在 GitHub 上存储（加密）密码是否安全？

Question

我正在使用pass来处理我所有的密码。它们使用具有 4096 位密钥的 GPG 使用 SHA256 算法进行加密。我在密码存储中为每次登录使用不同的密码。

pass 的一个很酷的功能是所有东西都保存在一个具有良好层次结构的文件夹中，这非常适合设置 git repo（pass 甚至提供了这种能力）。我希望我的所有计算机上的密码存储都是最新的。

那么将 pass git 存储库推送到私有 GitHub 存储库是否安全？如果不是，那么薄弱的环节是什么？

Answer 1

简洁的回答

放个pass repo github就可以了。

您的通行证存储库是使用您选择的任何私钥进行 GPG 加密的，因此它与您选择的密钥一样防弹。此外，您的私钥不会存储在您的通行证存储库中。这意味着加密密码文件的私人与公共位置不是密码管理器安全性的薄弱环节。相反，您必须担心的是您用来加密它们的私钥。

确保它是一把好钥匙（就像你提到的那个），不要把它暴露给任何人，因为他们不必破解那个大钥匙来使用它。他们只需要窃取您的密码，而且，让我们面对现实，很难确定您的密码足以阻止所有人。

所以不要让其他人看到你的钥匙。如果您将您的私钥移动到使用 pass 的每台计算机，那么您只需从 github 中提取您的 pass repo 并单独使用存储在这些计算机上的私钥。现在，它们都将保持同步和安全。

通过的重点是保持密码加密。如果你不同意他们在 github.com 上，那么你真正依赖的是他们的私人位置，而不是他们的加密状态。如果是这样，那么为什么要加密它们呢？您可以只使用传递使用的相同平面文件，而不必费心加密它们。那会很方便！

此外，请记住，使您的密码管理器更易于使用意味着您不太可能想要/需要破坏它。任何时候你必须为它做通行证的工作（例如重置一个帐户的密码，因为好的安全密码是在另一台计算机上生成的，你还没有手动同步，但你现在必须进入）会降低它提供的安全性。

Answer 2

这将是安全的，但与不将密码存储在公共场所相比，会给您带来额外的风险。

换句话说：如果您没有犯错，请相信该软件，并且加密算法背后的数学运算保持安全，公开存储加密的密码存储就可以了。如果您对其中任何一个有疑问（我个人的信任将完全按照这个顺序，因为我对自己作为一个在数学背后具有高度机密性的用户失去了信任），请将商店保密。

曾经在某个聊天窗口中无意中发布了一个私人密码短语吗？我知道很多人这样做了，包括我自己。