你的密碼習慣，可能比你以為的更危險
大多數人的密碼管理方式，是幾組固定的密碼在不同平台之間輪替使用，加上偶爾在數字後面加個一或二來應付強制更換密碼的要求。這個習慣在帳號數量還少的年代勉強說得過去，但在一個普通人可能同時使用幾十個網路服務的今天，它已經成為帳號安全最明顯的弱點之一。 一旦任何一個使用相同密碼的平台發生資料外洩，攻擊者拿到這組密碼之後，第一件事就是拿去嘗試其他常見的服務，Gmail、Facebook、Instagram、網路銀行，這個手法有一個專有名詞叫做憑證填充攻擊，它的有效性完全建立在人們重複使用密碼這個習慣上。 密碼管理器解決的，正是這個問題。
密碼管理器實際上在做什麼
密碼管理器的核心功能，是為你使用的每一個服務產生並儲存一組獨立的高強度隨機密碼，讓你不再需要記住任何密碼，也不再需要在不同平台之間重複使用同一組密碼。 你只需要記住一組主密碼，用來解鎖密碼管理器本身，其他所有密碼都由它代為管理。當你需要登入某個網站，密碼管理器會自動填入對應的帳號和密碼，整個過程在背景完成，使用體驗上甚至比自己輸入密碼更快。 資料的儲存方式因服務而異，但主流的密碼管理器都採用端對端加密，代表你的密碼在傳輸和儲存的過程中，連服務供應商本身也無法讀取。主密碼只存在你的裝置上，不會被傳送到任何伺服器。
LastPass、1Password、Bitwarden，它們的定位有什麼不同
這三個名字幾乎是密碼管理器討論中最常出現的組合，但它們面向的使用者需求有明顯的差異。 LastPass 曾經是市場上最廣泛使用的密碼管理器之一，免費版的功能相對完整，讓它吸引了大量使用者。但 2022 年發生的資料外洩事件讓它的聲譽受到相當大的衝擊，攻擊者取得了使用者的加密密碼庫備份，雖然加密本身沒有被破解，但這個事件暴露了它在安全架構上的部分設計決策。目前仍然在使用 LastPass 的使用者，如果主密碼強度不夠高，面臨的潛在風險值得認真評估。 1Password 在安全架構設計上被資安社群普遍評價較高，它採用了一個叫做秘密金鑰的額外保護機制，即使密碼庫資料被取得，沒有這組秘密金鑰也無法解密。介面設計友善，跨平台支援完整，但沒有免費版，是三個選項中唯一需要付費才能使用的服務。對於願意為安全工具付費的使用者，它是目前市場上評價最穩定的選項之一。 Bitwarden 是開源的密碼管理器，程式碼公開可查，任何人都可以審計它的安全性，這在資安社群中是相當高的信任基礎。它有功能相當完整的免費版，付費版的價格在三個選項中最低。對於重視透明度和成本效益的使用者，Bitwarden 是目前最常被資安人員推薦的選項。
選擇密碼管理器之前，先確認這幾件事
品牌比較通常是選擇密碼管理器討論中最被強調的部分，但有幾個更基本的問題值得先想清楚。 你主要在哪些裝置上使用，是 iPhone 和 Mac 的 Apple 生態系，還是 Android 和 Windows 的混合環境？跨平台支援的完整程度，直接影響日常使用的流暢度。你是否需要與家人或團隊共享部分密碼？不同服務的共享功能設計差異很大。 你對雲端同步的接受程度如何，是否願意讓密碼庫存放在第三方的伺服器上，還是偏好自行託管？Bitwarden 提供了自行架設伺服器的選項，這對有特定需求的使用者來說是一個其他服務沒有的選擇。
關於密碼管理器的選擇與安全性，使用者最常搜尋的幾個問題
密碼管理器被駭了怎麼辦？我的所有密碼不就都外洩了？
這是最常被提出來反對使用密碼管理器的論點，但它的前提有一個邏輯上的問題。密碼管理器即使發生資料外洩，攻擊者取得的是加密過的密碼庫，要解密這個密碼庫，需要你的主密碼，而主密碼從來不會被傳送到任何伺服器。 只要你的主密碼夠強，不在其他地方重複使用，解密加密密碼庫在計算能力上是極度困難的。相比之下，如果你目前在各平台使用相同的密碼，任何一個平台的資料外洩就等於所有帳號同時暴露，這個風險比密碼管理器被入侵的風險要直接得多。
Bitwarden 免費版夠用嗎？還是需要付費升級？
Bitwarden 的免費版對於個人使用者來說，在核心功能上已經相當完整。無限數量的密碼儲存、跨裝置同步、瀏覽器自動填入、安全筆記，這些功能在免費版都可以使用。 付費版主要增加的是進階的兩步驟驗證選項、加密檔案附件功能、緊急存取功能，以及優先客服支援。如果你的需求只是管理帳號密碼並確保各平台使用獨立的強密碼，免費版足以支撐這個核心需求。
主密碼忘記了怎麼辦？密碼管理器有辦法幫我找回來嗎？
大多數密碼管理器的設計原則是，連服務供應商本身也無法得知你的主密碼，因為主密碼從來不會以可讀的形式傳送或儲存在他們的伺服器上。這代表如果主密碼遺忘，服務供應商沒有辦法替你找回來。這個設計是安全架構的一部分，而不是服務上的缺陷。 各家服務對這個情況的處理方式有所不同，1Password 透過秘密金鑰和緊急聯絡人功能提供了一定的恢復機制，Bitwarden 有帳號加密金鑰的匯出選項可以備份。在開始使用密碼管理器時，花時間了解所選服務的恢復機制，並按照建議建立備份，是一個很重要但容易被忽略的步驟。
One Key Takeaway： 密碼管理器解決的不是複雜的技術問題，而是一個行為習慣的問題，讓每個帳號都使用獨立的強密碼這件在實際操作上幾乎不可能手動管理的事，變成一個幾乎不需要額外努力的日常習慣。