Re: [閒聊] 不為人知的工程師內幕

[h22447h (雷米歐)]

※ 引述《KyrieIrving1 (King of Dallas)》之銘言：
: 不為人知的工程師內幕
: https://i.imgur.com/8IQl4hC.jpg
: 0_o
: 乾我真的看不懂
: 有沒有工程師能解釋一下XD

確實越來越多網站密碼要求越來越複雜，沒多久又要換一次
甚至有人做了一個遊戲來調侃
https://neal.fun/password-game/

回到正題
密碼管理的話我會推薦使用bitwarden之類的密碼管理器去存
他也內建了方便的密碼產生器
http://i.imgur.com/TysQScD.jpg
一年的付費會員可以直接整合totp、高階2FA
自動填入的時候還會幫你複製好totp，不用再切回去app
只要300塊，划算得不行
http://i.imgur.com/o2O40DC.jpg

安全性的話

我有一把實體金鑰yubikey
在第一次登入bitwarden的時候會要求你NFC 感應或是將他插入USB插槽後按一下上面的按鈕
http://i.imgur.com/172QyXS.jpg
這把鑰匙也被我用在paypal和google
當然，跟一般的鑰匙一樣，請準備好備用鑰匙和救援代碼表
出事了bitwarden可是不幫你找回密碼的喔

雙盲密碼儲存
密碼管理器上面儲存的密碼並不是完整的密碼
這樣就算真的出了什麼意外，密碼全部外洩光光
也有時間讓你挽回

那什麼是雙盲密碼呢
就是你腦中還要記一個規則或密碼
在登入的時候就是密碼管理器的密碼加上你的規則/密碼

e.g. 假設密碼管理器中A網站的密碼是#xkde57^Mf6
我腦中的密碼是生日之類的，891027
那樣登入A網站的密碼就是891027#xkde57^Mf6
（當然這樣被盜的時候大概能猜到這密碼有雙盲，你也可以想個規則來打亂原密碼）

bitwarden的密碼是在他們的雲上加密託管，如果超級不放心也可以自架自己的儲存庫
我自己是不會，也懶XDDD

最後，這樣做當然不是很方便，每次用這個都要打密碼管理器的密碼，所以我的電腦有裝指紋掃描器（手機有內建）

手機上的話，google鍵盤和瀏覽器很愛跟bitwarden搶自動填入的服務
這個就很煩躁了，不知道有沒有什麼方法解決

-----
Sent from JPTT on my Google Pixel 6a.

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 27.53.113.62 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/C_Chat/M.1710304661.A.4D7.html
※ 編輯: h22447h (27.53.113.62 臺灣), 03/13/2024 12:40:40
推 himthin01: yubikey是需要手指的嗎
需要喔，他會要求你按一下
http://i.imgur.com/Glnd2CV.jpg
推 wei115: 推密碼管理 目前普遍共識是使用密碼管理比通用密碼安全性
→ wei115: 高多了
→ spfy: 他有幾款有指紋功能
我知道，但是台灣超少代理或代購，而且 幹 好貴
※ 編輯: h22447h (27.53.113.62 臺灣), 03/13/2024 12:45:02
推 labbat: 我用私鑰檔案登入，這樣都不必輸入密碼
→ labbat: 但是私鑰被盜跟密碼被盜也一樣了
推 wk415937: 推 Bitwarden
推 inte629l: 推 感覺不錯
※ 編輯: h22447h (27.53.113.62 臺灣), 03/13/2024 12:47:54
推 WindSucker: ubub
→ spfy: 我之前也是有考慮yubikey 但台灣買都好貴
推 nthank: 推 我也是用bitwarden 不過我是自架server
推 g5637128: 推 Bitwarden，免費版就很夠用了
推 h0103661: google就有內建密碼管理&生產&otp了，這個差別在哪？
推 qxpbyd: 跨平台 跨瀏覽器 可以額外做筆記(紀錄是否用OAuth登入)
→ qxpbyd: 然後現在也支援passkey
→ DendiQ: 我也是用 bitwarden，你沒有把其他的密碼自動填入關掉嗎
→ DendiQ: 我沒遇過這問題