怎么使用密码管理器如keepass更安全？

Posted 2020-10-06

如今的网络世界，到处都需要密码，你肯定有一堆网络服务的密码资料：网络帐号、电子邮件、银行卡……这么多的帐号和密码，管理起来是个很麻烦的事情：记在脑子里大部分是做不到；记在纸上不安全，万一丢了就全没了；记在电子文档里相对安全（得加个密码），但总不方便，因为并不是随时都可以查看。

KeePassPassword Safe（简称KeePass），是一款免费开源的密码管理软件，通过它，你只要记住一个主密码就可以管理你所有的网络帐号和密码了，并且KeePass会生成一个数据库文件，保存好这个数据库文件就等于保存好了你所有的密码资料。有了KeePass，你会发现我们的网络世界方便了不只一点点。

KeePass支持Windows、Linux、Mac OS、BlackBerry、iPhone、Andriod……几乎所有平台，几乎所有语言，并且有丰富的插件可以与Chrome、黑莓桌面管理器等配合使用。你用了才会发现他居然是如此的强大！

KeePass 官方网站 – 下载 – 语言包 – 插件

KeePass的操作很简单，基本不需要Google之就会使用，所以这里就不说如何安装如何操作了。提供一些参考网页和教程：

• 管理密码的利器： KeePass Password Safe ，让你从此不再忘记密码！
• 用免费密码管家 KeePass 彻底摆脱记忆烦恼

这里我主要讨论几个关于KeePass的使用技巧和与其他软件的配合：

1. KeePass的使用技巧
2. Chrome配合KeePass进行自动帐号和密码输入（个人不建议，原因下面有说）
3. KeePass数据库与BlackBerry黑莓手机的同步

一、KeePass的使用技巧

1. 语言包和插件的使用：均是将语言文件（后缀.lngx）和插件文件（后缀.plgx），直接放在KeePass程序目录下即可
2. 建议安装的插件：Favicon Downloader，这个插件的用处就是下载网站的favicon图标
3. 为了KeePass数据库的安全，建议将数据库文件与Dropbox等网盘同步

二、Chrome配合KeePass进行自动帐号和密码输入（不建议）

如果你使用Chrome浏览器，再配合KeePass，你可能每次都需要打开KeePass然后查看某个网站的帐号和密码然后记在心里再然后切换到Chrome手动输入帐号和密码了。Chrome+KeePass+ChromeIPass+KeePassHttp配合一下，就不用如此复杂的操作了。

Update：KeePass本身自带了自动输入功能，并且与浏览器无关。所以ChromeIPass就显得有点多余了。

我们来一步一步配置Chrome和KeePass：

1. Chrome安装ChromeIPass扩展程序
2. KeePass安装KeePassHttp插件。这个插件官方插件页面没有，到这里下载那个KeePassHttp.plgx文件，置于KeePass的程序目录，重新打开KeePass会自动加载此插件

当然前提是你的KeePass里面已经有了网络账户和密码资料。Chrome里在需要输入帐号和密码的地方点击右键->ChromeIPass->选择Fill User+Pass或者Fill Pass Only，如下图：

然后你就会发现Chrome里面的帐号和密码都已经输好了，你只管点击登录即可。

Chrome要成功的自动填入帐号和密码，需注意以下几点：

1. KeePass必须是打开的
2. KeePass处于未锁定状态
3. 系统托盘要有KeePass的图标显示
4. 你需要在10秒钟内Allow系统托盘的提示

否则Chrome将不能自动输入信息，而出现No logins found的提示框，如下图：

pdate at 2012-03-18：个人不建议做帐号和密码的自动输入，因为要进行且方便的进行这个操作，KeePass必须一直处于未锁定的状态，所以有时候所有密码就完全暴露了。

Update at 2012-04-06：经一位博友的留言提醒，其实Chrome配合KeePass自动输入帐号密码没有上面说的这么麻烦，利用KeePass自带的“自动输入”就可以搞定，并且通吃所有浏览器：鼠标定位到用户名输入框，然后按一下“全局自动输入”的快捷键（默认为Crtl+Alt+A）即可方便完成登录（猜测KeePass以前可能没有全局自动输入的这个功能），当然，前提是你在KeePass的数据库里添加了此网站的记录。

使用自动录入遇到的一些问题：

1. 某些网站的登录页面按了自动录入快捷键没有反应：原因为此页面的密码输入规则和KeePass默认的不一致，这个时候就需要单独定义自动输入规则了。最简单的自定义输入规则的方法就是添加自动输入的窗口到记录里面,KeePass会自动设置规则：先打开此网站的登录界面，然后到KeePass里面添加“为指定窗口使用自定义规则”,目标窗口选择刚才打开的登录窗口即可。这篇文章有些这方面的介绍，以及这篇文章。
2. 自动录入的时候，输入状态必须是英文状态

三、PC与BlackBerry黑莓手机的KeePass数据库同步

KeePass几乎支持所有平台，当然也支持黑莓手机。在家或者公司，可以在PC上使用KeePass，在外的话用手机是最方便和最快捷的，但是数据在手机或者PC上做了修改而不同步的话，恐怕会引起错乱，所以如果让手机上的KeePass数据库与PC上的KeePass数据库能相互同步，就不会引起数据错乱，同时又不失便利性。KeePass强大之处就在于他已经考虑到了这一点。

利用黑莓的BlackBery Desktop Software（即桌面管理器）+KeePassBB2插件+黑莓手机安装KeePass，PC上的KeePass和黑莓手机上的KeePass数据库就可以同步了。

我们按如下顺序来配置相应的环境：

1. PC上安装BlackBery Desktop Software
2. PC上下载KeePassBB2 MSI安装包并安装
3. 黑莓手机上安装KeePassBB2（OTA）
4. 配置BlackBery Desktop Software上的KeePassBB2插件：PC上连接黑莓手机，打开BlackBery Desktop Software软件，点击左侧的“加载项”，将右边的KeePassBB2 AddIn旁的框勾选，点击“配置…”，输入KeePass数据库文件的路径，点击“OK”保存，如下图：

在BlackBery Desktop Software的“加载项”页面，点击右下角的“同步”，即可开始同步PC和手机上的KeePass数据库了（第一次同步会要求你输入数据库的主密码或者key文件的路径。每次重新连接BlackBery Desktop Software后都会要求输入密码或key文件），如下图：

要注意的地方：

1. 黑莓手机上的KeePass要使用Internal Mode（默认）（使用多个KeePass数据库文件的话才会去用External Mode）
2. PC和手机上的KePass主密码要一致

参考网页

1. KeePass for Blackerry Frequently Asked Questions：这个是黑莓手机版KeePass的FAQ页面，关于黑莓KeePass的配置和同步的故障和疑问，建议看这个FAQ
2. KeePass 教程：这个是个人写的KeePass教程，比较详细
3. 使用keepass自动登录完美国际：这个可以做个参考，如何快速编辑自动输入规则（其实就是打开窗口，然后直接在KeePass的相应条目添加目标窗口为此窗口即可）
4. KeePass Help Center：KeePass官方帮助中心

Key文件

你可以使用keepass生成，也可以使用任意一个永远不会改动的文件作KEY文件，我的KEY文件就是一个可执行文件文件，货真价实的从2008年开始一直到现在没变过。

【文本、音频、视频、可执行文件等等都可作为key文件，体积最好不要太大，hash会费时间。】

开启安全桌面，木马盗不了你进入keepass的住密码了

2.keepass数据库文件目前是否能够被破解？大多数据库文件用网盘同步，如果网盘被盗丢失keepass数据库文件是否会有安全问题

无key、强密码和加密循环次数高的情况下极其极其极其困难（几乎不可能，但理论上能破解）；

有key的情况，对方没有获得你的key文件，只是获得了密码数据库.kdbx，永远无法破解；

使用Windows用户账号加密，在其他电脑上也无法破解。

3.KeePass官网上的移动客户端的不同版本是否可靠？插件是否可靠？

可靠，开源的，代码都看得见，你不放心，可以自己使用GitHub上的源码去编译。

KeePass2android (for Android)

MiniKeePass(for iPhone / iPad)

我使用的是上面两款。

插件也是开源的，你不放心，可以自己使用GitHub上的源码去编译。

原则上，严禁KeePass的联网行为。

4.在电脑或手机编辑或复制黏贴帐号密码时是否存在安全问题？如何避免？

存在安全隐患。

安全是一个系统工程，和木桶原理一样，风险总是出在最脆弱的地方。

手机篇：

不要在小网站下载APP安装（有木马风险），不要在已越狱的苹果和安卓手机上安装KeePass，不要让手机信任公共环境的计算机（USB连接），不要使用免费WiFi登录网站账号和密码（不过现在大网站都是https，安全系数比较高）。

Gmail 开启2步验证，Google 2-Step Verification。

QQmail 安装QQ安全中心，开启登录保护。

163mail 安装那个什么来着，我忘了，好像是将军令。

手机做到上面的要求，很难出现账号被盗的风险。

电脑篇：

对于非计算机专业或计算机小白，请老实安装一个知名杀毒软件（不要安装一堆），不要打开和下载来历不明的程序，不要使用IE，使用Firefox或Chrome浏览器上网。

密码数据库和key文件如果使用网盘自动备份，请不要同时上传到一个网盘，这是愚蠢的行为！！！

PS：计算机裸奔裸奔7年，很久没用过杀毒软件了，我只熟悉McAfee企业版，但不推荐普通人使用，推荐使用Avira Free、火绒、360。

网站密码篇：

无论你是使用KeePass、1Password、LastPass，请学会使用随机生成强密码。一个网站一个密码，不带重复。

我个人主要使用LastPass，并开启了Google 2步验证，每隔一段时间会将LastPass上的密码倒入到KeePass里。然后iPhone和Android手机安装KeePass，手机里同样可以使用key文件。【记住不要越狱！！！】
-------------------------------------
2016年12月16日
今天登录官网，发现LastPass已经全平台免费了，也就是说手机不用刻意使用KeePass，不过还是推荐本地偶尔将LastPass里的记录导入到KeePass里备份一下。