1Password：我信赖的密码管理器

大家好，

今天，我想向大家介绍我日常生活中不可或缺的另一款工具——密码管理器 1Password。如果你和我一样，每天都要处理众多的在线账户，你就会明白在处理密码时安全性和高效性有多么重要。一个好的密码不仅应该复杂，还应该是独一无二的——而谁能记住这么多密码呢？这正是1Password发挥作用的地方，它帮助我安全、集中且便捷地管理我的凭据。对我来说，它是安全与组织管理中最重要的工具。

为什么选择1Password？

现在市面上有很多密码管理器，但我为什么选择1Password？答案很简单：安全性、易用性和集成性。1Password不仅安全，而且极其用户友好。无论是登录数据、信用卡信息还是安全笔记——所有信息都被整齐地存储在数字保险库中。并且由于它支持网页应用以及Chrome、Firefox、Edge、Safari和Arc等常见浏览器的扩展，我可以随时随地使用我的密码。它与我的工作环境无缝集成。

另一个亮点是跨平台使用。无论是在我的Mac、iPhone上，还是偶尔使用的Windows电脑上——我的密码始终触手可及。1Password通过云端安全同步我的数据，使我始终保持最新，且同步过程快速且可靠。

我最喜欢的1Password功能

这款软件提供了众多功能，而以下是我最喜欢的几项：

浏览器集成

我特别欣赏1Password的一大特点就是它与浏览器的无缝集成。我主要使用Arc Browser，正如我之前的博客文章中提到的，1Password与之完美配合。

在我的iPad和iPhone上，同步也同样无缝且令人印象深刻地迅速。iOS的集成非常出色，保存的密码会自动填充到浏览器中。这种流畅而直观的用户体验完全打动了我。

另一个很棒的功能是 1Password 开发者 SSH 代理。它允许我直接在1Password中存储SSH密钥，并安全地用于连接。这意味着当我想通过SSH访问Linux服务器或建立SFTP连接到防火墙时，我可以直接从1Password调用我的私钥。这使我不必在系统中存储密钥，从而大大提高了安全性。

结合 命令行界面（CLI）集成，我可以方便地执行命令，而无需每次都手动插入密钥。这不仅实用，而且确保了我所有项目之间安全结构的一致性。

Passkeys

此外，1Password是首批支持 Passkeys 的提供商之一。只要有可能，我就会使用Passkeys，因为它们提供了更高的安全性和便捷性。这些新的加密密钥使认证过程更加安全，对我来说，这是替代传统密码的一大进步。

TOTP

1Password不仅存储密码，还存储用于两步验证的TOTP代码。这非常方便，因为我无需使用额外的应用如Google Authenticator。所有信息都集中存储在一个地方，当我需要登录时无需在应用间切换。一次性密码的自动输入在90%的情况下都能可靠运行。

我还利用1Password存储安全笔记——保存那些超出传统密码范畴的敏感信息。这包括例如IT文档或我刻意不想存储在常规云中的重要文件。我还存储了护照或驾照等重要文件的电子副本，这样我就可以随时获取，而不必携带实体原件。

特别实用的是可以使用Markdown格式撰写笔记，这使得信息展示更加清晰和结构化。

Watchtower

Watchtower功能持续监控我的凭据，并在发现安全漏洞时提醒我，比如弱密码（这种情况在我这里几乎不会发生）或因数据泄露而被侵入的账户。它会分析我存储的信息，并提供明确的建议以优化安全性。此外，Watchtower还会在我使用的服务推出新安全功能（如多因素认证或Passkeys）时提醒我。对于拥有超过100个登录信息的我来说，Watchtower帮助我保持对所有数据的掌控。

设计与易用性

许多人推崇开源解决方案KeePass，其理念的确吸引人。然而，我无法适应其在macOS或iOS上的设计——对我来说，这远远不够用户友好。

1Password以其在所有应用中清晰、整洁的设计以及提供的多种结构化密码管理选项让我信服。这些选项包括使用不同的保险库、标签或类别来保持概览，并根据个人需求进行整理。

此外，1Password还允许添加自定义字段，这在需要存储超出典型用户名和密码组合的凭据时对我非常方便。有时会有特殊的安全问题或额外的PIN码需要记录——所有这些我都可以轻松存储在1Password中，并进行个性化设置。

1Password的安全模型

安全性是1Password的核心。该应用通过基于三大支柱的强大安全模型来保护你的敏感数据：端到端加密、防御外部威胁以及完全透明。

以下是1Password如何保护你的数据和密码免受攻击的一些细节：

• 端到端加密：通过端到端加密，你的数据仅在你的设备上被解密——即便是1Password也无法访问。
• 你创建的 主密码 是一切的关键，因此它必须既安全又复杂。为了增加安全性，1Password还提供激活两步验证（2FA）的选项，这对于关键账户尤为重要。
• 256位AES加密：你的数据通过AES-GCM-256加密保护，这种加密方式极其安全，几乎不可能被破解。
• 安全随机数：加密密钥和其他加密参数均由安全的伪随机数生成器生成。
• PBKDF2密钥加固：1Password使用PBKDF2-HMAC-SHA256对账户密码进行加固，使得通过反复尝试猜测密码变得极为困难。破解一个强密码可能需要数十年时间。
• 秘密密钥：除了账户密码外，一个128位的秘密密钥保护着你的数据。它与账户密码结合使用以加密数据，使得保护更加牢固。
• 秘密密钥 补充了主密码，即使主密码遭到泄露，也使得访问几乎不可能。该密钥从不共享，甚至不与AgileBits共享，因此只有你能控制你的数据。
• 分层密钥派生：每个文件都有独立的加密密钥。即使某个密钥被泄露，也只会影响到该文件，而不会波及整个保险库。

安全功能

加密只是开始。1Password还提供其他功能以保护你免受各种威胁：

• 剪贴板管理：1Password可以自动清除剪贴板中的密码，防止密码被无意中存储或复制。
• 代码签名验证：在1Password将你的数据填充到浏览器前，它会检查浏览器是否由已认证的开发者签名，从而在浏览器被篡改时为你提供保护。
• 自动锁定：当你长时间不活动时，1Password会自动锁定，确保在你离开时无人能访问你的数据。
• Watchtower安全警报：Watchtower会提醒你有关被攻破的网站或数据泄露的风险，并检查你的凭据是否存在诸如弱密码等漏洞。它的建议帮助你弥补安全缺陷，同时保护你的隐私。
• 防钓鱼保护：1Password只在保存密码的页面上填充密码，这防止了攻击者通过仿冒页面窃取密码。
• 生物识别安全：你可以在Mac、iPhone、iPad和Android设备上使用指纹解锁1Password，使访问更便捷，同时确保他人无法仅凭观察获取你的密码。
• 安全远程密码（SRP）：1Password使用SRP协议来验证登录凭据，而不将密码发送至服务器，从而避免在互联网上传输密码。

透明度与信任

1Password基于开放标准，任何时候都可以由安全专家进行审查。这种开放性确保了信任与不断改进。1Password的安全模型定期通过独立审计进行检查。这些审计由知名安全公司如 Cure53 和 AppSec Consulting 执行，以确保所有机制都符合现行标准，并能迅速解决任何潜在漏洞。此外，1Password定期在其网站上发布有关这些安全评估的报告（参见 安全评估）。这确保了关于所采取保护措施的完全透明。记录这些审计的透明度报告都是公开的，进一步彰显了1Password对最高安全标准的承诺。通过这种外部审查，1Password确保提供最佳安全性，并不断进行改进。

1Password与外部安全专家紧密合作，确保每次更新和新增功能在发布前均经过潜在安全风险的检测。公司还依靠漏洞赏金计划，激励安全研究人员发现并报告漏洞，从而能够主动修补问题。

• 开放数据格式：1Password使用开源的SQLite数据库格式，这确保了数据结构的安全性。
• 成熟的加密算法：所采用的加密算法经过专家审查，被公认为能够保证信息安全。
• 隐私友好的遥测：1Password的遥测是可选的，并且仅在你知情同意的情况下收集数据，从而确保你的隐私得到维护。
• 数据导出：如果你决定离开服务，1Password提供简单的工具来导出数据。支持的导出格式包括 CSV 和 1PUX。CSV格式便于在其他工具中进一步处理数据，而1PUX格式则提供了用于安全传输到其他系统的加密数据版本。这种灵活性让你可以选择最适合自己需求的方式导出数据。你的数据属于你——你可以随时掌控它。

然而，永远不要全然信任任何人

每家安全公司都承诺提供安全解决方案——这种承诺只持续到某个漏洞被发现并被利用。然而，没有软件是完美的，因为它们都是人开发的，漏洞永远无法完全避免。

因此，我不会把所有密码都存储在1Password中——尤其是我的加密钱包的密语。我将其实体存放在钢制保险柜中，并有意识地放弃使用冷钱包。

对于我最重要的账户，我也不会完全将密码存储在1Password中。而是会在密码的开头或结尾添加几个额外字符，之后再手动删除。这样，即使有人获取了1Password中的数据，我最重要的账户也不会直接暴露。

价格

1Password的定价模型既透明又灵活。它为个人、家庭和企业提供了不同的方案，每种方案都支持按月或按年计费。家庭和团队方案允许共享保险库，而所有选项均提供无限设备访问以及端到端加密等功能。这样，每个用户都能找到满足自己安全需求的合适方案。

1Password每年36美元，对我来说性价比极高。鉴于其丰富的功能、高标准的安全性以及持续的发展，我认为这个价格非常合理。

我测试过的所有密码管理器都不错——除了LastPass

多年来，我曾不时试用不同的密码管理器。并非因为我想更换，而是想看看其他提供商在做什么以及有哪些令人兴奋的新功能。测试过的产品包括1Password、Proton Pass、Dashlane、NordPass、RoboForm和Bitwarden。它们都是市场上的佼佼者，提供良好的安全性和有趣的功能。基本上，任何一个密码管理器都不会让我失望。

我曾经使用过LastPass，但那是几年前的事了。回头看，我很庆幸自己做出了改变，也只能建议大家与LastPass说再见。近年来安全事件实在太多——对于一个你信任存储最敏感数据的密码管理器来说，这是绝对不能接受的。你自己数据的安全始终应放在第一位，而LastPass根本无法满足这一要求。

Proton Pass——一个有前景的新秀

目前，我正略微关注 Proton Pass，因为我非常欣赏它对数据保护和隐私的重视。Proton以其隐私优先的服务（如ProtonMail和ProtonVPN）闻名，而Proton Pass延续了这一理念。与1Password不同，Proton Pass的源代码是公开的，这为额外的透明度和安全性提供了保障。

我特别喜欢其内置的别名邮箱功能。相比之下，1Password也提供使用邮箱别名的选项，但这需要额外注册Fastmail账户，而那会产生额外费用——说实话，当Proton Pass已经包含所有功能时，我并不愿意为两个服务付费。Dashlane也有一些有趣的功能，但我仍然更钟情于Proton Pass所提供的无缝集成。

当然，必须指出的是，Proton Pass是一个相对较新的产品（2023年7月），但Proton AG公司已经存在很长时间了。我也有很多账户，切换过程需要大量手动操作，尤其是在转移Passkeys时。这使我目前有些犹豫。但我会继续关注Proton Pass的发展，并认为它是一个非常有前景的替代方案，将来很可能成为我的主要密码管理器。

结论

目前，密码管理器 1Password 完全满足了我的所有需求。我对此非常满意，至今也没有寻找替代方案的理由。它简化了我的日常生活，并确保我的凭据既安全又随时可用。在我们拥有越来越多在线账户的时代，这样的工具是不可或缺的。1Password将安全性、便捷性和灵活性完美结合——这正是我对现代密码管理器的期望。 但这款软件仍在不断发展，我也在密切关注Proton Pass。未来会怎样，我们拭目以待。

直到下次， Joe