转载于：https://www.ddosi.org/keepassxc/
排版：释然IT杂谈
目录导航
1.1
你有多少个密码？
1.1
你有多少个密码？
1.2
你是如何记住密码的？
1.2
你是如何记住密码的？
这里只是随便列举一些常见的涉及到密码之类记住的东西,一个上网的人涉及到几十个密码的是不成问题的,
这里有一个矛盾:
要想记住几十个密码那就得要求密码简单方便记忆,或者是用重复的一个密码,那密码就不安全!
要想密码安全那就得设置随机的,复杂的,位数多没有规律的字符,且密码不能共用,那么密码就记不住!
1.3
你把密码保存在哪里？
1.3
你把密码保存在哪里？
-
有明文保存在txt/excel里面的 -
有明文备份在网盘里面的 -
有保存在收藏夹里面的 -
有建一个小号用来当记事本的 -
有放在云笔记本的 -
有放在自己搭建的服务器上的 -
有写在纸上的 -
有放在U盘里天天挂在身上的 -
有存储在浏览器里面的
1.4
隐患在哪里？
1.4
隐患在哪里？
如果你是明文存储,放在txt里面,那么攻击者在控制你电脑后是很容易找到你的密码的,近期一段时间打开的文档里面就可能会有.
win+r打开 运行窗口输入 recent 就可以看到你近期访问的一些文件,或者直接打开文件夹(C:Users用户名Recent)即可查看到.
而很多人是不可能清理这些痕迹的,毕竟每时每刻清理是很烦的.
浏览器存储的密码可以很轻松的被导出来:很多人觉得比如用Google浏览器登陆后存储密码很方便,以后重装什么的登陆上Google账号所有密码都同步过来了,不管是在手机还是电脑上都十分方便,但是却不知浏览器存储密码是十分危险的操作,现在的渗透测试后利用工具,随便拉一个出来都可以把浏览器密码导出来,且无需输入什么pin或者windows登陆密码之类的东西.
比如使用工具 webbrowserpassview ,只需双击一下,浏览器密码就全部出来了,
下载地址:http://www.nirsoft.net/utils/web_browser_password.html
C:Users用户名AppDataLocalGoogleChromeUser DataDefaultLogin Data
1.5
那些看起来安全的“密码存储”的方法
1.5
那些看起来安全的“密码存储”的方法
我见过的一些相对来说安全的存储密码的方法
[1] 放在excel里面然后设置密码
-
如果电脑已经被黑客控制,相关的键盘记录器可能记录到你的密码最终解开你的excel -
老旧的excel密码可以绕过或直接删除 -
excel密码可进行爆破操作 -
…….
[2] 压缩成winrar/zip….文件
[3]通过加密后存储在本地电脑上
①避免使用同一个密码.
②密码设置没有规律可循
③密码长度大于12
④密码组成中应该有:数字+大小写字母+特殊符号 随机组合
⑤避开键盘上的一些规律,比如qazwsx!@#
⑥密码不存储在浏览器中
⑦密码不明文存储在电脑上
⑧密码不放在收藏夹/网盘/云笔记中
⑨避免手动输入密码(避开键盘记录器)
⑩密码复制粘贴后剪切板应立即得到清空
………
显然人做不到这些,这就需要借助工具了
使用的工具就应该首选具备如下条件的:
-
工具开源
-
工具无任何账号进行同步,不将密码存储在云端服务器.
-
工具加密方法足够强(AES256)
-
工具可生成随机强密码
-
工具可自动输入,无需复制粘贴
-
复制粘贴后工具可立即清空剪切板
-
工具简单易用.
-
工具跨平台可用
-
工具免费
-
工具可存储无限多的账号密码
-
工具可批量导入导出密码
-
………
而KeePassXC正好可以满足这些条件.
基本功能
-
以 KDBX 格式创建、打开和保存数据库（与 KeePass 兼容）
-
将敏感信息存储在按组组织的条目中
-
可搜索条目
-
自带密码生成器
-
在应用程序中自动输入密码
-
与 Google Chrome、Mozilla Firefox、Microsoft Edge、Chromium、Vivaldi、Brave 和 Tor-Browser 的浏览器集成
-
入口图标下载
-
从 CSV、1Password 和 KeePass1 格式导入数据库
高级功能
-
数据库报告（密码运行状况、HIBP 和统计信息）
-
数据库导出为 CSV 和 HTML 格式
-
TOTP 存储和生成
-
条目之间的字段引用
-
文件附件和自定义属性
-
进入历史和数据恢复
-
YubiKey/OnlyKey 挑战-响应支持
-
命令行界面 (keepassxc-cli)
-
自动打开数据库
-
KeeShare 共享数据库（导入、导出和同步）
-
SSH 代理
-
FreeDesktop.org 秘密服务（替换 Gnome 密钥环等）
-
其他加密选择：Twofish 和 ChaCha20
KeePassXC 可用于以下操作系统和平台的下载：
-
微软Windows
-
便携式和 MSI 安装程序（64 位和 32 位）
-
Linux – 官方交叉分发包
-
AppImage 和 Snap 包
-
Linux – 特定于发行版的软件包
-
Ubuntu、Debian、Arch Linux、Gentoo、Fedora、CentOS 和 OpenSUSE
-
macOS
DMG 安装程序，Homebrew Cask
KeePassXC 是开源软件，可能在与 Team KeePassXC 无关的其他网站上可用。我们强烈反对从第三方网站下载 KeePassXC。
什么是密码熵？
E = log2(RL)
-
R-我们构建密码的唯一字符池的大小;
-
L–密码长度，即密码中的字符数。
利用对数的性质，我们可以将上述公式改写为：
我们可以立即从密码熵公式中推断出增加L或增加R会增大密码熵。因此，要获得更强的密码，您必须扩大字符池或使密码更长。特别是，来自较小池的较长密码与较短但更复杂的密码一样有效！
1234567890
~!@#$%^&*()_+{}|:"<>?`-=[];',./
abcdefghijklmnopqrstuvwxyz
ABCDEFGHIJKLMNOPQRSTUVWXYZ
其他字符
要确定密码的池大小，请查看上表。如果您的密码包含来自给定类别的至少一个字符，请标记此类别。
然后添加您已标记的类别的大小。例如：
-
密码incorrect有一个26字符池（全是小写字母）；
-
将密码更改为Incorrect会将池增加到52字符（小写+大写字母）；
-
将其进一步更改为IncoRRect77会增加62字符池（小写+大写字母+数字）;
-
最后，IncoRRect77$%&具有26 + 26 + 10 + 32 = 94字符池（小写+大写字母+数字+特殊符号）。
知道池大小R和密码长度L后，确定密码熵的最后一步是应用公式， 无论您更喜欢哪个。我们将使用后者。
E = log2(RL)
或
E = L * log2(R)
在我们的示例中：
-
对于incorrect，我们有R = 26and L = 9，所以E = 9 * log2(26) ≈ 9 * 4.700 ≈ 42.3 bits;
-
对于Incorrect，我们有R = 52and L = 9，所以E = 9 * log2(52) ≈ 9 * 5.700 ≈ 51.3 bits;
-
对于IncoRRect77，我们有R = 62and L = 11，所以E = 11 * log2(62) ≈ 11 * 5.954 ≈ 65.5 bits;
-
对于IncoRRect77$%&，我们有R = 94and L = 14，所以E = 14 * log2(94) ≈ 14 * 6.5545 ≈ 91.76 bits.
![隐私保护之密码管理工具 KeePassXC]( "隐私保护之密码管理工具 KeePassXC")
log2 可以用下面的计算机计算
https://www.logcalculator.net/log-2
总之一句话:密码熵越大越好
有的人会遇到如下的情况,明明输入了密码缺失登不上去.根本原因是设置了密钥文件,但是没选择上去 .
导出浏览器密码:
以chrome为例:
到这个网站下载工具webbrowserpassview
下载地址:http://www.nirsoft.net/utils/web_browser_password.html
双击工具即可看到所有浏览器密码:
导出来的csv是需要处理一下的,不然导进去KeePassXC格式会乱
导出的原始的csv是这样的:
原文始发于微信公众号（释然IT杂谈）：隐私保护之密码管理工具 KeePassXC
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论