都說要常換密碼. 我有用 bitwarden/keepass 等等. 但如果每半年換一次 master password 會否很笨?

[jadeluvlove]

都說要常換密碼. 我有用 bitwarden/keepass 等等. 但如果每半年換一次 master password 會否很笨?

自己十年來的密碼都是 "xxx". 如果流出過一次, 則我所有數据都等於沒加密.

如果每半年 e.g 24H1, 24H2 等等的換一次大密碼. 好處是即使流出, 也是流出半年.

但如果有天那個 password manager 出事, 便危險了. 而且要記住的是數十到一百個 password. 我猜还有 60 年命吧, 就是 120 個 password.

你們常轉換大密碼嗎?

[halida]

不换

[cooltechbs]

2017 年开始用 LastPass ，到现在一共换了两次主密码（也就是总共用了三个主密码）
一句话，自己不是高价值目标

[longsays]

不换，主密码+文件 key ，这还能被撞到算我倒霉

[zhangeric]

上 2 步认证.

[CTd1DJnr6KlM]

yubikey

[bobryjosin]

有 2fa 的都开了，不支持的估计也没有那么重要，其实也没有多少密码需要记。

[Achophiark]

@CTd1DJnr6KlM yubikey 这种仅仅适合搞安全性、但低频使用率的吧

[C5H12O5]

从来不换，心里记住一个较复杂的主密码，密码管理类软件记前缀/后缀，泄漏了风险也不大。坏处就是自动登录用不了，还是需要手动输入一次主密码

[klgd]

没有换密码 都是用 bitwarden 生成的密码 也记不住，全靠 bitwarden

[DIO]

@klgd 太真实了

[CTd1DJnr6KlM]

@Achophiark 我是说 yubikey 搭配 keepass 这些密码管理器

[ttionya]

vaultwarden 主密码超长，70 多位，大小写数字字符，你撞到宇宙毁灭都撞不出来。为了避免输密码，现在都用的客户端的登录请求

至于里面的密码全是 vaultwarden 管理的，几乎都没换过

[3141592653]

半年或者一年一换，取一个 N 位数字，每次换都是数字递增，就不难记忆了。
主密码 + key + 系统账号信息

[815979670]

首先你得明确定时换密码的目的，换密码的目的就是防止密码已经泄露但你不知道，然后别人可以用已经泄露的密码登录你的账户，或者拿泄露的密码去撞库造成你更大的损失。

如果你使用 bitwarden 生成密码 的话，撞库的可能性是 0 ，因为每个平台的密码都不一样。

所以说 换密码的目的只有第一个 防止有人用已经泄露的密码去登录被泄露密码的平台的账户，如果没有平台泄露密码，那你改密码的操作只是从一个没人知道的字符串 改成另一个没人知道的字符串而已，并且使用 生成器生成的密码复杂度、长度都是一样复杂的，所以密码没有泄露的前提下，并没有换一个密码 安全度更高的说法。

[jpyl0423]

除非有后门，换主密码干嘛，别人又不知道我的用户名

[oneisall8955]

主密码比较复杂，和其他密码都不一样，自建的服务，主密码从来没换过

[815979670]

@815979670 看错了 说的是主密码，不过道理是一样的 如果没有泄露 无法去就是从一个字符串换到另一个字符串而已们只要这个主密码不在其他地方用，就不用担心泄露的问题，并且 我是自建的 域名不公开 安全下也会更高一些

[Admstor]

我用的是 keepass
我会不定期更换我的密码和 key file

安全不是你以为或者他以为
安全是严格的执行安全规则

[s7evinz]

换密码主要是强迫小白不用同一个密码，这规则不适用于主密码和随机生成的密码。复杂主密码加 2FA 就可以了，换多错多，搞混记不起更惨。

复杂是为了万一 Bitwarden 泄漏了数据库 brute force 不了，2FA 是防止密码泄漏异地登录。

[apt41]

讲个笑话，新的密码规范好像删除了经常更换密码。

[JustBecause]

1password ，主密码偶尔换换没问题，里面的密码如果泄露会有提醒