Ini adalah perkara kedua paling bernilai di laman ini selepas kunci keselamatan, dan kedua-duanya berfungsi bersama: kunci menghalang seseorang daripada log masuk sebagai anda, dan pengurus menghalang satu laman yang diceroboh daripada menjadi semuanya. Lakukan kedua-duanya dan laluan biasa ke dalam hidup anda tertutup.
01Mengapa yang luar talian
Kebanyakan pengurus kata laluan menyimpan peti besi anda pada pelayan syarikat. Itu memang kemudahan sebenar dan ia tidak semestinya salah, yang bagus menyulitkannya supaya mereka tidak boleh membacanya. Tetapi ia mencipta satu sasaran tunggal, kekal, dan terkenal: pangkalan data berjuta-juta peti besi, terletak di satu tempat, dikendalikan oleh syarikat yang boleh diceroboh, dibeli, disaman, atau sekadar melakukan kesilapan. Ini pernah berlaku, lebih daripada sekali, kepada pembekal besar.
KeePassXC menyimpan pangkalan data sebagai fail pada cakera anda sendiri. Tiada syarikat, tiada akaun, tiada pelayan, dan tiada apa-apa untuk diceroboh secara besar-besaran. Jika seseorang mahukan kata laluan anda, mereka perlu datang kepada anda secara khusus, yang merupakan cadangan yang sama sekali berbeza daripada menuai semua orang sekaligus.
- Tiada pihak ketiga memegang peti besi anda, jadi tiada pihak ketiga boleh kehilangannya, dipaksa menyerahkannya, atau mengubah syaratnya.
- Ia berfungsi di luar talian, termasuk pada mesin yang tidak pernah bersambung ke internet.
- Sumber terbuka dan diaudit, dengan format fail terbuka yang boleh dibaca oleh banyak program bebas, anda tidak terikat.
- Percuma selamanya, tanpa peringkat yang menahan ciri keselamatan sehingga anda membayar.
- Sandaran adalah tanggungjawab anda. Hilang fail tanpa salinan dan kata laluan itu hilang. Tiada meja bantuan.
- Penyegerakan antara peranti adalah tanggungjawab anda, dan itulah bahagian yang paling ramai orang tersilap. Lihat seksyen 05.
- Mudah alih ialah aplikasi berasingan oleh pembangun yang berbeza, bukan aplikasi rasmi.
- Tiada sesiapa boleh menetapkan semula kata laluan induk anda. Itulah tujuannya, dan itulah juga risikonya.
Jika luar talian kedengaran lebih banyak tanggungjawab daripada yang anda mahu, gunakan Bitwarden atau Proton Pass sebaliknya dan teruskan hidup anda. Pilihan yang membawa bencana ialah yang anda gunakan sekarang, kata laluan yang sama di lima puluh tempat. Jangan biarkan pencarian alat yang sempurna meninggalkan anda pada yang paling teruk.
02Kata laluan induk, yang merupakan perkara paling penting
Semuanya bergantung pada satu frasa laluan. Jika ia lemah, tiada apa-apa lagi dalam panduan ini yang penting; jika ia kuat, penyerang yang memiliki fail pangkalan data anda masih tidak mempunyai apa-apa.
Empat hingga enam perkataan rawak — bukan frasa yang anda karang sendiri, yang jauh kurang rawak daripada yang dirasakan. Sesuatu seperti harbour-plum-ditch-tractor-vine. Ia panjang, benar-benar rawak, dan anda boleh menghafalnya, yang tidak mungkin dilakukan dengan rentetan simbol. Biarkan KeePassXC menjananya untuk anda menggunakan mod frasa laluannya, kemudian tuliskannya di atas kertas sehingga ia melekat dalam kepala anda, dan musnahkan kertas itu selepas itu.
Frasa laluan induk sepatutnya wujud di tepat dua tempat: dalam ingatan anda, dan, jika anda perlukan satu, sandaran fizikal yang dimeterai di tempat yang selamat. Jangan sekali-kali dalam fail, jangan sekali-kali dalam aplikasi nota, jangan sekali-kali dalam mesej kepada diri sendiri, dan jangan sekali-kali dalam dokumen ini atau mana-mana dokumen lain.
03Menyediakannya
-
Pasangnya dari sumber rasmi
Muat turun dari keepassxc.org, atau pada Linux dari repositori atau Flatpak distribusi anda. Taip alamat itu dengan tangan — domain yang menyerupai pengurus kata laluan adalah serangan yang sudah lama digunakan, atas sebab yang jelas.
-
Cipta pangkalan data
Database → New Database. Berikan nama yang bukan "passwords". Anda akan ditanya tentang tetapan penyulitan, tetapan lalai adalah baik, dan gelangsar masa penyahsulitan wajar difahami: nilai yang lebih tinggi menjadikan setiap tekaan penyerang lebih perlahan. Satu saat pada mesin anda sendiri adalah tetapan yang munasabah dan halangan serius kepada serangan brute force.
-
Tetapkan frasa laluan induk
Gunakan penjana, dalam mod frasa laluan, seperti yang diterangkan di atas. Luangkan masa untuk menghafalnya sebelum anda mengisi pangkalan data dengan apa-apa, kerana inilah satu-satunya saat di mana memulakan semula adalah percuma.
-
Tentukan fail kunci — dengan berhati-hati
KeePassXC boleh memerlukan fail kedua bersama frasa laluan anda. Ia meningkatkan keselamatan: seseorang yang memperoleh pangkalan data dan meneka frasa laluan masih tidak dapat membukanya. Ia juga menggandakan bilangan perkara yang boleh anda hilang, dan fail kunci tidak boleh berada dalam folder yang sama dengan pangkalan data, jika tidak ia tidak melindungi apa-apa. Langkau sahaja melainkan anda mempunyai tempat yang sesuai untuk menyimpannya, seperti pemacu USB yang anda simpan secara berasingan.
-
Simpan di tempat yang anda benar-benar akan buat sandaran
Bukan di desktop. Folder dokumen yang disertakan dalam apa jua sandaran yang anda sudah jalankan.
04Menggunakannya setiap hari
Biarkan ia menjana semuanya
Tujuan pengurus bukanlah menyimpan kata laluan yang anda ada, tetapi supaya anda tidak perlu mencipta satu lagi. Untuk setiap akaun baharu, klik ikon dadu dan ambil apa sahaja yang dihasilkannya. Anda tidak akan pernah melihatnya, tidak akan menaipnya dan tidak perlu mengingatinya, jadi panjang adalah percuma: gunakan 20+ aksara di mana sahaja tapak membenarkan.
Lakukan secara beransur-ansur untuk akaun sedia ada anda, yang paling penting dahulu — e-mel, kemudian apa-apa yang berkaitan dengan wang, kemudian apa-apa yang anda terbitkan. Tidak perlu melakukan kesemua dua ratus dalam satu malam; melakukan sepuluh teratas minggu ini sudah memberikan sebahagian besar manfaatnya.
Sambungan pelayar
KeePassXC-Browser mengisi kata laluan ke dalam halaman untuk anda. Pasangnya dari kedai tambahan rasmi pelayar anda dan sambungkannya ke aplikasi desktop, yang akan meminta anda meluluskan pautan tersebut.
Sambungan ini hanya menawarkan kata laluan pada domain ia disimpan. Pada domain pancingan data yang menyerupai, ia kekal senyap, dan kesenyapan itu adalah amaran yang perlu anda belajar perhatikan. Jika pengurus tidak menawarkan untuk mengisi, berhenti dan periksa bar alamat daripada menaipnya secara manual.
Kod dua faktor
KeePassXC boleh menyimpan rahsia TOTP dan menjana kod enam digit itu sendiri. Ini mudah dan melibatkan pertukaran yang nyata: kata laluan dan faktor kedua anda kini berada dalam fail yang sama, jadi satu kompromi mendapat kedua-duanya. Bagi kebanyakan akaun, kemudahan itu menang. Bagi akaun anda yang paling penting, gunakan kunci keselamatan sebaliknya, yang lebih kuat daripada kedua-duanya.
Apa lagi yang perlu disimpan di dalamnya
Pangkalan data ialah bekas yang disulitkan, jadi ia adalah tempat yang wajar untuk lebih daripada kata laluan: kod pemulihan daripada setiap akaun, kunci lesen perisian, jawapan kepada "soalan keselamatan" (yang sepatutnya rentetan rawak, bukan jawapan sebenar), dan dokumen yang diimbas sekali-sekala. Setiap entri mempunyai medan nota dan boleh membawa lampiran fail.
05Penyegerakan dan sandaran, di mana orang tersilap
Anda mempunyai satu fail. Anda mahu ia ada pada komputer riba dan telefon anda. Tiada pelayan yang melakukan ini untuk anda, jadi anda perlu memilih kaedah, dan pilihan itu penting.
| Kaedah | Keputusan | Nota |
|---|---|---|
| Storan awan biasa (Drive, Dropbox, Proton) | Baik | Fail itu sudah disulitkan, jadi penyedia menyimpan blob legap. Ini adalah persediaan biasa dan ia munasabah. Frasa laluan induk anda melakukan semua kerja, pastikan ia frasa yang baik. |
| Syncthing | Terbaik | Peranti-ke-peranti, tiada pihak ketiga terlibat sama sekali. Lebih banyak persediaan, dan paling konsisten dengan sebab anda memilih pengurus luar talian. |
| Menghantar e-mel kepada diri sendiri | No | Ia masuk ke dalam peti mel, secara kekal, dalam beberapa salinan, pada pelayan yang anda tidak kawal. |
| Dua peranti menyunting serentak | Berhati-hati | Bahaya sebenar. Dua salinan diubah sebelum penyegerakan menghasilkan fail konflik, dan penyelesaian yang salah secara senyap kehilangan entri baharu. Tutup pangkalan data pada satu peranti sebelum bekerja pada peranti yang lain. |
Segerak bukan sandaran. Segerak menyalin pemadaman atau kerosakan dengan setia ke setiap peranti anda. Simpan salinan berkala di tempat yang tidak disegerakkan, pemacu luaran, pemacu USB dalam laci, dan periksa sekali-sekala bahawa ia masih boleh dibuka. KeePassXC juga boleh menyimpan sandaran automatik versi sebelumnya setiap kali anda menyimpan; hidupkan ciri itu dalam tetapan.
06Memadankannya dengan YubiKey
Ini adalah gabungan yang menjadikan kedua-dua alat jauh lebih kuat, dan ia adalah salah satu ciri yang paling kurang diketahui oleh kedua-duanya. KeePassXC boleh memerlukan cabaran-tindak balas perkakasan daripada YubiKey sebagai tambahan kepada frasa laluan anda. Tanpa kehadiran kunci fizikal, frasa laluan yang betul sahaja tidak akan membuka pangkalan data.
-
Konfigurasikan slot pada kunci
Menggunakan YubiKey Manager, tetapkan salah satu daripada dua slot kepada cabaran-tindak balas HMAC-SHA1. Lakukan ini pada kedua-dua kunci anda, dengan rahsia yang sama, atau kunci sandaran anda tidak akan dapat membuka pangkalan data anda, yang merupakan petang yang sangat buruk.
-
Tambahkannya ke pangkalan data
Database → Database Security → Change Key File / Challenge-Response, dan pilih kunci tersebut. Simpan.
-
Uji kunci sandaran dengan segera
Tutup pangkalan data, cabut kunci pertama, dan bukanya dengan kunci kedua. Jika itu tidak berkesan, betulkannya sekarang, semasa anda masih mempunyai kunci yang berfungsi dalam mesin.
Pangkalan data anda kini tidak boleh dibuka tanpa perkakasan. Itulah faedah keselamatan dan risiko operasi dalam ayat yang sama. Ia juga merumitkan penggunaan mudah alih, kerana aplikasi telefon mesti menyokong cabaran-tindak balas yang sama melalui NFC. Berbaloi jika pangkalan data melindungi kerja yang meletakkan orang dalam risiko; mungkin lebih banyak geseran daripada nilai jika tidak.
07Apa yang tidak dilindungi daripada anda
- Penggunaan semula kata laluan, dan oleh itu satu tapak yang diceroboh menjadi kesemuanya.
- Kata laluan lemah, secara kekal, kerana anda berhenti menciptanya.
- Phishing, sebahagiannya, penolakan sambungan untuk mengisi adalah isyarat sebenar.
- Kehilangan akses kepada akaun yang anda sediakan bertahun-tahun lalu dan terlupa.
- Perisian hasad pada komputer anda. Keylogger menangkap frasa laluan induk semasa anda menaipnya, dan kemudian ia mempunyai segala-galanya. Pengurus menganggap mesin itu tidak sudah dikuasai.
- Frasa laluan induk yang lemah. Keseluruhan reka bentuk berkurang kepada satu rahsia ini.
- Dipaksa untuk membukanya.
- Pelanggaran di tapak itu sendiri, kata laluan unik mengehadkan kerosakan, ia tidak menghalang pelanggaran itu.
- Skrin yang tidak dikunci dan tidak dijaga. Tetapkan pangkalan data untuk mengunci selepas beberapa minit tidak aktif dan apabila skrin dikunci.
08Soalan yang orang benar-benar tanya
Bagaimana jika saya lupa frasa laluan induk?
Data itu hilang. Tiada set semula, tiada pemulihan, tiada talian sokongan, ini adalah akibat langsung daripada tiada orang lain memegang peti besi anda. Dalam minggu-minggu pertama, simpan salinan bertulis di tempat yang selamat dari segi fizikal sehingga anda pasti anda telah menghafalnya. Ramai orang menyimpan salinan bercop secara kekal, dengan seseorang yang mereka percayai atau dalam peti besi; itu adalah pertukaran yang munasabah dan bukan kegagalan keberanian.
Adakah selamat untuk meletakkan fail itu dalam Google Drive atau Dropbox?
Ya, dengan syarat ia menjadikan frasa laluan induk anda satu-satunya perkara yang berdiri antara storan pembekal itu dan seluruh kehidupan digital anda. Fail itu disulitkan dengan kuat dan pembekal hanya melihat bunyi. Jika anda selesa dengan itu, ia adalah penyegerakan yang paling mudah. Jika anda tidak, gunakan Syncthing.
Bagaimana dengan telefon saya?
KeePassDX pada Android dan Strongbox pada iOS kedua-duanya membaca format fail yang sama dan dianggap baik. Kedua-duanya tidak dibuat oleh pasukan KeePassXC, jadi periksa sendiri sebelum mempercayainya. Halakan aplikasi itu pada fail yang disegerakkan sama dan ia berkelakuan seperti yang anda jangkakan.
Patutkah saya beralih daripada pengurus kata laluan terbina dalam pelayar saya?
Ya, akhirnya, tetapi jangan biarkan penghijrahan itu menghalang anda daripada menggunakannya sama sekali. Pengurus pelayar terikat pada akaun pelayar, selalunya tidak berkunci apabila pelayar tidak berkunci, dan menjadi sasaran rutin bagi perisian hasad yang mencuri maklumat. Eksport daripada pelayar, import ke KeePassXC, kemudian padam fail eksport itu dengan selamat, ia adalah senarai teks biasa bagi setiap kata laluan yang anda miliki, dan jumlah yang mengejutkan masih tersimpan dalam folder muat turun.
Bagaimana ini berbeza daripada KeePass, KeePassX, KeeWeb?
Mereka berkongsi format fail dan salasilah keluarga yang sama. KeePassXC ialah yang diselenggara secara aktif merentas platform dengan antara muka moden dan sambungan pelayar, sebab itulah ia menjadi saranan di sini. Pangkalan data anda akan terbuka dalam yang lain jika anda mahu berpindah pada bila-bila masa.
09Sumber dan bacaan lanjut
- KeePassXC — laman rasmi dan muat turun keepassxc.org
- Panduan pengguna KeePassXC, manual penuh keepassxc.org/docs
- Syncthing — penyegerakan peranti-ke-peranti tanpa pihak ketiga syncthing.net
- Have I Been Pwned, periksa akaun anda yang mana sudah terlibat dalam pelanggaran data haveibeenpwned.com
- Privacy Guides — perbandingan pengurus kata laluan privacyguides.org
Kali terakhir disemak: 25 September 2026