自建密码管理，真的有安全优势吗

konololi · 发表于 2021-12-29 19:22:42

Hobostar 发表于 2021-12-29 19:16
不需要吗，进了服务器，装个根证书，直接就把https解密了，你的主密码从客户端传过来对我来说就是明文 ...

况且如果你认为服务器能看到密码内容
那就坚决不能用长家的了，必须自建，因为这样意味着厂家知道你的全部密码

Hobostar · 发表于 2021-12-29 19:25:20

konololi 发表于 2021-12-29 19:21
那你先进服务器啊

而且主密码也不传的。解密和加密都是客户端完成的。 ...

你刚才已经把服务器防护删去一大截了
主密码不传只握手，那同步时写入的新信息不可能不传吧

konololi · 发表于 2021-12-29 19:27:30

Hobostar 发表于 2021-12-29 19:25
你刚才已经把服务器防护删去一大截了
主密码不传只握手，那同步时写入的新信息不可能不传吧 ...

写入的也都是加密后的信息啊。

都是客户端用主密码加密，和服务器的通信都是加密后的。

就像我说的，如果服务器知道未加密的密码，那绝对不能用其他任何厂家的，因为厂家就会知道全部密码

Hobostar · 发表于 2021-12-29 19:29:47

本帖最后由 Hobostar 于 2021-12-29 19:32 编辑

konololi 发表于 2021-12-29 19:22
况且如果你认为服务器能看到密码内容
那就坚决不能用长家的了，必须自建，因为这样意味着厂家知道你的全 ...

这不是约定俗成的事实吗

xinmang · 发表于 2021-12-29 19:29:52

Hobostar 发表于 2021-12-29 18:53
你要从成本来说比商业的是美好，但咱们现在讨论安全，专业的你要拿到库文件都得过它们主服务器，自建这边 ...

不好意思，只看了内容，没看标题。

现在自建和托管都差不多吧，数据库又不是明文在网上跑，而且主流的密码管理就那几个，还能怎样，搞不懂你在纠结什么

konololi · 发表于 2021-12-29 19:30:51

Hobostar 发表于 2021-12-29 19:29
这不是约定俗成的事实吗

不是，服务器就是看不到密码内容。

如果服务器看得到密码内容，那自建是确定的有安全优势

abc.xyz · 发表于 2021-12-29 19:30:51

本帖最后由 abc.xyz 于 2021-12-29 19:34 编辑

del

Hobostar · 发表于 2021-12-29 19:33:27

konololi 发表于 2021-12-29 19:30
不是，服务器就是看不到密码内容。

如果服务器看得到密码内容，那自建是确定的有安全优势 ...

现代点的密码管理包括bitwarden，基本都有密码泄露检查，你觉得这功能是怎么实现的？

Pineapple · 发表于 2021-12-29 19:33:51

可以尝试了解一下Bitwarden的PBKDF2加密算法。
给你进了服务器把库拉下来你也破解不了。

LTC · 发表于 2021-12-29 19:34:10

Hobostar 发表于 2021-12-29 19:16
不需要吗，进了服务器，装个根证书，直接就把https解密了，你的主密码从客户端传过来对我来说就是明文 ...

主密码不会被传出客户端

		自动登录	找回密码
密码			注册

[疑问] 自建密码管理，真的有安全优势吗