2011年4月29日 星期五

我的密碼管理方案

你手上有多少組密碼?你覺得管理密碼是件容易的事嗎?在你回答之前,先讓我們檢閱幾個關於密碼的重要原則:

  1. 每個網站都必須有不同的密碼。
    大部份的人為了怕麻煩,應該都是兩組密碼在換來換去的吧。在現在幾乎所有服務都是用Email來當帳號的情況下,只要一組密碼外流,你的隱私帝國就全部瓦解了。
  2. 密碼內不能包含個人資訊,例如生日。
    當初我的簡易密碼被公司同事猜出來之後,這一條就一直是我在設定密碼的最高準則。
  3. 密碼必須沒有意義,必且要8個字以上,其中至少要含一個大寫、一個小寫、一個數字,以及一個符號。
    這一點就幾乎把所有人打死了,沒有意義的密碼,就表示你沒辦法用聰明的腦袋記下來了。(記得第1點嗎?你起碼要記上十來個密碼。)
  4. 密碼必須定期更換。
    這點要求就有些爭議了。網路銀行通常會這樣要求,但是大多數人只不過是兩個密碼在換來換去而已。
  5. 密碼必須保存在安全的地方。
    能完整達成以上四點的達人,相信大多是將密碼記錄在某種文件上吧。如東只是抄寫在筆記本上,那這一切又都是白搭了。

你有完整達到這些要人命的龜毛需求嗎?我自己是沒有辦法,所以常年以來,我都是設了兩組比較複雜的密碼,再根據需求換來換去。例如,主要的Email密碼設成A,其他利用這個Email做用戶名的系統,再用B來當密碼。但這種作法有高度的風險性,只要A或B任何一個密碼被人知道了,那其他所有網站的機密差不多就完了。尤其現在許多論壇網站都需要註冊才能存取裡頭的資源,在不知道對方網站的安全等級的情況下,使用這兩組密碼做登錄,相當就是拿其他網站的個人機密來做抵押了。

因應個人密碼的管理需求,有人開發了密碼管理的軟體,來解決上述種種令人頭大的問題。這些密碼軟體通常都具備以下幾項特色:

  1. 用一或兩道主密碼,來保護你所有的密碼。程式的資料庫都是經過加密的,所以如果沒有你的主要密碼,任何人拿到檔案也是無法開啟資料庫的。
  2. 密碼產生器,自動為你產生符合複雜需求的密碼。
  3. 結合瀏覽器,在輸入密碼時自動儲存網站的密碼到加密資料庫中,下次登入網站時,可以自動進行登入。
  4. 跨平台,無論是iPhone、Android、Windows,還是Mac,都可以跨平台同步,讓你走到哪裡都可以找到想要的密碼。

密碼管理軟體的先鋒 – eWallet

幾年前在用Windows Mobile手機的時候,開始出現了一種密碼管理工具。那時最有名的工具叫做eWallet。

Passmgmt1Passmgmt2

eWalet可以管理密碼、信用卡、個人資訊等資料,功能算是滿齊全的。我那時也的確嘗試過使用eWallet來管理我所有的密碼。eWallet有個桌上版的軟體,可以利用ActiveSync,將手機的資料與桌上版的eWallet資料庫作同步。

eWallet的特色是,把各種密碼的管理,弄得像錢包裡的信用卡一樣。要查詢密碼,就像在錢包裡找信用卡,這也是它eWallet名稱的由來吧。為了這點,eWallet還提供了各種卡片圖樣,甚至還可以讓使用者自己設計卡片的樣式。聽起來是不錯,但是後來我終究沒有用他。理由有二,第一是Windows Mobile的開機率對我來說,還是太低了,很少會為了要查一個密碼,還得開手機,Key碼密,然後再一個一個字的敲進畫面。 (那時我不知道桌上版有自動輸入密碼這功能。) 第二則是同步太麻煩了,每次都得透過電腦才能同步,不能在線上同步。這對Exchange都用Air sync的我來說,是很不能接受的一件事。

最好還有一個小問題,那就是eWallet的畫面,真的是太陽春了,陽春到你打開程式看到密碼後,就想匆匆把它關掉。不過這點在現在稍有改善就是了。

Passmgmt3

我之前使用eWallet時,只有推出Windows Mobile和Windows版。到了現在eWallet在跨平台上,也有滿大的進步。目前eWallet支援了以下平台:

  • Windows Mobile
  • BlackBerry
  • iPhone,iPad,iPod Touch
  • MacOS X
  • Android (限Viewer)
  • Windows PC

就平台而言,eWallet可能是目前的領先者,但是比較過Desktop的介面後,我最後還是放棄了eWallet。

雲端的密碼管理服務 – LastPass

在使用AB兩光密碼策略多年後,前一陣子我突然想,該好好把密碼的事情解決一下了。於是又開始Survey新的密碼管理工具。不同於上次是以Windows Mobile為出發點來Survey,這次則是改用iPhone來尋找了。果然讓我找到了有趣的一項服務。

Passmgmt4

LastPass (http://lastpass.com/) 是一項很特別的雲端服務。不同於其他密碼管理軟體是把密碼儲存在本機資料庫中,LastPass則是統一將密碼全部存在LastPass的網路伺服器上。

把自己最重要的密碼存在別人的伺服器上!?

是的,你沒看錯。只要LastPass的員工心存邪念,還是有個網路駭客剛好踩到LastPass的漏洞,後果就不堪設想了。可晚我當初是下了多大的決心 (或是無知),才會認真試用這項服務的。

先撇開這些疑慮不看,LastPass提供的服務的確是很具創意的。首先,由於密碼是存在雲端,所以自然避開了自行備份以及同步的問題。任何時候只要登入LastPass Vault的網站,就可以存取你所有的密碼。只要有瀏覽器和網路的地方,就可以存取到你的密碼,簡單吧?

當然,網路服務的罩門就是,無法控制系統上的軟體,也就是說用起來會憋手憋腳的。為了解決這個問題,LastPass開發了大量的瀏覽器外掛程式,讓你不管使用哪種瀏覽器,都可以輕鬆達成自動記憶和自動輸入密碼的功能。

LastPass支援的瀏覽器列出來會嚇死人:

  • Internet Explorer
  • Firefox
  • Google Chrome
  • Safari
  • iPhone
  • Android
  • Dolphin Browser HD
  • Firefox Mobile
  • BalckBerry
  • Windows Phone 7
  • Windows Mobile
  • HP webOS
  • Symbian S60

LastPass的使用也非常地簡單,只要在輸入密碼的地方,LastPass的瀏覽器外掛會自動做標記,表示可以為你在這裡輸入帳號密碼。當然,在新增帳號時,瀏覽器也會自動出現資訊列問你是否要記憶密碼。

Passmgmt5

LastPass的使用體驗非常地真覺,讓我使用一下下,就能整掌出它的操作邏輯。才剛開始使用這個服務,就有一種「就是它了,它就是我終極的密碼管理方案」的感覺。

疑?是不是有件事忘了提?這麼方便的服務,至底會收你多少錢呢?

LastPass在這方面還滿識相的,只要你是使用一般的密碼服務,一律免費讓你用到爽。只有LastPass Premium服務才需要收費。LastPass Premium的服務重點,就是包含了所有的Mobile平台的服務。也就是說,上面提到的iPhone、iPad、Android、Windows Phone,或是Symbian外掛,全都是要付費會員才能夠使用的。不過LastPass Premium的服務是採用訂閱制的,一年USD$ 12元。算起來還不是太誇張。

不過就在拿出信用卡之前,我突然想起一件事。剛才好像都在講網站密碼的部份,但是其他的呢?例如信用卡資料、提款卡密碼,還是軟體序號之類的。

對於這類非網站密碼的資訊,LastPass統一用筆記的方式來解決。也就是他提供了一個Note的功能,你可以自行新增Note,裡面自由輸入你想輸入的文字。就這樣交差了事了。

這當然沒辦法說服我接受。而且再加上這個雲端服務儲存了大量的使用者密碼。就好像在飢渴的餓犬前面,放上一大塊鮮嫩的美國牛肉一樣。你說哪個自信滿滿的駭客不想挑戰自己的極限呢?我可不想拿我的MSN密碼來做賭注。免得那天大家突然都向我要起上次幫我買遊戲點數的錢了。

我的終極方案 – 1Password

在放棄了LastPass這樣有創意的服務之後,我轉變了方向,改成由MacOS X的角度當出發點,重新Survey。這回終於讓我找到我的理想方案了,這個方案就是1Password。

就像eWallet是從Windows平台崛起的一樣;1Password是從MacOS平台發跡的。1Password的功能,幾乎完全等同於eWallet,不管是網站碼、信用卡,還是軟體序號,全部都能一起管理進來。但是與eWallet相較,1Password有個最大的優勢。

那就是1Password的介面真的很漂亮。

1Password的介面,就很像一個金庫一樣,你必須打開密碼才能開啟金庫。

Passmgmt6

1Password在MacOS X的畫面很炫麗,除了每個網站都有圖示說明之外,在內容頁上,還有這個網站的網頁截圖。這比什麼密碼卡片要來的有意義多了。不過至於1Password在Windows PC上的介面,就跟新版的eWallet沒什麼太大的差距了。最近一陣子常在使用Windows、Mac OS,以及之前的Windows Mobile和現在的iPhone,我有一個發現,就是Mac的系統在介面上普遍要比Windows的華麗多了。真不知道問題出在哪裡。

Passmgmt7

與eWallet一樣,1Password現在也是朝全平台的方向進行。1Password目前支援Mac、Windows、iPhone、iPad,以及Android。目前還沒有Windows Phone的版本,不過這已經不是我關切的重點了。1Password在iOS的版本用兩層密碼來做保護,第一層是四個數字的密碼,可以讓你進入資料庫,根據重要性,你可以指定哪些網站需要第二層密碼才可以存取,第二層密碼則是較複雜的文數字密碼了。

Passmgmt8Passmgmt10Passmgmt9

接下來是最精彩的同步的部份了。1Password提供了兩種同步方法,一種是Wi-Fi直接電腦對電腦同步。另一種則是我最讚賞的,利用Dropbox進行同步。1Password和Dropbox的接合非常地緊密,在安裝好桌上版的1Password時,它會自動抓到你有安裝Dropbox,並會在第一次執行的時候問你要不要將本機的密碼資料庫轉到Dropbox上。之後的其他電腦或iOS設備,只要安裝好1Password,連問都不問,就直接幫你把Dropbox中的資料庫抓出來了。

利用Dropbox進行同步有很多好處,首先是密碼資料庫可以存在雲端硬碟,省掉了local硬碟掛掉而欲哭無淚的風險。再來就是,密碼不是像LastPass一樣,一個一個明確地存在伺服器上,而是把資料庫經過加密後,再儲存在伺服器。所以就算哪天有人開了你的Dropbox硬碟,偷走了這個資料庫,沒有加密的密碼,也只是個佔空間的無用檔案罷了。

利用檔案的方式來進行同步,會有一個很大的風險。就是如果有兩台機器同時對本地的資料庫新增了一筆資料,一經過同步後,有一台機器上的密碼就會被另一台機器的檔案給複寫掉了。再加上這種密碼管理程式產生出的密碼又是超複雜的,所以密碼被改寫掉,也就只有重新申請一途了。1Password最今人讚賞的就是,它利用了很巧妙的方法來避開這種同步複寫的問題。1Password不是將整個資料庫做成一個檔案,而是為每一個網站建立出一個檔案來存放密碼。如此只要有任何機器更動到某個網站的密碼資料,也只會對一個檔案做變更而已,對其他網站的密碼資料自然沒有影響。更妙的是,1Password存放的密碼檔竟然還是純文字檔。反正編過碼後的文字也沒有任何意義,給你看到也無妨。

我這個星期已經將所有的密碼轉到1Password上了,一位也轉移到1Password的同事A在使用後也表示:「我回不去了。」就是這樣,這種系統會徹底改變你的電腦使用習慣,用過後一定會上癮。唯一的缺點是,1Password是這幾個方案中最貴的。

現在你覺得密碼管理是件容易的事嗎?在我看來,只有用對工具,答案當然是肯定的。

沒有留言:

張貼留言

LinkWithin

Related Posts Plugin for WordPress, Blogger...