问题说明了一切。我们正在设计一个安全性非常重要的系统。有人的想法之一是强制用户每 3 个月更改一次密码。我的看法是，虽然它更安全，因为密码经常更改，但它也迫使我们的用户记住不断更改的密码，并使他们更有可能将其写在某处以帮助记住。
同样的想法是强制用户使用超级难猜的密码真的很好。强制他们使用 ?%&% 和大写小写字母。我知道发明这样一个密码然后记住它很麻烦。
再说一次，我们不希望任何人使用 12345。
所以。有没有关于这个主题的白皮书？好习惯？
我说的是用 PHP 创建的网站。如果有任何改变，则在灯环境中使用 MySQL。
我在工作和家里使用 OS X、Linux、Solaris 和 Windows。有一些很好的工具可以让我独立管理许多需要的登录名/密码平台。但大多数情况下，他们希望我随身携带拇指驱动器或需要直接访问中心位置（云中的天空驱动器）。
拇指驱动器太容易丢失（= 需要同步备份），中心位置并不总是可访问/可安装。此外，公司政策经常正确地防止这种情况。
是否有一种工具可以让我在本地添加密码，然后稍后将它的数据库与“母舰”同步。或者您是否使用了另一种方法来解决我的问题？
编辑 我的问题更多是关于“同步”而不是跨平台。我已经评估（=阅读功能列表）一些好的跨平台工具，但需要一个为我做同步的工具。同步我的意思是“合并两个版本”而不是“用新文件替换（希望）旧文件”。我不确定我是否总是足够自律/清醒以防止数据丢失。
2010 年更新 Lifehacker刚刚发布了AgileSolutions现在有一个适用于 Windows 的 1Password 测试版。
2014 年更新我现在已经在 Windows/Os X/IOS 上使用 1Password 好几年了。它对我有用，但它不是免费/开放的。
您可以在http://Altenativeto.ne/1password 上查看具有类似功能列表的其他工具。
有没有人有任何资源可以为我的用户确定合理的密码策略？我个人的倾向是提高密码的复杂性，并允许他们减少更改密码作为一种妥协。与 5 或 10 年前相比，我的普通用户似乎对混合某些数字和特殊字符的容忍度更高。
我正在寻找可用于支持我提议的政策更改的经验法则和/或资源。或者甚至是来自更有经验的人的轶事信息。
（我远不是安全专家，所以如果这只是模糊处理，让我们缩小问题范围以仅适用于内部 Windows 网络密码，尽管我对人们在 VPN 和网络方面所做的事情感兴趣服务政策）
我们在我公司的安全组中讨论了以下管理 SSL 私钥的选项中哪个更糟糕。
Web 服务器需要访问私钥以进行加密操作。应保护此文件免遭未经授权的访问。同时，服务器应该自动启动，无需人工干预（如果它足够安全）。
我们正在讨论三个选项：
使用文件系统权限保护密钥。
使用受密码保护的密钥并在每次重新启动时手动输入密钥。
使用受密码保护的密钥并将密钥存储在文件系统中以自动重启。
我们的担忧如下：
使用选项 1，重新启动是自动的，但妥协可以复制私钥，并且由于不受保护，可用于解密通信或冒充我们的服务器。
选项 2 似乎更安全，但它需要人工干预，如果它发生在非工作时间，系统管理员会担心。此外，密码应该与多个系统管理员共享，并且您知道共享的秘密不再是秘密。
选项 3 是前两个选项中最好的，但是如果有人可以访问密钥，也可以访问密码 :(，所以它看起来一点也不安全。
您如何管理服务器私钥的安全性？还有其他（更安全）的选择吗？
在 Windows Server 2008 R2 上，我有一个标准（非管理员）本地用户（不是 Active Directory 帐户，但服务器位于域中），他只能通过 PowerShell Remoting 访问服务器。用户无法通过 RDP 登录。
我希望这个用户能够更改他们的密码。“net user”命令需要管理员权限，即使用户试图更改自己的密码。
标准用户如何从命令行更改密码？
您如何处理密码的存储，根据其使用的性质，您不能指望管理员记住这些密码？如：
我当然不想在这么多不同的领域重复使用一个密码。我们考虑过的选项：
当我尝试在家中安装受密码保护的 PFX 文件时，我想到了这一点，一次性使用密码存储在我上班时锁定的办公桌上的笔记本中。
我的客户端有一个服务器，它正在遭受来自僵尸网络的蛮力登录尝试。由于服务器和客户端的客户端变化无常，我们无法轻易阻止通过防火墙、端口更改或登录帐户名称更改的尝试。
已决定让它受到攻击，但要找到一种保护密码安全的方法。管理层和其他一些顾问已经确定，最好的办法是安装密码轮换软件，每十分钟轮换一次密码，并将新密码提供给需要登录的用户。
蛮力尝试每秒发生两次。
我需要证明使用 12-15 个字符的强密码是一种更简单且免费的解决方案。我知道如何用数学证明这一点，但我只想写一些类似“我们的密码有 x 种可能的排列，攻击者每天只能尝试 n 次，因此我们希望他们去 x/在他们猜出我们的密码之前平均 2n 天。” 有没有更标准的“证明”呢？
我对允许我的组织安全地存储多个密码并允许多个管理员访问它们的最佳实践和潜在的开源项目感兴趣。我对允许每个管理员拥有自己的登录名/密钥而不是典型的受密码保护的 Excel 电子表格的东西感兴趣。;)
最好是我可以通过 SSL 运行的基于 Web 的应用程序。
我需要它在 Mac/Linux 环境中运行 - 请不要使用 Windows 应用程序。
谢谢！
我有一台启用了远程登录的 Mac OS X 机器（运行 10.5 的 Mac mini）。我想打开 sshd 端口到 Internet 以便能够远程登录。
出于安全原因，我想禁用使用密码的远程登录，只允许具有有效公钥的用户登录。
在 Mac OS X 中进行设置的最佳方法是什么？
是否有任何实用程序允许我将剪贴板中的密码粘贴到 Windows Server 2008 R2 RDP 登录屏幕，就像我直接从键盘输入字符一样？我经常登录不同的服务器并使用 ClipMate 来管理和提取历史片段。