保存和维护密码列表

Question

可能重复：
公司密码管理

你如何管理你的密码

不确定这个问题是否适合这个网站，但在这里。

对于在小型软件开发人员中集中和维护密码列表（PC、主机、ssh、服务器...），您有什么建议？公司？

目的是在有人忘记密码或丢失时避免出现问题。显然这样的清单不应该落入外人之手。

PS：如果重要的话，公司服务器运行的是Linux。

编辑：我也对有关密码形式的任何政策以及建议的应更改密码的重复时间间隔感兴趣。

Answer 1

我总是用一个纯文本文件来做这件事，在源代码控制下，加密到所有相关管理员的 GPG 密钥。

这有几个优点。首先，它让你的所有管理员安装 GPG，使用它，并生成和交换密钥对。这在安全方面有很多连锁好处（例如，管理员可以对来自彼此的请求进行身份验证，这使得社会工程攻击更加困难）。

其次，安全性不在于一些集中的应用程序，而在于个人的密钥管理。您可以随意破解存储加密文件的服务器，您将获得的只是密文。您可以在任何适合您的设备上保留此文件的本地副本，而不会危及任何人的安全，并且无需安装除 GPG 之外的任何应用程序（任何从事安全工作的人都应该拥有这些应用程序，见上文）。

第三，由于源控制的，你总是可以退后一步，找出哪些公司范围的桌面root密码是三年前，当有人挖了一个机器出了地下室，并坚持它需要复苏现在。您仅将文档的当前版本加密为当前服务管理员的密钥，但您始终可以添加一个用于紧急情况的托管密钥（密码和私钥存储在安全、防篡改的介质中，并且只使用一次 -如果必须使用当前的托管密钥，则生成一个新的托管密钥）。

Answer 2

KeePass是我觉得非常有用的密码管理器，它是跨平台的，具有生成密码和维护到期日期等功能。

但它是一个单用户工具，所以我不确定它是否符合您的需求，除非您禁止您的用户更改他们的密码，而是集中进行。这是否可行/可接受将取决于您的安全策略。

最好（轮流策略等）让每个用户维护他/她自己的密码并使用管理员权限重置忘记他/她的用户的密码。