靠谱人生茶话会#1 - 2022-3-21 00:22
石原英里華(常盤るる)(来如遠致)
在我使用Google时，我最喜欢的机能莫过于“同步书签”与“同步密码”功能。在任何网站进行登录时，在您的cookie不在有效期内时，Google提供的自动嵌入密码功能既简洁又完善。其实，以PC来说，Google将您的密码加密后保存在系统文件夹中——但其破译方法和密钥已经流传得十分广泛、不容得介绍其为具有安全性的密码管理器。
近日，我就因未知原因遭受了黑客的入侵。在我的Google账号内保存的密码——Facebook、amazon、outlook和其他含有资金交换流程的网站全部被攻陷。我不胜惶恐。幸而言之，大部分资金管理网站设置了2FA，我没有因此受到太多实际损失。但是已然被蛇咬，我开始不断地恐惧井绳。当您也有一日陷入此等危机的时候，请不要忘记以下建议。如果您从现在开始尝试改变，它一定有助于您防范未然。
近日，我就因未知原因遭受了黑客的入侵。在我的Google账号内保存的密码——Facebook、amazon、outlook和其他含有资金交换流程的网站全部被攻陷。我不胜惶恐。幸而言之，大部分资金管理网站设置了2FA，我没有因此受到太多实际损失。但是已然被蛇咬，我开始不断地恐惧井绳。当您也有一日陷入此等危机的时候，请不要忘记以下建议。如果您从现在开始尝试改变，它一定有助于您防范未然。
#2 - 2022-3-21 00:31
石原英里華(常盤るる)(来如遠致)
1、将Google相关浏览器内密码相关设置更改为“不进行保存”。
2、尽可能删除您在Google账号内存储的密码。
3、装载bitdefender、kaspersky等杀毒软件，当您不小心下载可疑文件时，它会助您删除。
4、使用密码管理器服务。最值得信任且可操作性最强的两款为：bitwarden与1password。我选用bitwarden，如果您希望查看更多对比评测，请参阅(https://www.cloudwards.net/best-password-manager 以及 Youtube上Pete Matheson的评测动画)。密码管理器要求您设置一项主密码，此密码一定不能与其他密码相似。
5、开启2FA、Google验证。(可选)选用Yubikey等硬体认证服务。
6、您将不再享有Google提供的最为便捷的嵌入密码的服务，但您能换来最为安全的账户。
请一定重视您的账户安全。
2、尽可能删除您在Google账号内存储的密码。
3、装载bitdefender、kaspersky等杀毒软件，当您不小心下载可疑文件时，它会助您删除。
4、使用密码管理器服务。最值得信任且可操作性最强的两款为：bitwarden与1password。我选用bitwarden，如果您希望查看更多对比评测，请参阅(https://www.cloudwards.net/best-password-manager 以及 Youtube上Pete Matheson的评测动画)。密码管理器要求您设置一项主密码，此密码一定不能与其他密码相似。
5、开启2FA、Google验证。(可选)选用Yubikey等硬体认证服务。
6、您将不再享有Google提供的最为便捷的嵌入密码的服务，但您能换来最为安全的账户。
请一定重视您的账户安全。
#4 - 2022-3-21 00:42
NekoNull
补充，不止是 Chrome 系，基本上所有浏览器的自带的密码保存功能都仅仅是保存，保密性能可以忽略不计。
参见：https://github.com/moonD4rk/HackBrowserData
参见：https://github.com/moonD4rk/HackBrowserData
#11 - 2022-3-21 01:18
#13 - 2022-3-21 02:32
墨冷(珍惜时间... 挤时间在自己感兴趣的事情上面)
其实所有浏览器的密码记忆都是明文存储的... 不过可以试试KeePass之类的本地加密的密码数据库衍生还有KeePassX、KeePassXC, 然后把加密的数据库放到坚果云之类的WebDAV网盘方便用. 用本地的加密应该就可以了吧, 多电脑读取的话用WebDAV网盘. 加密很难破解, 只要避免有植入的病毒监听键盘输入就行了吧(其实威胁最大的还是厂商的数据大面积泄露, 以及数据的明文存储)
#14 - 2022-3-21 02:53
他说nil没法调用IsNil(nobody cares.)
chrome是明文保存嘛？完了一半密码存在chrome上；不过我每次访问他还是要我输入操作系统的用户密码啊。
#22 - 2022-3-21 10:02
#23 - 2022-3-21 10:11
#26 - 2022-3-21 10:46
缇亚拉(唱唱反调)
你说话像机翻，好几个帖子看你说话都这样，外国人？
#26-3 - 2022-3-21 15:08
飛龍 🇺🇸🇯🇵🇹🇼🇺🇦iyouport还是有人为修正的，deepL 更自然些
invisible 说: 也可能是隐私考虑，
将母语机翻外语再翻回来，说话风格就完全不能分辨了，
我知道一个自媒体这么干的，iyouport
#26-4 - 2022-3-21 16:41
石原英里華(常盤るる)不是隐私考虑
我的说话方式真的很奇怪吗？
invisible 说: 也可能是隐私考虑，
将母语机翻外语再翻回来，说话风格就完全不能分辨了，
我知道一个自媒体这么干的，iyouport
我的说话方式真的很奇怪吗？
#27 - 2022-3-21 11:08
绯红の空(ニューオビー)
讲道理这么多人在使用的功能，何况还是谷歌这种体量的公司，这种重大缺陷没上过新闻头条就很离谱。
谷歌没有理由放任这么重大的安全漏洞，因此我怀疑这是fake news.
谷歌没有理由放任这么重大的安全漏洞，因此我怀疑这是fake news.
#27-1 - 2022-3-21 11:39
神隐
看起来更像是设备本身被黑了，
浏览器密码保存都是默认设备本身可信，不是他人操作，
如果电脑本身有恶意软件，那就没办法了，
换密码管理器＋本地加密，保管好密码/密钥，这样安全性确实比浏览器高一大截
浏览器密码保存都是默认设备本身可信，不是他人操作，
如果电脑本身有恶意软件，那就没办法了，
换密码管理器＋本地加密，保管好密码/密钥，这样安全性确实比浏览器高一大截
#27-2 - 2022-3-21 16:45
石原英里華(常盤るる)正如此处提及，是我的PC被毒害程式攻击，而不是Google账号遭受攻击。chrome储存的密码是十分容易被解析的，但是密码管理器的密码加密方式与其相异，不会被同时解析。
invisible 说: 看起来更像是设备本身被黑了，
浏览器密码保存都是默认设备本身可信，不是他人操作，
如果电脑本身有恶意软件，那就没办法了，
换密码管理器＋本地加密，保管好密码/密钥，这样安全性确实比浏览器高一大截
#33 - 2022-3-21 14:14
镜子阁(Dream a dream)
我下载了dashline
我将google中的密码导入了dashline
我删除了google中的密码
我一想到我的手机上，平板上不能使用dashline我如鲠在喉
我恢复了google中的密码并决定安于现状
虽然我236个密码中有160个都是一样的
dashline会是一个安全的公司吗，还是把密码删了吧
那我这一顿操作意义何在呢？
(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)
我将google中的密码导入了dashline
我删除了google中的密码
我一想到我的手机上，平板上不能使用dashline我如鲠在喉
我恢复了google中的密码并决定安于现状
虽然我236个密码中有160个都是一样的
dashline会是一个安全的公司吗，还是把密码删了吧
那我这一顿操作意义何在呢？
(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)(bgm38)#37 - 2022-3-21 19:37
#39 - 2022-3-21 19:47
#41 - 2022-3-21 23:59
工口卿(あの女の子は過酷な戦場に舞う、まるで精霊のようだっ)
考虑到便利性自己当前还是浏览器保存的...虽然也有针对每一个账号密码以notepad的形式记录并且加密打包压缩在本机备份就是了。看LS提到的开源的选择里bitwarden和keepass都挺有吸引力的,(后者似乎没有手机端应用的样子...?) 总之先mark下。
#44 - 2022-3-22 05:55
#45 - 2022-3-22 07:03
エイリアン
事实上根据kill chain原则，避免安全风险只需要破坏攻击链的一环即可。因此在考虑把密码转移到可信第三方托管之前，不如先从加强浏览器本身做起
以Firefox为例：
- 检测密码是否已经泄露（Firefox提供了相关检测功能）
- 使用安全检测/过滤的扩展插件
- 设置primary password
- 开启https-only以及strict tracking protection
- 开启url address full display避免forgery
- 不要进入证书未通过验证的网页（浏览器此时会给出警告），除非你知道你在做什么
- 在移动端Firefox上开启2FA
积极更新windows defender也是很好的习惯，能大幅降低0 Day漏洞的危害
当然如果要进一步加强的话，将浏览器密码进一步加密or给第三方托管当然是可行的选项，不过对于大多数人来说之前的步骤（几乎零成本）已经可以避免绝大多数风险了=_=
以Firefox为例：
- 检测密码是否已经泄露（Firefox提供了相关检测功能）
- 使用安全检测/过滤的扩展插件
- 设置primary password
- 开启https-only以及strict tracking protection
- 开启url address full display避免forgery
- 不要进入证书未通过验证的网页（浏览器此时会给出警告），除非你知道你在做什么
- 在移动端Firefox上开启2FA
积极更新windows defender也是很好的习惯，能大幅降低0 Day漏洞的危害
当然如果要进一步加强的话，将浏览器密码进一步加密or给第三方托管当然是可行的选项，不过对于大多数人来说之前的步骤（几乎零成本）已经可以避免绝大多数风险了=_=
#45-2 - 2022-3-22 18:48
エイリアン参考教程：
https://www.google.com/amp/s/pur ... ss-bar-firefox/amp/
工口卿 说: 请问url address full display这项如何启用?没有在设置中找到...
https://www.google.com/amp/s/pur ... ss-bar-firefox/amp/
#47 - 2022-3-22 20:43
lhb5883-吹冈王♛⑩(BGMのTrinitas<=>婊冈妈<=>补冈妈<=>拜冈妈 三位一体 ...)
我感觉大部分的密码其实无所谓吧，涉及资金的才需要重视。