导出函数换成 Argon2 使用“1秒延迟”按钮调节参数 注： * ChaCha20和Argon2是最近版本支持的算法。某些平台上的KeePass程序还没有更新支持。 * 1秒延迟按钮是以本机运算能力来测试的。手机芯片的运算能力可能较弱，用时也较长。综合考虑确定参数。 五、KeePass常开时，密码保持星号状态 反例：如果密码呈显示状态，其它应用程序是有可能读取其内容的。 示例中的读取窗口文本工具 <Textify 官网 下载 > 切换密码星号与原文显示 快捷键 Ctrl+H 六、KeePass输入主密码使用安全桌面 七、使用越狱/root设备的注意事项 有些人喜欢使用越狱的iOS设备，或者root过的安卓设备，可以安装功能强大的插件/框架，让某些操作更高效、去广告、“翻墙”等。但是越狱/root过的设备，APP有可能拥有过于强大的能力，比如：截获短信、读取/修改其它APP的内存、读取/修改网络传输数据等。如果小心使用，是有可能安全使用的，但是这个“小心”使用要费的心思太多了。 如果一定要用越狱/root设备，建议： 把自己重要的数据与越狱/root设备分隔开，比如：银行卡的预留手机号、账号的密保/安全手机号（可用于重置密码）、手机银行APP、互联网投资/理财。 在越狱/root设备上使用单独...
