password
last_edited_time
Aug 2, 2023 04:00 PM
type
status
date
slug
summary
tags
category
icon
前言
现在各种网站和应用层出不穷，若想使用他们则需要注册他们的账号，随之而来的是需要记忆各种账号密码，而这么多的账号密码正常人是记不住的，怎么办呢？
- 现在很多服务商已经提供了第三方注册或登录的方式来简化账号注册与登录，这样只需要一个账号（比如微信）就能注册或登录许多网站或应用了，但是这样也有个弊端，万一那个提供第三方注册或登录的服务挂了或者不给你用了，那么相关的所有网站或应用就都不能用了，当然一般网站和应用会支持多个第三方的，且大多数还会保留手机验证码登录、账号密码登录、邮箱验证码登录等登录方式。
- 账号和密码有一套自己的规则。比如全平台和应用都用一样的账号和密码，虽然这种方式好记，但是很不安全，泄露后可能会被别有用心的人利用（尝试登录全部平台，导致全平台账号都被盗）；又比如自己做一个字母数字映射表，比如: 将26个英文字母排序后位置对称互换，数字也对称互换，甚至可以做成随机的密码表，这种方式相对比较安全，但是需要记住规则或者纸质化、电子化密码表（存成图片之类的），也有泄露的风险，且纸质材质容易损坏。
- 密码完全随机。这种方式靠人脑记是不可能的，一个是数量多时容易混乱或记不住，长时间不记忆绝对会忘，一般做法是电子化数据（比如保存在txt文件里），纸质化容易抄错，且输入密码时也容易输错），而电子数据存储与维护不当时也有泄露风险，一般都要进行加密。
从上文中可以看出结合1、2、3点都有各自的缺陷：
- 一般你注册的账号都是只有使用权的，最终所有权归平台所有，比如某讯账号，你去看看《某Q号码规则》就知道了，所以使用第三方账号登录只能算是一种便捷注册或登录的方式，注册完账号后记得完善登录方式，比如邮箱、密码等等。
- 说实话我个人是不想浪费时间和脑力去记忆一些没啥用的东西，且为了更安全也不建议使用自定义规则的方式设置密码，不过还是来讨论下纸质化数据的缺点（电子化数据的优缺点放第3点一起讨论）。纸质化数据一个是不方便备份（重新抄一遍，或者用复印机复印容易被人看到甚至被缓存复印的数据），另外就是不易保存（建议使用石墨笔或者钢笔+墨水，纸张也选耐保存的），还有个就是储藏点不好选，也容易丢失。。。
- 我觉得电子化数据优点大于缺点。
- 优点：备份简单，直接复制粘贴就是另一个存档了，当然如果想要备份到云端（比如网盘）则需要进行加密，否则很容易泄露数据；便于加密原有的数据（后续会详谈）；存储极其方便，可以存储到各种存储介质上：硬盘、U盘、网盘等等，当然前提是要进行加密；而因为电子介质的各自特性，存储的时长各不相同，要做好多点备份，否则数据容易丢失，比如存储介质损坏，丢失等等。
- 缺点：不做特殊的保护措施（比如加密），数据极其容易泄露；存储数据的介质（比如硬盘）坏了容易有数据丢失风险（有的数据可能可以还原看具体情况）。
而下文将针对如何安全维护电子化数据做出相关讨论与实践。
密码的设置
密码的设置策略
常用的密码设置策略有下面几种（只讨论安全级别，不讨论泄露风险）：
- 【安全级别极低】常用的简单密码。比如: 1234，123456，admin 等。
- 【安全级别一般，但是账号被人知道且这些信息被公开后安全级别会变得很低】密码与现实有一定的关联关系。比如：生日，家人的姓名 等。
- 【安全级别极高】随机的密码。有的浏览器可以生成安全级别很高的随机密码，也可以自己随便输。
- 【不同的规则安全级别也不一样，无法评估】密码间有一定的规则。根据自己的想法可以定制规则，比如用古诗词当作密码（比如：cqmygysdssjtwmydtsgX987654321=0?，虽然看着很长但是很好记，稍微做点辅助记忆就能想起密码来了）。又比如根据键盘对称的字母或数字对换（比如：Q对应P，f对应j，1对应0）。
密码设置的补充内容
- 密码长度不要太短，现在的民用计算机性能已经很高了，且未来性能一定会更高，位数少的密码，可能几天甚至几分钟就被暴力破解了。建议12位以上，最好是20位以上。
- 密码中尽量包括: 大小写的英文字母、数字、特殊字符（比如,.=?$等等），在记忆方便的情况下尽量平均分配数量且分散密码中3者间的字符。
- 由于长密码容易遗忘，特别是长时间没使用时。所以可以做点密码的辅助与联想记忆，但是不要太明显，比如这串密码：cqmygysdssjtwmydtsgX987654321=0?，关键字：李白，1x1啥情况下等于0?。
安全维护电子化数据
数据的维护策略
注意: 这里只谈数据维护策略，而非数据安全策略，所以数据泄露风险该有的还是会有的
- 尽量使用 txt 等纯文本格式，别用 doc, xls 等格式。
- 原因1: 兼容性强，一般系统都会自带编辑器，所以几乎无需额外安装软件，即使要安装也推荐使用VSCode
- 原因2: 简单的格式方便查看历史记录（需要使用第三方软件实现，比如Git）。
- 相关账号的官网与标题可以单独存一个文档（只存官网与标题），这个文档不需要进行加密，因为没有隐私数据。
- 原因1: 防钓鱼网站。用搜索引擎搜索时由于某些利益原因，可能列出来的不是真正的官网。
- 原因2: 方便检索与快速访问（建议相关网站访问后直接存在浏览器的书签中）。
- 原因3: 公开数据与隐私数据分离。有的网站与应用可以直接用第三方应用登录，而这份只有网站地址和标题的数据正适合这种情况，且即使泄露了也没啥关系。
- 除了账号密码外，一般也保存账号密码对应的官网以及标题。原因在第2点已经说了。
- 除了账号密码外，关联的邮箱、手机号、安全问题等等也保存起来。
- 使用Git等版本控制软件进行维护。能够历史变动信息，比如什么时候添加的，什么时候修改的，修改了什么等等。
- 重要的账号和密码不要存在浏览器上，因为只要知道你登录系统的密码就可以读取的到，同时虽然浏览器上的密码是加密过的但是也是有风险的。
- 有新账号密码或者更新密码之类的数据后及时更新到自己维护的文件中。变更数据后备份数据到其他存储介质。
数据的安全策略
涉及到的虚拟电脑与加密操作后续会有专门的文章讲解，这里不做展开操作。
- 存放数据的操作系统，登录账号必须设置密码（若有其他账号也设置密码）。并且若是离开电脑，记得锁屏，比如windows系统的组合快捷键 win + L。
- 使用第三方加密软件（比如VeraCrypt）加密系统盘。很多软件的临时文件、备份文件等默认都在系统盘，所以加密系统盘能防止不经意间的数据泄露。
- 如果是大型或大量文件的，可用第三方加密软件（比如VeraCrypt）加密存放这些数据的分区或整块硬盘。
- 如果是小文件或数量较少的文件，可用第三方加密软件（比如VeraCrypt）创建一个加密卷，然后将文件存放在这个加密卷中。这种方式虽然最终文件会被加密，但是产生的临时文件、备份文件等还是会在系统盘。
- 【最佳方案】使用虚拟虚拟化软件，创建一个虚拟电脑，然后在虚拟电脑里安装操作系统（该系统最好是永久处于断网状态），所有的操作都在虚拟电脑里，安全系数会高很多。同时对该系统执行上面的1，2，4点操作，安全系数飙升。
- 维护操作尽量保证是在虚拟电脑中。若不是在虚拟电脑，则尽量断开网络，且维护完后清理临时数据及备份数据，比如：7z文件直接打开其内的文件时，会在系统盘的Temp目录产生文件夹，不规范的操作可能导致该临时文件不会自动清除；vscode打开文本文件时，默认配置会自动保存变更数据到系统盘的AppData目录下，需要自己找到然后清理到。最后若不是在虚拟电脑中，最好重启电脑，然后记得恢复网络连接。
数据备份
数据一定要进行备份，防范于未然，因为意外往往发生的很意外。但是备份在风险不可控的存储介质（比如：U盘、云盘）中风险是很高，所以需要进行相关的安全处理：
- 对数据文件进行加密（可以借助第三方加密软件实现，比如VeraCrypt）。
- 使用压缩软件（比如7-Zip）再对数据文件进行多次加密压缩（至少1层）。
- 取名也要策略，比如名字叫"xxx学习资料"，玩的是声东击西，让人以为没有价值。同时多层嵌套加密压缩包可以按小类到大类分类取名，比如：外层取名为"小说.7z"，内层取名为"武侠小说.7z"，最终的文件名取名为"金庸小说合集.ISO"。
- 多层嵌套加密压缩包时，注意压缩顺序和解压顺序是相反的，且解压的第一层一定要设置长度超过12位的密码（且最好复杂点，字母、数字、个别特殊字符），第二层及之后层可以不用密码。
- 去除压缩软件加密时的加密文件名（有的压缩格式没有这选项，那就忽略）。去除加密文件名主要是给想破解的人看的，让其浮想联翩：第一层我这么久都还没破解。。。然后当场放弃，所以第一层加密很关键。
- 第1点和第2点可以同时采用。至于先1后2，还是先2后1，根据自己情况决定。
安全地使用数据
- 好好看完上面的内容。
- 如果需要用到密码，且密码本身有一定的规则（比如：cqmygysdssjtwmydtsgX987654321=0?）就直接输入，尽量减少复制，因为复制后数据会存在粘贴板中，记得及时清空粘贴板，并复制些乱起八糟的东西。若实在需要复制的，不要全部复制，复制中间那一部分，比如上面的密码，只复制mygysdssjtwmydtsgX987654321，留一部分手动输入，即使真泄露了这部分数据也减少风险，因为这部分密码不是完整的密码。