LinPass:跨平台密码安全工具(通用密码+情景密码=复杂密码)

[lzhtony]

为什么写LinPass

这几天看到至今尚未明朗的"某大厂"脱库事件,顿时觉得有些惶恐.之前还不觉得什么,现在想一想密码还是需要一站一密比较稳妥.

于是就开始尝试各种密码管理: LastPass,KeePass...都挺不错的.然而有一些共同的问题:

1. 跨平台的支持不够简单方便.
2. 需要一个数据库,如果丢了就完蛋了.
3. 超级密码又产生新的安全隐患(尽管小得多).
4. 你真的放心把密码存在别人的服务器里吗?即使是本地数据库大多数人也是把数据库传网盘的吧.

后来又看到了一个叫"花密"的网站: http://www.flowerpassword.com
诶!这思路不错啊,用一个通用密码一个情景密码生成一个复杂密码,就可以保证你的密码安全.

然而观察之后发现它的算法并不尽如人意,比如只有16位,没有符号,字母不是26个等等.

LinPass简介

自己写了一个简陋的密码工具"LinPass"用来改善以上问题,测试地址:http://www.lxpark.com/pass/

主要优点有:

1. 生成8,16,20,32位的四种密码.
2. 可以自定义字符表(Key Map),添加特殊符号.(如果加入更多的特殊符号可以让它们出现的概率更大些)
3. JS加密,可离线使用,安全性高.
4. 使用html+js开发,天然开源,可以自由改动算法和默认Key Map.
5. 使用html+js开发,可以放进U盘里,只要有浏览器就能用,也解决了跨平台的问题.
6. 密码,情景,字符表三者缺一不可,其中两个被盗都无法还原密码.

git查看地址:https://github.com/Viclis/LinPass

zip下载地址:http://pan.baidu.com/s/1i3iwyWH

tips:

1. 自定义默认字符表: 只需将红色方框中的value属性改为你的字符表即可!

结语

欢迎提出你的建议!

[LazyZhu]

看看也就罢了，花蜜那种方式好用的话早流行起来了。
另外keepass新版发布了。。。

[lzhtony]

@LazyZhu 个人觉得还是挺好用的.

[wawehi]

这种严重依赖工具的还是算了吧，不想整那么多工具，我都是自己的名字+网站域名+特殊数字，保证一站一号，还不会忘记。

[lzhtony]

@wawehi 小心被社工了 :-)

[wawehi]

@lzhtony 没事，我公布的是假的～～～

[withrock]

@wawehi
我目前也是这样的思路，但现在有个问题我还没想到怎样解决比较好：
如果QQ的密码泄漏了，你的密码里包含了和QQ相关的域名，然后黑客就可以根据这个，推倒出其他网站的密码了。
比如QQ密码是qq123456~，那么其他的密码可能是weibo123456~
这种怎么办？

[pysama]

自己弄的一个类似的 chrome 插件，用了大概大半年了：


右侧的虚线框就是输入简单密码的地方。

有两点：
1. 最终密码不要超过 14 位， baidu 这货不支持超过 14 位的密码
2. 最终密码不要有生僻的特殊符号，有些网站的密码不支持特殊符号（ tb 就不支持）

[pysama]

@withrock
假设密码生成方式为： 最终密码 = md5 （关键 key + 简单密码）
那么泄漏了简单密码也没关系吧，因为关键 key 只有自己知道。

如果我哪里疏漏了，还请指明

[lzhtony]

@pysama 这个是否需要有显式的 form 才能识别呢?还有是怎么让每个站都不一样的密码呢?

[pysama]

@lzhtony 我是通过<input type="passsword">来识别的。

通过主域名来区分每个站点

[lzhtony]

@pysama 能做到一站一密吗?

[pysama]

@lzhtony 是的。只要域名不同，密码就不同

[lzhtony]

@pysama 如果域名换了呢?如果同一个站点多个域名呢?

[pysama]

@lzhtony
1. 域名换了还真就没办法，只能重新修改密码了。
2. 这个问题我真遇到过，比如在 netease.com 注册的帐号，在 163.com 就无法登录了（这个只能在注册和登录的时候自己多注意了）

但是根据个人经验。常用网站还是很少出现这样的问题

[lzhtony]

@pysama
还有就是多用户能支持吗?
我觉得这个和加密的 chrome 密码保存差不多吧...

[Jully11]

用了几天感觉不怎么好用，还是要记一些，感觉不如极密盾用着顺手。