或许，我们没有那么多密码需要保存

[tigerc]

由于备份及容灾意识过强，我整了 3 台设备。
iPad mini 5
iPhone 13 mini
iPhone 13
都装有 1Password 。
想着，哪怕其中一个故障或者丢失了，都没有任何问题。
就这样愉快的过了 2-3 年。
唯一发现的问题是，
同时充电，桌上一堆线。还有 Mac ，耳机，充电宝。
得多配几个充电头。
影响不大，可以处理，也可以忽略。

时间来到了本月初，一个闲的无聊的周末。
我把 3 台设备都出了，换了个 iPhone 15 。

Type-C ，爽了。
还可以直连三星 T7 硬盘，更爽了。

故事从这里就开始了。

旧设备退 ID ，密码是自动生成的，不记得。
拿张纸写下来了。
这里看似是救命稻草，其实不写也没事。

1Password 得转移到新机上，因为所有的密码都在上面。
用 Dropbox 同步，200 多个。
什么 2FA ，什么备用代码，通通都记在里面。

1Password 保险库保存在 Dropbox 里面，
Dropbox 的 2FA ，备用代码，都保存在 1Password 保险库里面。
我想要拿到 2FA ，得先连上保险库。
看到没有，这里死循环了。

其实我早就发现死循环了，但这不有 3 台物理备份嘛，死不了。

开始换新机。
期间，什么都不用做，数据转移好了。
系统是 iOS 18 ，可以用。
瞅一眼，1Password 中 200 多个密码都在。

回家把线捋一捋，多出的充电头收起来。
整个房间清静了。

划拉了几下 iOS 18 ，发现很多设置没有。
还是换回 iOS 17 吧，懒得折腾。

搜了一下，用 Mac 可以降级。
那等什么，来吧。

自然是先点备份，再降级。
瞅一眼，确实备份了。

开始降级。
期间，什么都不用做，数据转移好了。
仔细一看，不对，确实是回到了 iOS 17 ，但 1Password 没了。
没事，我不是备份了吗。

点一下的事儿，点恢复备份。

没错，你推理到了。
恢复不了。

这下进入死循环了，死得透透的。

你们有过一瞬间丢失 200 多个密码的经历吗？
或者我换一个问法，
你们的心死过吗？

我这种各种网盘都有，数据交叉备份。
密码全部自动生成，带 2FA 。
横行墙头 10 余年，从无任何闪失的独行剑客。
今天，栽了。

我的心仿佛空了一块，
更让人伤心的是，
我不知道我空掉的这一块，是个啥。
因为我不记得。

总不能马上就去死，
新手机还在充电呢。

应该还有救，捋一捋。
一个个来。

Apple ID 我能登录，其实不手写密码也没事。
开了双重认证，能收短信就能登录。
这点相当简单，也相当好。
就是这点救了我，不然我绝不可能发这个帖。
因为我的心死了。
不是，因为我登录不了。

这下好办了。
我有另外两个 Apple ID ，专门用来做所有账号的辅助邮箱。
是的，我有好几个 Apple ID ，用处各不相同。
密码自然也不记得，但我能收到短信，就能登录了。

我复活了。
有印象的数据全部回来了。

当然有我不记得的，不仅密码不记得，
我连帐号都不记得，甚至登录地址我都不记得。
等于是某些东西，从我的生命里消失了。
是哪些东西消失了，我也不知道。
仿佛从来就不曾来过。

有影响吗？
完全没有。

倒是有一些结论。

Dropbox 我是很喜欢的，存了很多重要数据。
帐号邮箱我找回了，能收到邮件。
Dropbox 密码也重置了，但无法登录。
卡在了 2FA 和备用代码上。

不让我登录，我拿不到这两个数据。
发了一堆邮件找客服，他扯一堆废话，就是登录不了。

得，不要了。

除了 1Password 保险库，其他所有数据都有交叉备份。
没啥影响。

还是 Apple 和 Google 简单纯粹，
双重认证短信一填，这个帐号就恢复了。
辅助邮箱验证码一填，这个帐号就恢复了。
至于这个帐号是不是持有人恢复的，
作为数据商，你应该去分析。
我看到，Apple 和 Google 做了分析。
他并非马上恢复，
而是告诉我，他需要经过分析，才能判定是否给我恢复。
这点做得非常好。

而不是如 Dropbox ，给我发一份备用代码，叫我打印出来。
没有这个备用代码，不给我登录。
你想啥呢？
还打印？
就算打印了，我能找得到？
滚犊子。

目前我发现，Google 账号，你就算知道我的密码，我不开 2FA ，你也登录不了。
他会分析你的设备和 IP 地址，然后要我在手机上点数字确认，你才能登录。

我切换了 IP 地址，也需要在手机上点数字，才能登录 Gmail 。

这点非常好。他在服务端做好了防御，我们随便用就好。
看似非常简单，甚至大门钥匙都丢给你，但你就是进不来。

这不就是，真正的科技，是让你感受不到科技的存在。

更有甚者，我自己拿着钥匙。
家里有我的身份证，各种生活照片，各种资料。

还有交叉备份可以证明这些东西就是我本人的。
他居然不让我进家门。

Dropbox 兄弟，搁以前，我给你大拇指。

现在 2024 了，揉揉眼睛行吗。
别人都取消密码了，你还让我带个纸。

[HKzy]

一切数码相关的折腾，终点都是 apple 产品

什么？你就不是？那是因为你还没到终点......

[povsister]

说你备份意识不够强吧，你知道用多个设备备份。
说你备份意识强吧，你全备份在移动设备上，外边还套个 AppleID 的锁。

可能做这些密码管理器的开发者，也想不到有人在 Master password 前面再挂一把锁，还把钥匙锁在 master pw 里边。

[Tiande]

重要数据不备份说明学费没交够，丢几次就老实了。

1pass 打开直接用，管你什么平台什么设备👻

[Biggoldfish]

把唯一的 2FA 设备在不确定能否恢复的情况下给重置了......

[hefish]

这是自己操作不当，怪不得别人。

[mi6]

也许痛过才明白 ，密码大多数的归宿都变成了防自己😂

[tigerc]

Dropbox ，2024 了，还打印数据保存。
能揉揉眼睛学学 Apple 和 Google 吗？

[NoOneNoBody]

你用过这么多账户，不知道备用码是什么？
备用码几乎是最高权限的登入，登入后可修改密码和撤销 2FA ，为的就是避免用户同时丢失密码和 2FA
而打印并非“low”，这个意思是
1.备用码权限高，理应离线、脱机保存，避免被黑、被盗
2.备用码应该跟密码和 2FA 分开保存，避免三个一起丢失，三个丢失是服务方也没辙的

我觉得你好像没有备灾意识

[NoOneNoBody]

翻了一下，google 和 apple 都有备用码，我都保存过

[tigerc]

@NoOneNoBody 有，但不多。我不应该同时出掉 3 台物理备份机。

[tigerc]

@NoOneNoBody #8 有备灾意识，但不多。我不应该同时出掉 3 台物理备份机。

[Michae1Jacks0n]

折腾密码这么多年 我的经验是：只用一个可靠的文件管理 越多越麻烦

[tigerc]

@NoOneNoBody #9 其实 1Password 的保险库我有备份在 iCloud 里的，手贱，删了。

[zwy100e72]

个人认为最好避免循环依赖

* 1Password 现在支持云上管理，所以可以通过 1Password 来保存绝大多数密码
* 1Password 自身支持 2FA ，这里使用的 2FA 方式绝对不能通过 1Password 自身管理
* 这里可以考虑 yubikey 这种硬件 U2F / FIDO / TOTP 设备，并且妥善保管这些设备
* 1Password 提供的 PDF 文件，好像叫 Emergency Kit ，也要能在不依赖其他电子账户的情况下获取到

我比较赞同 #8 说的，物理备份权限高于电子备份，所以重要账户的备用码要打印多份并且妥善保管（甚至在银行组一个保险箱都不过分（大概））

[smlcgx]

我也想过，有时候这些东西，该扔就扔，真正重要的没几个

[tigerc]

之前 Mac 也有装 1Password ，换新机了，懒，没装。

[chanChristin]

异地灾备
我的 1p 恢复码存了好几个地方，需要上云的就加密

[NoOneNoBody]

备灾意识有两条：
1. 天灾
2. 只要没有物权、控制权、解释权，一切东西都有易主的可能，这是人祸
绝大部分人是无视第二条的

[SingeeKing]

那个啥 电脑呢？

[tigerc]

@SingeeKing 前 Mac 也有装 1Password ，换新机了，懒，没装。

[lxh1983]

全副武装闯红灯，被撞了就说头盔没用

[ccaa5j]

搞得花里胡哨的没什么用，你是为了防自己吧，一个 apple id+钥匙串就行了

[0o0O0o0O0o]

我认为依赖多黑盒多的备份简直不算备份，没有容灾的备份很脆弱，而没有演练的容灾是一厢情愿纸上谈兵。所以在我看来 OP 不算有备份，更不算有灾备了。

[tigerc]

现在老实了，什么这密码那网盘的一大堆，没必要。
有 Apple 和 Google ，外带几个移动固态硬盘，就够了。

[IvanLi127]

一顿操作猛如虎

[tigerc]

@0o0O0o0O0o Apple 和 Google 帐号好多个，交叉备份。
移动硬盘 3 个，重要资料复制 3 份。
目前来说，问题不大。

[tigerc]

@IvanLi127 重要的资料都回来了。不记得的，就随风而去吧。

[zhhmax]

我自建 vaultwarden ，主密码记在心里，密码库定时备份到云盘，所有开了 2FA 的账号二维码单独存在电脑，不存在找不回的情况。

[leena]

说句难听的，你这就是闲的，三个设备多踏实啊，哪怕出掉，也不能全部都卖掉，至少留一个，狡兔三窟，你这不如兔子啊

[leena]

@IvanLi127 原来自己才是 250

[tigerc]

@leena #29 确实是，三窟同时堵上了。认栽。

[tigerc]

就在刚刚，我要登录 CloudCone
同样，我不记得密码，还开了 2FA 。
我点忘记密码，他给我发了个 5 分钟后失效的一次性登录链接。
我一点就登录了，密码和 2FA 都能修改。
这不挺好的吗？
Dropbox 为何这么死板呢？

[0o0O0o0O0o]

@zhhmax #28 服务器机房失火了、服务商跑路了，电脑被盗了、烧毁了，云盘出 BUG 清空了、账户被封了

[zhhmax]

@0o0O0o0O0o #33 好家伙，你咋不说地球毁灭了。

[biidbiid]

问题在于你这三个都是移动设备，pc 或者 mac 没有保存吗，我安卓甚至还保存了一份

[tigerc]

@biidbiid
之前的 Mac 也有装 1Password ，换新机了，太懒，没装。
以前这 App 那插件，一大堆。
现在是一个 Chrome ，一个虚拟机。
其他啥都没有。

[syyyyy]

1password 每隔 3 个月我会下载下来放移动硬盘里，而 1password 注册的时候会给一恢复码我也是打印出来放着。

[weakish]

@tigerc 所以 CloudCone 是重置密码不需要 2FA 直接凭邮箱就可以？如果是这样的话，我会感觉很不安全。当然从另一个角度来说，用户不用担心丢失 2FA 设备及备用码导致无法登录账户。

[neilp]

换新手机, 旧手机至少保留一个月.

[oneisall8955]

all in bitwarden + 多端备份，主密码复杂一点，可以不变，或者按规则变更

[totoro625]

@tigerc #32 对于在乎安全的人而言感觉看到了另一个极端
如果任何一个账号仅凭邮箱里的登录链接就能在新设备登录，密码和 2FA 全都是摆设
这个产品设计上就没考虑过安全
我觉得 Dropbox 设计的没错

补充：
1. 如果你在 iOS18 有备份数据，可以再次升级到 iOS18 ，从备份中获取数据
2. 1password 买断用户才能 Dropbox 使用，你选择了自己保存数据，但是没保存好数据
只在手机上保存数据，还在最重要的手机上测试新版本系统，依赖不可靠的测试版系统备份文件降级
3. 一个别有心机的坏人，获取了你的邮箱，就能登录这么多属于你的账号，实在是可怕

[tigerc]

@weakish 确实是直接跳过 2FA 了，你可以测试一下。

[tigerc]

@totoro625
目前我发现，Google 账号，你就算知道我的密码，我不开 2FA ，你也登录不了。他会分析你的设备和 IP 地址，然后要我在手机上点数字确认，你才能登录。
我切换了 IP 地址，也需要在手机上点数字，才能登录 Gmail 。
这点非常好。他在服务端做好了防御，我们随便用就好。
看似非常简单，甚至大门钥匙都丢给你，但你就是进不来。
这不就是，真正的科技，是让你感受不到科技的存在。

[shyangs]

@tigerc

那若你的手機不小心摔了會怎樣, 能登入 Google ?

[tigerc]

@shyangs
备用邮箱是 iCloud ，可以找回 Google 。
iCloud 绑定手机号，收短信登录。
手机号绑定身份证，可以找回。
身份证丢了再去办一个。
这就完美闭环了。
什么都能找回来，并不需要诸多限制。
应该在服务端做足防御，而不是让我到处放钥匙。
被人破门而入了，而怪我丢了钥匙。

[moudy]

所以我的大部分密码都是自己生成的。因为我曾经莫名其妙的钥匙串被清零过......

[tigerc]

更有甚者，我自己拿着钥匙。
家里有我的身份证，各种生活照片，各种资料。
还有交叉备份可以证明这些东西就是我本人的。
他居然不让我进家门。
Dropbox 兄弟，搁以前，我给你大拇指。现在 2024 了，揉揉眼睛行吗。
别人都取消密码了，你还让我带个纸。

[shyangs]

@tigerc

你是到處放鑰匙，但沒記住主鑰匙(Master Password)，這才有了這篇帖子.

記憶主鑰匙不需要用紙. 只需要大腦，比如用聖經或哈利波特的一句句子當主密碼.

`I_will_place_on_his_shoulder_the_key_to_the_house_of_David.` 大小寫特殊符號, 極長, 妥妥強密碼, 還不會忘記.

覺得聖經或哈利波特太有名你可以用冷門書.

[tigerc]

@shyangs
不是这个意思。
主密码我记得，但不记得备用密码。
等于给我套了 2 层锁，我只能打开一层。
应该学学 Google ，淡化客户端密码，在服务端做足防御。

[Lotii]

Apple 二次验证依赖手机号有点坑，Apple ID 绑定的邮箱就是发个通知。
Google 好像不支持备用邮箱找回？
我刚刚试了下 Google 账号无密码、2FA 验证码，恢复密钥的情况下，好像无法恢复呢

[tigerc]

@Lotii
你再试试，我 10 个 Google 账号都是靠 iCloud 找回的。
没有 2FA ，没有密钥。

[Lotii]

@tigerc 我试了 3 个 Google 账号都不行，3 个号都开启了 2FA ，也都设置了备份码，添加辅助邮箱。恢复账号页面“试试其他方式”跳过了 2FA 和恢复码就没了呢

[tigerc]

@Lotii #52
你看

[Lotii]

@tigerc OK 了！多试了几次，才跳出使用辅助邮箱接收验证码的选项😂

[mazyi]

备份数据是有 321 原则的，你这个权当自娱自乐了

[deepzz]

2FA 丢失理论上来说应该通过更多因素的验证来证明你是所有者，增加盗号的成本。但是备用码保存又是问题，很容易形成循环。这就是方便与安全性的妥协问题，很难。

楼主将数据存放与 iCloud 完全就解决问题了，最终落地到 Apple ID 上或者密码和 2FA 分开存储。

有兴趣可以试用 https://apps.apple.com/app/authone/id6467347432?at=web

[tigerc]

@mazyi
这么复杂吗？
我直接复制 3 份移动硬盘。
Google 云端硬盘互相连接起来备份和同步。
总不能我 10 个帐号都丢了。
就算再丢一次，也能回来。

[tigerc]

@deepzz
是的。
我不再申请帐号了。
10 个 Google 帐号够我登录各种网站和 App 。
墙内，用 iCloud 。
从此，不再需要密码了。

[onice]

我用的 Sticky Password ，捷克一家公司的产品。可以自己选择本地同步还是云同步。不过我当然用云同步。

平时移动端关联指纹验证，PC 端就用 Windows 的 PIN 码。平时进入密码库不用输入主密码，所以也不存在密码被窃取的问题。感觉并不需要开启二次验证，，安全性已经足够高了。

如果哪天我无法进入密码库，一定是我的设备都坏了，然后我的主密码也想不起来了。

[B1ankCat]

我的 master password 都存在自己的 qq 群里，稳的一笔，十年不丢

[tigerc]

用 1-2 个 Apple ID ，链接上 5-10 个 Google 帐号。
手机号链接上 Apple ID 。
就可以横行天下了。

工作资料，时刻都在本地向远程单向备份。
这个本地，是在移动硬盘。
等于已经备份 2 次。
偶尔整理一下到其他云盘。

手机相册，单向备份到云盘。
偶尔整理一下到 iCloud 。

什么密码，什么密码管理器，什么二次验证，什么这码那码。
就此，相忘于江湖了。

[HankAviator]

真能折腾。别人都在过节，程序员在干嘛呢（狗头

[bugmakerxs]

额只有手机能恢复数据？

[minottomie4383]

两把主备 yubico 挂钥匙随身带
什么，大部分网站不支持？
好吧，这目前不实用。但是物理密钥确实可以解决 OP 的问题，都怪网站不支持[Doge]
目前至少 google 、ms 、github 等多个账号和部分 ssh 可以不用记用户名密码也不怕忘，还有就是 android 的 nfc 支持还不是很好用

[gabeha]

@tigerc #59 手机号有被封的危险😀

[zszeslz]

@tigerc 意思是，所有网站的账号和密码都存放在 Apple 或者 Google 上面？没有 iPhone 怎么玩？

[CHENYIMING]

你是怎么做到每一步操作，都往后面埋雷的？？？

[tigerc]

@zszeslz
不是。
不需要另外的账号和密码。
比如 Pinterest ，可以直接用 Google 登录。
比如这个 V2 ，可以直接用 Google 登录。
密码？不存在的。
不限任何设备。

[tigerc]

@CHENYIMING
这不都排除了吗。
顺带排除了任何密码管理器。

[tigerc]

@gabeha
补办一个嘛。
我还有 1 个不带双重认证的 Apple ID ，
带 3 个密保问题，有点年头了。
这个也可以救援。

[tigerc]

@CHENYIMING
至于我不记得的，那自然是对我没有影响的。
真要用的时候，也跑不出我的 10 个 Google 账号。
找回来也很简单。

[littiefish]

好混乱，看的头胀

[ychen997]

有没有试过重新升级到 ios18 然后恢复备份 （高版本的备份无法在低版本恢复，需要原来的版本）

[tigerc]

@ychen997
等正式版来了我试试。
不过，不太需要。
所有有用的都回来了。
那一堆各种码的，看着就烦，让它安静的消失吧。

[z5238384]

那个 2FA 的 key 不是应该打印出来 物理备份么，你这一步一步 都完美踩点上，也是人才了

[Mogamigawa]

我讲讲我怎么做的，chrome 可以导出密码为 csv ，那就导出来一份，作为**基础数据**存到 sqlite 里。

自己平时注册账号就用 duckdb 读取 db 文件，写入注册信息。

还可以预存一个 sql 语句，生成随机密码。或者使用 chrome 自带的密码生成器。

然后重点来了，通过一个 bat 脚本，发送到自己的 gmail ，手机接收邮件，用的手机 App 读取。
gmail 云端一份，电脑里一份，手机里一份。

一般人拿到 sqlite 的 db 文件也不知道怎么打开，除非对方也是程序员。
如果你非要加密，原生 sqlite 没有加密，但是可以自己写加密方法，自己编译。但是有的手机 App 不支持读取加密后的 db 文件.

[Mogamigawa]

@Mogamigawa
如果不想用 duckdb 命令行或者手机 App ，
就用 sqlite wasm 写一个网页，
在网页里增删改查，应该在 GitHub 有

[Mogamigawa]

@Mogamigawa
买啥软件，费钱，
密码最多两个表就行，
除了存密码，还有一个玩法，就是存 json 化的 cookie ，到另一个设备直接导入 cookie
还能存其它常用的东西

我有两个密码表，一个是 chrome 导出的，一个是自己日常维护的，
一个 cookie 表，一个书签表，一个 rss 表
一个乱七八糟的表，只有 key 和 value ，里面有各种生成密码的 sql ，各种版本的简历，常用无线电频率

[Mogamigawa]

@Mogamigawa
两步验证或者双重验证的 key ，就是 Google authenticator 里的 key ，我不知道保存 key 会不会有用，反正我也留了一个字段，也存了几个

哦，登录地址的 URL 一定留个字段

[Mogamigawa]

@Mogamigawa 还可以存父亲母亲的 vcf 文件，就是他们手机里的通讯录导出为 vcf 文件，vcf 其实就是 csv 文件，导入导出数据库很简单，万一他们手机丢了，可以不用过于慌张

[incheon]

ios 不是就能存密码，搞不懂额外花钱用 1pass 有啥用

[zbowen66]

@HKzy #1 你到终点了？折腾几年了？都折腾了啥？

[zbowen66]

自己不会用反而怪软件

[EndlessMemory]

我连有哪些网站有账号我都不记得，进去得注册一下看看我有没有注册过

[momooc]

说实话有点那个。全是自己的问题，不知道为什么要怪 Dropbox 。

[ferock]

这就是我不用 1pass 的原因，keepass 都比这个更让人安心。

[mnday]

all in vaultwarden. master password 2FA save in Google and Microsoft authenticator ...

[PeneceaQwQ]

总结一下，顺便学习经验教训：
1. 三台旧设备（ pad 、mac 、手机），准备换新手机
2. 迁移新机子时，陷入死循环，发现通过 dropbox 同步的 1password 同步不了（ Dropbox 的 2FA ，备用代码，都保存在 1Password 保险库里面），最后通过备份恢复好了
3. 迁移新机后，想降级，降级后发现 1password 丢了
4. 恢复备份恢复不了

[archxm]

好详细的分享啊

[SkywalkerJi]

Dropbox 老号不如狗，我已经被删号几年了也没个说法

[Xenotaros]

所以问题出在 1Password 备份无法恢复？

[tigerc]

@Xenotaros
不是。
是卡在了大门口。
Dropbox 只认备用代码，他还在纸器时代。
身份证丢了，难道我就人间蒸发了？
没有身份证，一样高铁飞机。
再去办一个，也是非常简单的事。
---
咋的，你 Dropbox 认为，拿着我的身份证，就能直接取代我了？

[shmilypeter]

我也是 1Password 导出的备份存在 dropbox ，同时 dropbox 的 2fa 又在 1Password 里。不过我也不至于把唯一能 2fa 的设备全部都清空了。

看了你的经历，我把 dropbox 的登录凭据在 Apple ID 的 keychain 里又存了一遍（原本我开始用 1Password 之后都不用 Apple 的 keychain 密码都清空了），这样只要我还能访问我的 Apple ID ，就还能访问 dropbox ，就不会丢了所有密码。

另外提醒大家注意下，1Password 导出的 1pux 备份文件确实会包括所有 1Password 字段，除了 passkey ，这个是跟账号的，另外 1pux 导出里不包含存档和已删除的项目。我知道 1Password 很多人都是上家庭车的，为了防止车主删库都会定期备份 1pux ，但不建议在 1Password 上绑定太多 passkey 了。以及 1pux 文件是不加密的，谁都可以导入，所以最好妥善保管。

[shmilypeter]

@SkywalkerJi 老哥你该不会刷了空间吧，就算是这样也只是回收空间，不会被直接删号，除非你存了炼铜内容，这在欧美是高压线。

另外我也是 dropbox 重度用户，dropbox 老账号，仅凭做活动最高能 23.13G ，现在新账号只能 18G 了。其实 23.13G 如果纯用来同步文件，存配置，或者存一些重要的 credentials ，足够了。

[SkywalkerJi]

@shmilypeter #94
没有，就存了几个文件。只是长时间不上，现在号都没了，也不知道什么时候被删的。

[yagamil]

搞这么多复杂的密码，还不是一下子被阿里云盘的漏洞被破了？