导航：首页 > 新闻 >

活用 NAS 私有云+密码管理软件　跨平台密码管理．一：平台大比拼

发表于：2024-04-27 作者：创始人

编辑最后更新 2024年04月27日，网络服务多不胜数，要使用个人化服务就要注册。有些人过往会"一个密码走天涯"，不过这样一旦一个网站被骇，可能会连累多个账户被连锁式骑劫，所以网络保安专家都会呼吁大家不要重用密码。不过密码多起来，不止记住

网络服务多不胜数，要使用个人化服务就要注册。有些人过往会"一个密码走天涯"，不过这样一旦一个网站被骇，可能会连累多个账户被连锁式骑劫，所以网络保安专家都会呼吁大家不要重用密码。不过密码多起来，不止记住它们有困难，连保存管理都会变得好麻烦。因此"密码管理软件"变成现代人愈来愈重要的工具。今期我们趁新年除旧迎新，打造一套适合自己的私有云密码管理方案。

一套完整的密码管理包括一个安全的密码库、一个可以跨平台使用的密码管理软件，和一个可以安全保管备用验证码等机密文件的储存空间。使用时，大家只需要记住一个主密码，甚至透过指纹认证等免密码方式就能解锁，并透过自动填写功能自动输入登入资料。

密码管理大原则

不要重用密码

《 PCM 》近年经常报道多宗网站资料泄漏的新闻，虽然大网站保存上可能会将密码先进行杂凑，但小网站就很难担保会有同样级数的保安，而且可能没有被报道出去。暗网上就充满了骇来的用户资料供买卖，用户如果"一个密码走天涯"，一旦小网站泄漏密码，骇客就可以用它到不同社交网站以至网上银行来尝试登入，后果非同小可。

密码"乱"中有法

今时今日电脑效能已经相当高，加上人工智能的帮助，一串 8 位字母只要几分钟以至几秒就能拆解，所以决定密码时一定要尽量避免字典里能完全查得到的字，而且还要混杂大小写、数字和符号，就能大大提升密码破解的难度。

当然这可能会让密码并不容易记住。简单的设计原则可以是将自己印象很深的字串和那个网站的名称按字音分拆并加入大小写，再混杂自订规则的符号和数字，例如 John 想要开个淘宝（ TaoBao ）户口，用" Jo_Tao#1234#Bao_hn "可能是不错的选择，记住一套法则比逐个密码去记容易。

多因素验证绝对要用

由于今时今日单一密码的保护效果已经愈来愈低，很多网站都会提供"双重密码"以至"多因素验证"功能，以只有账户拥有人才知道的一次性密码来验证登入。大公司可能会用上成本高的短讯来发送一次性密码，小网站站也可以整合 RFC6238 TOTP 算法，透过 Authenticator 手机软件如《 Google Authenticator 》取得一次性密码。如果你所用的网络服务有提供"多因素验证"就一定要用！

定期更换密码

密码一旦长期使用，被人猜中的机会率就会与日俱增，身边人偷看到密码的机会也很大。昔日长期不换密码的经典例子是湾仔警察总部邻接公园的后门密码，以前是不少湾仔金钟一带上班族的午饭捷径。定期更换密码可以减少密码被重用的风险，即使对方一时知道密码，过一会便不能再利用，会起到一定保护作用。

保留密码履历好重要

你有没有收过一些恐吓电邮说你的密码已被破解，要求你支付赎金？电邮中很多时还会附有其中一个你去过的网站的密码。你可能会给这种电邮吓了一跳。那个密码可能是从保安不足的小网站骇来，或者透过暗网买来。不过如你有遵守上面提过不重用密码的原则，并且每次更换密码都有保留密码履历，一旦收到这种恐吓信就可以立即查出那个密码的泄漏渠道和波及范围，从而采取适当的补救措施。

密码管理方案比较

没错，严格管理的密码一定不好记！加上数量的话根本不可能一一记下。这个时候，你需要一个帮你记住密码又容易存取的密码库。当然，现在 iPhone 的备忘录可以上锁又可以透过 iCloud 传送到手上各个 Apple 装置，看来是不错的密码库选择。不过我们对密码库还有更多要求！

存放位置

密码库放置的位置也是要考虑的地方，现时最方便的当然是专门的密码管理服务供应商，例如 1Password 之类，好处是容易管理，便携性也高，缺点是密码放在人家手上，担心对方会恶意运用，又或者因被骇客集中攻击而泄漏。放在自己家里一般的电脑对损坏的抗性不足，而且很多时要与家人共用电脑，秘密程度有限。

加密

如果密码只以平文来储存，一旦装置或档案遗失，岂不所有密码都给人看光光？！严谨的密码库所保存的密码必须要经过加密，而且最好是用上 128 bits 以上的加密算法，这样即使密码库档案被盗也没那么轻易被破解。加上使用 BitLocker （ Windows 10 Pro ）或 FileVault （ macOS ）的整碟加密就万无一失了。

macOS 的 FileVault 、 Windows 10 Pro 的 BitLocker 或 NAS 的磁盘加密，都是有效保护密码库的方法。

便携性

现代人手上有很多电脑装置：台机、笔电、手机、平板，甚至电视都可以上网登入服务，所以密码管理也讲究便携性，跨平台存取或同步是必要的，也希望可以自动填写以免被旁人偷看或键盘侧录，如果连 TOTP 一次性密码都能一并保存就更方便了。

中央遥距管理

如果密码库采用跨平台同步的方式来的话，还需要留意装置遗失时密码可能会一并落入坏人手上。手机的话 iOS 和 Android 平台都有远端清除手机内容的功能，不过电脑就可能会没有类似功能。不过如果电脑是以 NAS 的档案同步功能如 QNAP NAS 的 QSync 来同步的话，就可以用到 QSync Central 的远端销毁功能来清除遗失电脑的密码库。

其他类型机密档案的保存

今时今日的网络服务要保存的不单是一串密码字串，例如有多因数验证的网络服务通常都会有"备用检验证码"文件，另外还有各种密钥、证书等档案都需要小心保存，这些东西虽然不需要考虑便携性，但放在什么地方其实跟密码库存放位置一样重要。

现时可以选择放置密码库的地方主要有五种：

1. 家中电脑

私密性：★★★★☆
可携性：★★☆☆☆
抗损坏：★☆☆☆☆
中央管理：★★☆☆☆
跨平台方式：自行拷贝／无线同步
保存其他机密档案：★★★☆☆

家中电脑好处是"基本上"是私密的，不过这要看是否与家人共用。一般来说 Windows 提供的便携性很低，通常都是以拷贝方式同步密码库。一般人家中电脑最大的问题就是抗损坏的能力很低，一旦死了硬盘就会化为乌有。

2. iPhone Keychain

私密性：★★★★☆
可携性：★★☆☆☆
抗损坏：★★★☆☆
中央管理：★★☆☆☆
跨平台方式：无线同步
保存其他机密档案：☆☆☆☆☆

iPhone 内有一粒 T2 安全芯片，专门负责密码管理和加密，保安程度是很高的。可惜就无法与 Windows 、 Android 协同使用，所以便携性很低。而备用验证码等机密文件存放在手机也不理想。

3. NAS 私有云

私密性：★★★★☆
可携性：★★★☆☆
抗损坏：★★★★☆
中央管理：★★★★☆
跨平台方式：无线同步
保存其他机密档案：★★★★★

以 NAS 来建立私有云表面上跟家中电脑差不多，但实际上由于 NAS 专为储存而设计，用上 Raid 1 或以上就有一定抗损坏的能力，像 QNAP 的 NAS ，有整个磁盘区加密、电脑间跨平台同步、远端销毁、用户区隔、快照备份等功能应有尽有，可以连同密钥、证书等一拼储存，是安置密码库的不错选择。不足之处是碍于 iOS 限制而令它与手机密码管理软件之间无法直接同步，需要透过像 1Password 的 WLAN Server 之类功能来解决。