密码管理的方法｜存放位置的选择和迁移步骤

不放弃“靠记忆”，问题就解决不了

按照推荐的做法，密码应当是足够长的随机字符串，而且每个服务都要不同。同时满足这两点还要靠人脑记住，是不现实的。重复使用密码不是懒惰，而是“靠记忆”这一前提本身就不合理的结果。

• 只记一个：用来打开密码库的主密码
• 其余都保存：每个服务的密码生成后直接保存
• 也不手动输入：交给自动填充，既能防止输错，也能防止在钓鱼网站上输入

这样一来，即使某个服务泄露了信息，其他服务也不受影响。反之，如果重复使用密码，泄露的组合会被拿到其他服务上逐一尝试，损失会连锁扩大。改变管理方式，比把单个密码设得更强效果更大。

存放位置的比较

常有人断言“浏览器保存很危险”，但它比继续重复使用密码要安全得多。真正的弱点与其说在安全性，不如说在易用性：手机和电脑用的浏览器不同就用不了，在应用内的登录界面调不出来等。一旦觉得不方便，最终又会回到好记的字符串。

主密码的设置方法

主密码是密码库的钥匙，只有它必须记住。同时，它必须是在其他任何地方都没用过的字符串。要兼顾好记和强度，比起随机的符号串，把互不相关的单词连起来的密码短语更合适。

• 把4个以上互不相关的单词连起来，越不像一句话越好
• 避免生日、家人或宠物的名字、住址等可以被查到的信息
• 绝不在其他服务上使用，专门用作主密码
• 可以写在纸上保管，但要放在与设备分开的地方
• 不需要定期更换，只在怀疑泄露时更换

请避免原封不动地使用名言或动画台词。攻击者手里有已知短语的列表。条件是由自己挑选、意思上连不起来的单词排列。单词的选法和需要的数量，整理在密码短语的设置方法中。

迁移现有密码的步骤

想一次全部改掉，做到一半就会精疲力尽。请按重要程度从高到低，分几天进行。

1. 1

   ①安装密码管理器，设定主密码

   在平时使用的所有设备上安装，并设置好浏览器扩展。做到能自动填充之后，再进入下一步。

2. 2

   ②首先更改邮箱的密码

   邮箱是其他服务重置密码时使用的中枢。邮箱不安全，其他地方再怎么加固也没有意义。

3. 3

   ③更改支付·金融·社交网络的密码

   按损失金额和影响从大到小的顺序进行。用生成工具指定长度和字符种类生成新的字符串，粘贴后保存。

4. 4

   ④导入浏览器中已保存的密码

   可以把浏览器的保存列表导出，再导入到密码管理器中。导入后删除浏览器中保存的密码，并关闭保存功能，不再双重管理。

5. 5

   ⑤确保删除导出的文件

   用于导入的文件里，密码是以明文排列的。导入完成后请删除，并清空回收站。

6. 6

   ⑥其余的在每次使用时更换

   平时不登录的服务不必抢先处理。下次登录时换成新的密码，几个月后就全部替换完了。

防止无法登录的准备

管理集中到一处后，一旦无法访问那里，影响也会集中到一处。请在开始使用的当天，完成下面三件事。

1. 1

   用纸保管恢复代码

   把密码管理器的恢复密钥，以及两步验证的备用代码打印出来，放在与设备分开的地方（比如家里的文件夹）。屏幕截图会留在设备里，起不到备份作用。

2. 2

   在两台以上设备上同步

   只有手机或只有电脑的话，丢了那一台就无法登录。装在两台设备上，丢了其中一台也能恢复。

3. 3

   让家人在紧急时能打开

   很多密码管理器都有让指定的人在一定期限后访问的功能。如果没有，就只把恢复密钥的保管位置告诉可以信任的人。

最后，仅仅安装了密码管理器并不会变安全。只有当保存的密码换成“每个服务都不同的随机字符串”之后，才会见效。请把迁移和重新生成看作两件不同的事，两件都要做。

常见问题

用浏览器自带的密码保存功能就够了吗？

比继续重复使用密码安全得多。不过在跨浏览器的场合或应用内的登录界面可能调不出来，一旦觉得不便，就容易回到原来的习惯。请以在平时使用的所有设备上能否自动填充为标准来选择。

忘了主密码会怎样？

多数密码管理器不保管主密码，所以保存的内容将无法取出。设置后请立即打印恢复用的密钥或代码，放在与设备分开的地方保管。如果已经忘了，就只能在各个服务上重新设置密码。

密码需要定期更换吗？

如果每个服务都用不同的随机字符串，一般认为不需要定期更换。应当更换的时候是：收到泄露通知时、在钓鱼网站上输入过信息时、接手曾与他人共用的账号时。

应该马上把所有密码都改掉吗？

按重要程度依次进行即可。先改邮箱，再改支付·金融·社交网络，其余的在下次登录时替换。想一次全部做完往往会半途而废，留下不上不下的状态。