常用的各种密码管理软件能信任吗？简单粗暴地撸了个密码管理的工具，求吐槽

[feixchow]

各种常用的密码管理软件能信任吗，尤其是带云存储功能，密码存在云端就安全吗？
自己简单粗暴地撸了个密码管理的工具，欢迎大家来吐槽

目前的想法：
* 防止密码被社工
大多数人设置的密码都包含个人隐私信息（姓名，生日等），而这些信息是有限的，防止黑客获取到隐私信息后猜解密码

* 不同网站使用不同密码
防止一个网站被脱库，导致所有网站账号都被攻破

* 防止设置密码的习惯泄漏到互联网中
每次设置密码的时候都要抓耳挠腮想半天

Gayhub 地址 https://github.com/feix/Genpass

[fcicq]

世界上又多了一个不懂密码学就瞎折腾出来的作品

[feixchow]

瞎折腾是真的，不懂密码学是真么看出来的呢，😂

[herozzm]

keepass 挺好的，离线的

[niko]

@herozzm +1024

[rekulas]

http://git.oschina.net/splot/dopass/tree/lastpass_v3.2
我也有和你一样的担心 不过我撸的是针对 lastpass 密码管理的二次加密，二次加密后再上传给第三方加密，安全性提高数倍
国内也有个花蜜的可以实现高安全因为是动态生成不存在泄露问题，不过我经常用密码管理软件记录一些个人信息所以不适合我

[fcicq]

给后来者看:
shapass=$(echo -n ${username}${concat}${keyword}${concat}${passphrase} | sha256sum | awk '{print $1}')

然后后面取值的时候竟然不是进制变换, 是每两位 hex 然后取可显示的部分.

[rekulas]

看了下貌似也是和花蜜一样动态生成？

[lslqtz]

挂在内网就不怕不懂密码学了，明文都没事。
@fcicq 你说是吧（滑稽

[fcicq]

@lslqtz 所谓"挂内网"的最终解法其实是 HSM 对吧.

[lslqtz]

@fcicq 我的密码是维护在多台设备的文本上的。。 2333
在 vps 上挂个 HTTP 认证然后放密码 只开放 80 也没啥问题。

[wevsty]

keepass 还是值得信任的
网站名+密码取 hash 的做法还是有些问题，要是某些要素忘记了就不好办，泄露了也不好改

[GhostFlying]

@lslqtz 重放，至少得搞个证书吧。。

[lslqtz]

@GhostFlying HTTP 认证是得上 HTTPS 。

[GhostFlying]

@lslqtz 不过这种 web based 的现在有 KeeWeb ，其实就是 KeePass 的 web 客户端

[rhin0]

google 下 random symbol generator ，各种大小写、数字字符都勾选了，生成十几行随机密码。打印出来，狡兔三窟，存成 txt ，放开启两步验证 googledriver/ dropbox 里，安全得很。只要记住用随机密码阵列你选取的密码的坐标即可。

[feixchow]

@wevsty 之前也用过 keepass ，有次忘记备份数据库文件，蛋疼的改了好久的密码

[alay9999]

具有同样想法的神经病一枚。

https://tools.appinn.com/mi-plus.html

[feixchow]

@alay9999 😄，功能好多，看来花了不少心思；一对比，我这简直简陋

[feixchow]

@fcicq 进制转换指的是？最后生成密码必须要转成可打印字符，要不没法用啊
```shell
((num=16#${shapass:$i:2}))
```

[alay9999]

@feixchow 然而懒成了狗，各种扩展客户端虽然心里有想法，然而一直并没有做








所以一直被人称作坑王……