密码管理最佳实践
本文约需 9 分钟阅读
随着在线服务使用量的增加，需要管理的密码数量也变得庞大。电子邮件、社交媒体、网上银行、购物网站、办公工具 - 一个人拥有数十甚至上百个账户并不罕见。根据 NordPass 2024 年的调查，普通互联网用户管理的密码约为 168 个，且这一数字逐年增长。截至 2025 年，虽然通行密钥正在逐步普及，但大多数服务仍以密码认证为主，妥善管理密码的重要性不变。本文将介绍安全高效管理这些密码的实用方法。
密码重复使用的危险性
不少人因为"记不住"而在多个服务中重复使用同一密码。然而，这是最大的安全风险。关于人们为何倾向于重复使用密码的心理机制，请参阅密码行为心理学。Google 与 Harris Poll 2019 年的联合调查显示，65% 的受访者在多个服务中重复使用同一密码。
如果某个服务的密码泄露，攻击者会利用该信息尝试登录其他服务。这被称为"凭证填充攻击"。这种攻击成功率高的原因在于人类的行为模式。许多用户将电子邮件地址用作用户名，并在多个服务中重复使用同一密码，因此一次泄露就会引发连锁损害。根据 Verizon 2024 年数据泄露调查报告 (DBIR)，约 31% 的 Web 应用攻击使用了被盗凭证，密码重复使用是损害扩大的主要原因。
对策很简单：为每个服务使用不同的密码。使用 passtsuku.com 的批量生成功能，可以一次生成多个密码，省去每次注册新服务时逐个准备密码的麻烦。关于重复使用的风险和具体攻击手法，请参阅密码重复使用为何危险。
利用密码管理器
为每个服务使用不同的随机密码时，人类的记忆力自然无法应对。这时就需要密码管理器。
密码管理器的工作原理
密码管理器是一种专用工具，通过加密安全地保管所有密码。用户只需记住一个"主密码"，密码管理器会自动填充各服务的登录信息。
在内部，通过密钥派生函数 (PBKDF2 或 Argon2) 从主密码生成加密密钥，然后使用 AES-256 等强加密算法对整个保管库进行加密。这种机制确保不知道主密码的第三方无法读取保管库内容。大多数产品采用"零知识架构"，即服务提供商本身也无法解密用户密码。
管理方法比较：专用应用 vs 浏览器内置 vs 手动管理
密码管理方法大致分为三类。了解各自的特点，选择适合自己使用环境的方法非常重要。
| 管理方法 | 安全性 | 便利性 | 费用 | 推荐对象 |
|---|---|---|---|---|
| 专用密码管理器 | 高 | 高 | 每月 3-5 美元 | 使用多设备/浏览器的用户 |
| 浏览器内置保存功能 | 中 | 高 | 免费 | 仅使用一个浏览器的用户 |
| 纸质记录（保险箱保管） | 中 | 低 | 免费 | 不熟悉数字工具的用户 |
| 电子表格/文本文件 | 低 | 中 | 免费 | 不推荐（无加密） |
专用密码管理器可以在加密保管库中集中管理，并能跨浏览器和操作系统同步。部分产品还提供安全审计和暗网监控功能。浏览器内置保存功能免费且易用，但跨浏览器同步有限制，需注意恶意软件窃取浏览器配置文件的风险。详情请参阅浏览器密码保存功能的安全性。纸质记录因离线而不受远程攻击影响，但存在物理丢失或被盗的风险。电子表格和文本文件因未加密而不推荐使用。
从实际角度来看，使用多个浏览器和设备的人最适合使用专用应用。如果只使用一个浏览器，内置功能也足够，但考虑到将来迁移的麻烦，尽早统一使用专用应用是明智的。关于初创企业和小型团队的密码管理体系建设，请参阅初创企业安全检查清单。密码管理器指南 (Amazon)也可供参考。
如何创建主密码
密码管理器的主密码是保护所有密码的最后防线。它需要具有足够的强度，同时又是只有你自己能记住的。
推荐的方法是在 passtsuku.com 上生成 20 个字符以上的密码，通过强度计确认熵达到 100 位以上，然后写在纸上保存在安全的地方。通过记录在物理纸张上而非保存为数字数据，可以排除在线攻击的风险。在记住之前参考纸张，完全记住后安全销毁纸张。
为每个服务使用不同密码的技巧
密码分类与优先级
并非所有密码都需要相同的强度。根据服务的重要程度进行如下分类，管理起来会更方便。这种分类基于密码泄露时的损害程度。电子邮件账户最为重要，因为几乎所有服务的密码重置都通过电子邮件进行，一旦邮箱被入侵，其他账户也会连锁遭到侵害。
- 最重要：电子邮件账户、金融服务、密码管理器 - 20 个字符以上，4 种字符类型
- 重要：社交媒体、云存储、办公工具 - 16 个字符以上，4 种字符类型
- 一般：新闻网站、论坛、临时注册 - 12 个字符以上，字母数字
在 passtsuku.com 上，可以根据服务的重要程度轻松切换字符数和字符类型。从重要账户开始，依次更新为强密码吧。
通过批量生成提高效率
passtsuku.com 的批量生成功能可以设置生成数量为 1 到 50。例如，如果想一次更新 10 个服务的密码，将生成数量设为 10 进行批量生成，然后分别分配给各个服务。生成的密码都是不同的随机字符串，每个都具有独立的强度。
关于定期更换密码的思考
过去认为"密码应每 90 天更换一次"，但现在安全专家的观点已大幅改变。美国国家标准与技术研究院 (NIST) 的 SP 800-63B 指南明确指出，对于足够强的密码，不需要定期更换。这一政策转变的背景是卡内基梅隆大学研究团队 2010 年发表的调查结果。被强制定期更换密码的用户倾向于只对原密码做微小修改（如将末尾数字加 1），由于攻击者可以预测这种模式，因此实际上并不能提高安全性。
但是，在以下情况下应立即更改密码：
- 你使用的服务报告了数据泄露
- 收到可疑的登录通知
- 密码可能已被他人知晓
- 在钓鱼网站上输入了密码
常见误解："把密码写在纸上很危险"是真的吗？
"绝对不能把密码写在纸上"这种观念根深蒂固，但这是忽略具体情况的过度概括。在办公室显示器上贴便签当然不行，但如果保存在家中的保险箱或带锁的抽屉里，可以完全阻断远程攻击，比保存在未加密的文本文件或电子表格中更安全。
安全的本质是基于"威胁模型"做出判断。对于普通个人用户来说，最大的威胁是在线攻击，而非物理入侵。纸质记录完全不受恶意软件感染、钓鱼攻击、云服务泄露等在线威胁的影响。重要的是保管场所的物理安全性，"纸 = 危险"这种简单等式并不准确。
密码管理实践清单
以下是安全密码管理的检查清单。逐一确认，如果还有未完成的项目，从今天开始改进吧。项目按优先级从高到低排列。
- 为每个服务使用不同的密码
- 已引入密码管理器并日常使用
- 主密码足够强（20 个字符以上，100 位以上的熵）
- 最重要的账户（邮箱、金融）已设置 20 个字符以上的随机密码
- 在支持的服务上启用了两步验证
- 没有将密码以明文保存在记事本或电子表格中
- 确认数据泄露新闻后，及时更改相关服务的密码
- 定期通过 Have I Been Pwned 等服务检查自己的电子邮件地址是否出现在泄露列表中
- 删除或停用不再使用的服务账户
利用 passtsuku.com，可以轻松实践这些对策。建议先引入密码管理器，从重要账户开始依次切换为强密码。密码运用实践指南 (Amazon)也很有帮助。
到底该怎么做 - 按级别的建议
初学者：先做好这 3 件事
- 在 passtsuku.com 上生成 16 个字符以上的密码，设置为主邮箱账户的密码
- 让浏览器保存密码，省去手动输入的麻烦
- 逐一更改重复使用同一密码的服务
中级用户：建立正式的管理体系
- 引入专用密码管理器，迁移所有密码
- 在 passtsuku.com 上生成 20 个字符以上的随机字符串作为主密码
现在就能做的事
- 在 passtsuku.com 上生成 16 个字符以上的密码，更改主邮箱账户的密码
- 安装密码管理器，开始注册现有密码
- 列出重复使用的密码，从重要服务开始依次更改为独立密码
- 在 Have I Been Pwned (haveibeenpwned.com) 上检查自己的邮箱地址是否出现在泄露列表中
- 为金融服务和邮箱账户启用两步验证
常见问题
- 密码管理器安全吗？
- 是的。它们在加密保管库中管理密码，比文本文件或浏览器存储更安全。但主密码的强度至关重要，请设置 20 个字符以上的随机字符串。
- 免费的密码管理器可靠吗？
- 有像 Bitwarden 这样可靠的免费方案。但跨设备同步和紧急访问等功能通常在付费方案中提供，请根据需求考虑。
- 如果密码管理器被黑客攻击会怎样？
- 主要密码管理器采用零知识加密，服务器端不存储主密码和明文数据。即使服务器被入侵，解密数据也极其困难。
这篇文章对您有帮助吗？