หนึ่งในผู้อ่านของผมถามว่า โฮ Dedoimedo คุณจัดการรหัสผ่านอย่างไร? คำถามนี้กลายเป็นไอเดียเบื้องหลังบทความนี้ ซึ่งผมอยากให้มุมมองของผมเกี่ยวกับการจัดการรหัสผ่าน คล้ายกับคู่มือ backup ของผม จุดประสงค์ของชิ้นงานนี้ไม่ได้เป็นการบอกคุณว่าทำอะไร แต่มากกว่านั้นคือช่วยให้คุณคิดค้นโซลูชันที่ดีที่สุดที่ตรงกับความต้องการของคุณ คลือแบบไปพบจิตแพทย์ แค่ดีกว่า
ดังนั้น ผมจะไม่บอกจริงๆ ว่าผมทำกับรหัสผ่านของผมอย่างไร นั่นไม่เกี่ยวข้อง เพราะคนเดียวที่ต้องรู้รหัสผ่านของคุณคือคุณ และวิธีการของผมไม่ช่วยคุณในแง่นั้นเลย ซึ่งเป็นเหตุผลที่ผมจะส่วนใหญ่ถามคำถาม ตกลงไหม? ตามผมมา
หมายเหตุ: Tony Werman, flickr.com, ภายใต้ CC BY-SA 2.0
สามเงื่อนไขของการจัดการรหัสผ่าน
คุณอาจอ่านคู่มือออนไลน์เป็นพันล้าน รหัสผ่านยาว สั้น ซับซ้อน online vaults การเข้ารหัส two-factor authentication และ那些 本质上 你的密码管理归结为三件事:
คุณพยายามป้องกันอะไร?
คุณเป็นคนฉลาดทางเทคนิคไหม?
คุณสนใจสิ่งที่จะเกิดกับบัญชีออนไลน์ของคุณหากคุณตายไหม?
ความเสี่ยง
原来 人们 可能不一定 理解风险 或 损害 或 损害的风险 如果有人偷走那些密码 这不是简单 或 直接的 事情 你可能认为你的个人电子邮件充满了愚蠢的电子邮件和照片 对任何人都不真正有趣 真相是 它不是 但 那个 电子邮件 可能 被用来 恢复 其他 服务 的 密码 这是人们 经常 做的 然后 它 变得 有趣 信息 传播 和 最终 汇聚 的 方式 非常 重要
หมายเหตุ: รูปภาพจาก Wikimedia, ภายใต้ CC BY-SA 3.0.
เพิ่มเติม ผู้อาจสมมติว่ามีใครนั่นนั่นกำลังพยายามแฮ็กเข้าระบบและขโมยของพวกเขา นี่คือ ultra-classic case ของ Unwarranted Human Importance (USI) syndrome ผู้คนเพิ่มความสำคัญมากเกินไปให้กับการกระทำและสภาพแวดล้อมโดยรอบของตนเอง จริงๆ แล้ว อินเทอร์เน็ตเป็นระบบที่ well-oiled, mechanized มี automation และ chaos มากมาย ที่คุณมีโอกาสเป็น random victim ของความโง่ เข้าใจผิด หรือ negligence ของตัวเอง เท่ากับโอกาสถูกละเมิดโดย stranger นิรนามที่ปฏิบัติต่อ social stigma และ Hollywood expectations ของคุณ คุณจะนادرๆ ต้องกังวลเกี่ยวกับ individual hax0rz ที่ทำความพยายามทั้งหมดเพื่อทำลายคุณ Personal targeting 属于 important people 而你不重要
ความเชี่ยวชาญทางเทคนิค
สำหรับคนส่วนใหญ่ วิธีแก้ง่ายๆ สำหรับการจัดการรหัสผ่านคือ ปากกาและกระดาษ และจริงๆ แล้ว ถ้าคุณคิดมันทำให้ sense มากกว่าการมี online account พร้อม master password และ two-factor authentication เพราะ non-techies จะไม่อยากกวนกับ discipline ที่จำเป็นในการใช้เครื่องมือเหล่านี้ ดังนั้นพวกเขาจะใช้ในลักษณะ shoddy ซึ่งทำให้ชุดเทคโนโลยีที่มีประโยชน์กลายเป็นชุด vulnerabilities และ exposure vectors ที่ไม่มีส่วนช่วยด้านความปลอดภัย
Tools ต้อง match ผู้ใช้ของพวกเขา KeePass และ LastPass 聽起來像 great utilities และพวกมันเป็น แต่ไม่ใช่สำหรับคนที่ใช้ Google แทบไม่ได้ มีวิธี superior ช่วยประชาชนทั่วไปให้รหัสผ่านปลอดภัย โดยไม่ต้องบังคับให้พวกเขาใช้ techno jargon
ความตาย
สุดท้าย หากคุณหมดอายุก่อนเวลา จะเกิดอะไรกับอีเมลบัญชี ของคุณ online storage cloud และสิ่งอื่นๆ? สมาชิกครอบครัวและเพื่อนจะสามารถ retrieve ข้อมูลส่วนตัว หรืออย่างน้อย claim ในชื่อคุณได้ไหม?
นี่คือการพิจารณาอีกอย่างสำหรับการจัดการรหัสผ่านของคุณ แน่นอน คุณสามารถมี two-form authentication สำหรับเมลของคุณกับ 63-letter passwords และ fingerprint scanning และ那些 但在某种程度上 工具ที่ออกแบบมาเพื่อป้องกันการเข้าถึงข้อมูลร้ายแรง จะป้องกันครอบครัวและเพื่อนของคุณจากการ retrieve ข้อมูลหลังความตายของคุณด้วย หากโทรศัพท์ของคุณใช้ fingerprint scanner แล้วคนอื่นจะไม่สามารถปลดล็อกได้ และดังนั้น พวกเขาจะไม่ได้รับ access code สำหรับบัญชีออนไลน์ของคุณ และพวกเขาจะไม่สามารถ login ได้ แม้พวกเขาจะรู้รหัสผ่าน ซึ่งพวกเขาจะไม่รู้ เพราะคุณจะเก็บไว้ใน crazy, secure manner ที่ล็อกทุกคน בחוץ
หมายเหตุ: รูปภาพจาก Wikimedia, ภายใต้ CC BY-SA 3.0.
所以你的考虑也应该包括一个大多数人不愿思考的场景 那就是死亡 你能否可靠地将个人数据传给亲人 即使你不在身边指导他们如何使用双重和三重加密 如何挂载外部卷 在这里签名 在那里签名 和那些
延伸ของสถานการณ์ความตายคือความสามารถในการจดจำรหัสผ่าน คุณสามารถจดจำรหัสผ่าน 29 ตัวที่แตกต่างกันสำหรับ 29 เว็บไซต์ที่แตกต่างกันได้อย่างน่าเชื่อถือไหม เพื่อที่คุณจะสามารถใช้งานจริงโดยไม่ comprise บน best practices บางอย่างที่คุณอ่านออนไลน์?
คนส่วนใหญ่ไม่สามารถ ซึ่งเป็นเหตุผลที่พวกเขาจะใช้ single password บ่อยครั้ง และเรากลับไปที่คำถามของ risk และ exposure และสิ่งที่เกิดขึ้นหากความปลอดภัยหรือความเป็นส่วนตัวของคุณถูก compromised ซึ่งเป็นเหตุผลที่เราต้องพูดคุยว่าจะจัดการอย่างไรอย่างเหมาะสม
คำแนะนำที่สมเหตุสมผลบางอย่าง
ตอนนี้เราได้พิจารณาทุกอย่างแล้ว มาดูว่าอินเทอร์เน็ตมีอะไรให้ บริบทส่วนใหญ่ของ password management tips และ tricks จะหมุนรอบ:
ใช้รหัสผ่านที่ซับซ้อน ยากที่จะเดา หรือทางเลือกคือ ยาว จดจำได้
ใช้ two-factor authentication
อย่า reuse รหัสผ่าน
เปลี่ยนรหัสผ่านบ่อยๆ
ใช้ secure connections เมื่อ login
นี่คือพื้นฐาน ตัวเองพวกมัน meaningless หากคุณไม่ apply เข้ากับ use case เฉพาะของคุณ จำไว้ คุณไม่สามารถควบคุมสิ่งที่คนอื่นทำ คุณไม่สามารถตัดสินใจได้ว่ามีใครอยากแฮ็กคุณหรือไม่ คุณไม่สามารถ guarantee 100% ได้ว่าระบบของคุณจะไม่ถูก compromised อย่างไรก็ตาม คุณสามารถประเมิน risk และ needs ของคุณ และทำงานตามนั้น
นอกจากนี้ มี dimension อีกมิติหนึ่งที่ต้องพิจารณา - damage control หากหนึ่งในสาม building blocks ของคุณถูก compromised ในทางใดทางหนึ่ง คุณสามารถ contain หรือ eliminate ปัญหาได้เร็วแค่ไหน? อีกครั้ง การพิจารณาหมุนรอบสิ่งที่เกิดขึ้น ก่อน ระหว่าง และหลัง incident และจำไว้ incident อาจเป็นการหกกาแฟบนแล็ปท็อปที่คุณเก็บรหัสผ่านไว้ และตอนนี้คุณไม่สามารถ retrieve พวกเขาได้
Damage control
好 你想能够可靠地使用你的密码 并且你想让别人未经你许可无法访问它们 这说得通 对所有类型的用户和所有类型的数据敏感度
เพื่อป้องกัน unauthorized access คุณต้องเก็บรหัสผ่านให้ปลอดภัย ตอนนี้มีสองสถานที่หลักที่คุณสามารถเก็บรหัสผ่าน - offline หรือ online Offline หมายถึงไม่ได้อยู่บนคอมพิวเตอร์ คือ หัวของคุณ หรือ กระดาษ หรือ คอมพิวเตอร์ที่ disconnected และ online หมายถึงบนคอมพิวเตอร์ที่สามารถเข้าถึงจาก network ในกรณีหลังนี้ จากมุมมุมทางเทคนิคบริสุทธิ์ รหัสผ่านของคุณอาจถูกเข้าถึงจากอินเทอร์เน็ต อาจเป็นงานยาก และความน่าจะเป็นอาจต่ำ แต่ในทางสถิติ มันเป็นไปได้
หากคุณต้องการเก็บรหัสผ่านในรูปแบบดิจิทัล พวกเขาควรได้รับการป้องกัน หมายความว่าคุณต้องใช้某种机制 将 密码 从 肉眼 隐藏 并且 如果 有人 抓住 你的 磁盘 数据 将 无意义 这 意味着 加密 这 意味着 technical expertise 和 post-death complications
此外 即使 你 保持 数据 安全 你的 input terminal - 你的 笔记本电脑 你的 手机 或 任何 其他 设备 理论上 可能 被 compromised 没有任何 数据丢失 在 最坏 情况 下 从 纯粹 技术 角度 你 可能 有 keylogger 安装 然后 即使 你 明智 地 管理 密码 按键 可以 被 拦截 并且 其他人 可能 有 访问 你的 在线 账户
หมายเหตุ: รูปภาพจาก Wikimedia, ภายใต้ CC BY-SA 2.0.
นี่หมายความว่า คอมพิวเตอร์ของคุณเอง อาจเป็น weakest link - มากกว่าวิธีที่คุณจัดการรหัสผ่าน แต่เราจะจัดการชิ้นนั้นในหนึ่งช่วง ความปลอดภัยของคอมพิวเตอร์เป็นหัวข้อที่แตกต่างทั้งหมด และเราได้พูดถึงในอดีต ไม่มีอะไรเฉพาะเจาะจงกับรหัสผ่านในกรณีนี้ หากคุณ mismanage resources ของคุณ คุณจะจบลงกับ data leak นี่อาจเป็น phishing, ความโง่, ความเกียจคร้าน, ติดตั้ง random crap และ那些 密码 可能 是 许多 potential data pieces 中 可以 丢失 的 一個 所以 你 需要 做 的是 确保 你 保持 你的 机器 安全 就这么 简单 如果 没有 crap 就 没有 苍蝇 我爷爷 曾经 说 不是 真的 但 是 一句 好 话
แต่ถ้าคุณไม่สามารถทำได้จริง คำถามต่อไปคือ ถ้ามีคนมีรหัสผ่านของคุณ คำตอบคือ two-factor authentication ซึ่งทำให้ครึ่งหนึ่งของข้อมูลไหนไหนก็ตาม useless แต่วิธีนี้ cumbersome คุณต้องเป็น advanced user และแล้ว technology ของคุณกลายเป็น limiting factor ถ้าคุณสูญเสียโทรศัพท์ไหม? ถ้าคุณตายและครอบครัวไม่เข้าใจ authentication method ใหม่นี้? 如你所见 就在线数据访问而言 我们有:
online --> plain|encrypted passwords --> keylogging
--> two-factor auth
เรายังไม่ได้พูดถึง offline แค่ตอนนี้ ตอนนี้ old security practice ของไม่เคยเขียนรหัสผ่านลงกระดาษ เป็นจริงสำหรับ offices และ corporate environments มัน meaningless สำหรับ home users หากใครบุกเข้าไปในบ้านของคุณ พวกเขาอาจไม่แคร์ random pieces of paper และถ้าพวกเขาแคร์ พวกเขาอาจไม่สามารถ map พวกมันไปยัง online stuff ของคุณได้ง่าย เว้นแต่คุณถูก target แต่แล้ว นั่นคือ very unlikely scenario
ดังนั้น การเขียนสิ่งของลงกระดาษจริงๆ เป็นสิ่งดี คุณสามารถใช้รหัสผ่านยาวมาก คุณสามารถแชร์กับเพื่อนและครอบครัว ความท้าทายทางเทคโนโลยีต่ำ และไม่มีใครสามารถขโมยสมุดบันทึกกระดาษจากอินเทอร์เน็ต วิธีนี้ไม่แก้ไช่ computer security piece ดังนั้นเรามี:
offline --> keylogging --> two-factor auth
เรามองเห็นว่าตรรกะชี้ไปที่ two-factor authentication ซึ่งจริงๆ แล้ว rule out ผู้ใช้ส่วนใหญ่ เพราะพวกเขาไม่ฉลาดพอที่จะ implement มันอย่างน่าเชื่อถือ และมันยังทำให้ post-mortem use ซับซ้อน ซึ่งเป็นเหตุผลที่คุณต้องคิดหนัก คุณกลัวอะไรมากกว่า? การแฮ็กออนไลน์ หรือ ความตายของตัวเอง? คุณแคร์มากกว่า malware หรือ การทิ้ง legacy ที่สมเหตุสมผลไว้?
Server side games
จนถึงตอนนี้ เราแค่พูดถึง home piece แต่มีสองด้านของเหรียญนั้น ของคุณเอง และ server ที่คุณ login เข้าไป และนี่เปิดช่วงใหม่ของคำถามและปัญหาและความเป็นไปได้ จริงๆ แล้ว การแฮ็ก servers มีกำไรมากกว่า เพราะคุณสามารถ glean พันหรือล้านรหัสผ่านใน one fell stroke แทนที่จะเสีย effort บน individual targets นี่คือสิ่งที่เราอ่านในข่าวล่าสุด การละเมิดข้อมูลกับบริษัทใหญ่ที่ไม่ได้ implement proper security measures
อีกครั้ง คุณมี control เพียงบางส่วนของทั้งหมดนี้ คุณสามารถ确保你在 secure (HTTPS) connections 上登录 但你可能并不总是知道 这 特别是 在 你的 手机 上 和那些 你 可以 确保 遵循 各种 best practices 但 你 无法 防止 公司 被 hacked 和那些
这就是为什么我们回到 damage control 的问题 如果 数据库 被 hacked 并且 所有 用户 都 被 compromised 你 通过 你的 密码 管理 政策 承担 多少 额外 的 风险? 所以 如果 你 对 所有 在线 账户 使用 相同 的 用户 和 密码 那么 是的 在 理论 上 如果 这些 凭据 被 暴露 那么 有人 可以 访问 你 的 所有 东西 拥有 不同 的 密码 - 以及 用户 - 是 有意义 的 Non-personal aliases 也 可以 帮助 匿名化 你 并且 你 会 在 哪里 存储 这些 用户名? Online 或 offline? 我们 回到 square one
หมายเหตุ: รูปภาพจาก Wikimedia, ภายใต้ CC BY-SA 3.0.
所有以上 与 你的 密码 有多 强 或 容易 记忆 无关 他们 都 讨论 数据 违规 的 可能性 和 你 可以 在 之前 期间 和 之后 做 什么 忘记 原因 为什么 这 可能 发生 它 将 发生 唯一 重要 的 是 你 做 了 什么 来 最小化 损害 你 可以 在 问题 进行 中 做 什么 和 问题 解决 后 为 你 做 什么
如果 你 明智 那么 你 将 投资 尽可能 多的 能量 在 链条 中 最早 的 环节 因为 越早 行动 越便宜 成本 如果 你 准备 好 那么 即使 有 问题 你 可能 不 真的 在意
在 client side 意味著 smart security 所以 你 不需要 担心 data compromise 具有讽刺意味的是 不太可能 被 hacked 的 人 是那些 更 可能 使用 two-factor authentication 的人 一种 旨在 最小化 haxorology 几率 的 方法
最后 意味著 offline 或 online password storage 的 选择 和 最小化 你 将 在 服务器端 问题 发生 时 承受 的 损害 换句话说 对 你的 各种 在线 账户 使用 不同 的 名称 和 密码 这 是 一种 痛苦 但 那么 你 在 街上 行走 时 向 每个人 广告 你的 身份 吗? 不 那么 为什么 你 想 在 网上 做 那件 事?
总结来说 没有 silver bullet solution
记住一切
但 密码 不 关乎 安全 部分 是的 但 有 更 重要 的 理由 来 好好 管理 它们 你 的 大脑 如果 你 忘记 它们 你 完蛋 如果 你 埋葬 它们 在 某个 地方 那么 深 你 找不到 它们 你 完蛋 如果 你 死 它 都 没了
安全 实际上 作为 概念 高度 高估 它 是 在线 世界 的 一部分 但 就像 没有 理由 在 日常 生活 中 感染 性传播疾病 一样 没有 理由 摸索 恶意软件 明智 一点 你 可以 避免 网络 的 那一边 再次 计算 的 悖论 那些 需要 这 个 建议 的 人 不会 读 这篇 文章 它 只会 是 nerds 滚动 浏览 享受 他们 已经 在做 的 事情 的 肯定
所以 安全 人们 投资 这么 多 在 它 身上 但 有 更 紧迫 的 事情 像 数据 备份 你 被 hacked 的 几率 低 你 丢失 硬盘 的 几率 100% 这就是 人们 忘记 的 东西
关于 密码 也是 同样的 事情 你 将会 忘记 它们 你 将会 misplace 它们 你 将会 死 所以 让 它们 有用 和 实用 这 实际上 是 对 原始 请求 的 回答 一个人 如何 明智 地 管理 密码?
而 答案 是 - 我 没有 一个 什么 将 驱动 你 的 考虑 是 你 如何 确保 你 在 需要 时 记住 你 的 密码? 和 通过 记住 我 是 指 你 可以 找到 它们 无论 在 脑细胞 里 或 旧的 混乱 纸 在 某个 地方
论点 complex 对比 long passwords 浮现 确实 有 hax0ry password 是 all l33t 和 cool 和 rad 但在 现实 中 除非 你 被 人类 target 那些 长 且 容易 记忆 的 密码 在 统计学上 数学上 是 更 明智 的 方法 对 绝大 多数 人 他们 可以 容易 记忆 歌词 或 地方 或那些 但 他们 当然 不能 掌握 那些 我们 nerds 强加 给 他们的 大小写 特殊 字符 胡说八道
边缘 利益 是 如果 密码 管理 过程 是 有趣 的 那么 人们 将 更 可能 坚持 它 和 维持 一些 discipline 就 跟着 你 最喜欢 的 电影 写 一个 清单 并 享受 它 聽起來 简单 和 有效 并 记住 我 不 是 在 提倡 这 个 因为 你 需要 找到 你 自己的 方式 来 确保 你 的 密码 的 legacy
永远 不要 忘记 password management 的 三角形 Risk Technology Death 你 的 歌 可能 high 和 mighty 但 如果 没人 能 猜到 你 把 它们 存在 一个 标题 为 pr0n.txt 的 文件 在 隐藏 文件夹 里 那么 它们 就 meaningless 对吧?
สรุป
如你所见 你可能会被这篇文章挫败 我将在没有提及任何特定应用程序或技术的情况下结束这篇文章 这是因为给建议太容易了 并且当你必须是应用它的人时 它毫无意义 就像 proverbial shrink 我将留给你一些 blue balls 的 密码管理 武装 一个 golden recipe 的 思考 和 推理 这应该给你你需要的工具
评估 你的 情况 基于 三个 关键 参数 一旦 你 知道 几率 你 就 知道 最弱 环节 加强 它 首先 然后 向上 工作 梯子 最小化 损害 期望 它 将 发生 使用 技术 来 帮助 你自己 和 你的 家人 而不是 创建 一个 impressive 但 meaningless 堡垒 的 pointless security 你 不像 你 认为 的 那么 重要 并且 有 一百 件事 将 在 你 被 hax0rized 之前 发生 而 你 忽视 它们 全部 因为 你 访问 security forums 太多
为了 包装 这 起来 管理 密码 意味著 一点 工作 特别是 如果 你 使用 不同 的 账户 名称 和 密码 但 它 可以 在 可持续 的 方式 下 完成 你 只 需要 找到 一个 符合 你 的 生活 期望 technobabble skillz 和 失去 一切 给 任性 好奇心 大胆 愚蠢 和 普通 磁盘 故障 的 风险 的 方式 我们 完成 了 恨 我 如果 你 想 如果 你 在 找 建议 像 使用 XYZ 2.0 和 MyP@ss 17.3 那么 看 其他 地方 我们 在这里 学习 如何 思考! 结束
P.S. The brain memory image is in public domain.
ขอแสดงความนับถือ
