要选一款值得新加坡用户信赖的密码管理器，先得弄清楚这类工具究竟能做什么、又为何重要。我们大多数人都要打理几十个网络账户，从银行和关联 SingPass 的服务，到购物、流媒体和工作登录。为每个账户都记住一个高强度、独一无二的密码几乎不可能，于是人们就把同样的几个密码到处重复使用。而这恰恰是攻击者所指望的。当某个网站发生数据泄露，犯罪分子会拿着外流的邮箱和密码组合，去试探你的其他账户，这种手法被称为撞库（credential stuffing）。一款好的密码管理器能斩断这条链条：它为每个账户生成并保存一个各不相同的高强度密码，这样即便某处泄露，影响也被牢牢控制在一处。
这个思路乍看之下也许有点违反直觉：为什么要把所有密码放在同一个地方？坦白说，另一种做法——重复使用弱密码，或把密码写在便利贴上——风险要大得多。设计精良的密码管理器会对你的数据加密得极为严密，就连运营这项服务的公司也无法读取。你要做的只是记住一个高强度的主密码，其余的都交给工具处理。
密码管理器实际是如何运作的
密码管理器的核心，是一个加密的保险库。当你保存一条登录信息时，工具会先用强加密把它打乱，再进行存储，无论是存在你的设备上还是同步到云端。解开这个保险库的钥匙，来自你的主密码——这正是那一个密码如此要紧的原因。信誉良好的服务采用所谓的零知识（zero-knowledge）或端到端加密，也就是说解密只在你自己的设备上进行。服务商手中从不掌握你保险库的可读副本，因此即便他们的服务器遭到入侵，攻击者拿到的也只是一堆无法辨认的密文。
你用得最多的功能是自动填充。一旦管理器记住了你的登录信息，当你访问某个网站或打开某个应用时，它就能自动填入用户名和密码。这不仅仅是图方便。自动填充在填入之前会核对确切的网址，所以如果你误入一个专门用来钓鱼、外观以假乱真的仿冒页面，管理器根本不会主动帮你填写。这份沉默本身就是一个有用的警示，提醒你这个网站并非它所声称的样子。
密码管理器还内置了一个生成器，可以随时创建又长又随机的密码。既然你不再需要记忆或手动输入这些密码，也就没有理由把它们弄得又短又简单。大多数工具还会标记出保险库里那些薄弱、重复使用或曾经泄露过的密码，为你列出一份清晰的待办清单，方便你日后逐步收紧各个账户。
除了密码，许多管理器还能保存其他敏感信息，比如加密便签、信用卡资料、身份证件，以及一次性验证码的种子密钥。把这些放进同一个加密保险库，意味着它们能享受与登录信息同等的保护，而不是躺在一个完全没有加密的记事应用里。
如何安全地挑选与使用
并不存在一款对所有人都最安全的密码管理器，任何声称有的评测，你都应当保持警惕。相反，你该把注意力放在那些真正重要的特质上。留意它是否采用强大、现代的加密，以及清晰的零知识设计。确认这款工具能在你使用的所有设备和浏览器上运行，因为一款你在手机上用不了的管理器很快就会让你烦躁。想一想服务商是否有透明公开的往绩，是否发布独立的安全审计，是否在出现问题时坦诚回应。易用性同样重要，因为一款让你觉得别扭的管理器，最终就是你会弃用的那一款。
下表列出了你会遇到的几种主要类型，方便你判断哪种方式适合自己。
| 类型 | 工作方式 | 最适合 |
|---|---|---|
| 云端服务 | 加密保险库通过服务商的服务器在多台设备间同步 | 大多数希望在手机和电脑上都用得顺手的人 |
| 本地或离线保险库 | 保险库文件留在你自己的设备或你掌控的存储中 | 偏好完全避开云同步的用户 |
| 浏览器自带 | 把密码保存在你的网页浏览器账户里 | 随手使用，尽管功能较为有限 |
| 家庭或共享计划 | 各自独立的保险库，可选择共享指定条目 | 希望安全共享少数几个登录信息的家庭 |
无论你选哪一种，几个习惯决定了你得到的是真正的保护，还是一种虚假的安全感。你的主密码必须高强度且独一无二，绝不能在任何别处用过。由几个互不相干的词组成的口令短语，既难以被破解，又比一串又短又杂的符号更容易记住。把它抄下来一次，然后把那份副本存放在物理上安全的地方，比如一个上锁的抽屉里，因为按照设计，一旦你忘了它，通常就没有办法再找回你的保险库。
一定要在你的密码管理器账户上启用双重验证（常简称为 2FA）。它在主密码之外增加了一道验证，这样即便有人不知怎么得知了你的主密码，也依然进不去。绝不要把主密码告诉任何人，对任何索要它的短信、来电或邮件都要抱持怀疑，因为正规服务商永远不会向你索取它。
最后，在你真正需要之前，就先把恢复这件事想清楚。弄明白你所选的工具在忘记主密码或丢失设备时是如何处理的，并设置好它提供的任何紧急访问或备份选项。有些服务允许你指定一位受信任的联系人，对方在经过一段等待期后可以申请访问权限，这一点值得配置好，这样在紧急情况下你的账户才不会被永远锁死。
工具设置好之后，还值得围绕它养成几个日常习惯。每隔一段时间运行一次它内置的安全检查，看看哪些账户还在使用弱密码或重复密码，然后一次更新其中最糟糕的几个，而不是想一口气把所有问题都修好。花点时间去更改任何被管理器标记为出现在已知泄露事件中的密码，因为那些正是攻击者已经掌握的。当你注册新服务时，从一开始就让生成器来创建密码，这样你的保险库便会稳步填满高强度、独一无二的登录信息，而你几乎不必额外费力。
密码管理器不会让你刀枪不入，但它消除了大多数人数字生活中最大的那个弱点：薄弱又重复使用的密码。用心把它设置好，护好主密码，让双重验证保持开启，你就已经迈出了保护账户最有效的一步。
延伸阅读
常见问题
忘了密码管理器的主密码怎么办？ 按设计，通常没有办法找回你的保险库，所以请把主密码写下来一次，把这份记录放在实体上安全的地方，例如上锁的抽屉。也要在需要之前，先设置工具提供的紧急访问或备份选项。
密码存放在本机保险库比存放在云端更安全吗？ 没有哪一种对每个人都更安全。本机或离线保险库适合想完全避免云同步的人，云端服务则方便跨设备使用。如果采用零知识加密，即使服务商被入侵，泄露的也只是无法读取的密文。
浏览器内置的密码管理功能够用吗？ 随便用用的话可以，不过文章指出它的功能比较有限。请确认它能在你所有的设备上使用，并具备你需要的功能。不管用哪一种，都要用强度高的主密码和双重验证来保护账户。
怎样安全地与家人分享串流或 Wi-Fi 密码？ 家庭或共享方案让每个人拥有各自独立的保险库，并可选择性地分享部分项目。这比通过聊天软件发送密码安全得多，适合想共享几个账号、又不想把一切都暴露出来的家庭。
要怎样把现有账户转移到密码管理器，又不必全部重来？ 循序渐进地做。先运行内置的安全检查，找出弱密码、重复使用和已泄露的密码，再一次更新几个最糟糕的。新账户则从一开始就让生成器来创建密码。
延伸阅读： 如何给 PDF 或 Zip 文件设置密码保护 · 如何用 BitLocker 或 FileVault 加密笔记本电脑