从记事本到密码管理器：我的十年折腾观察

前阵子收拾书桌，翻出一个巴掌大的黑色笔记本，封面磨得发白。翻开一看，密密麻麻全是账号和密码，有些还标注了“重要”“勿删”。我盯着看了半天，想起这是2014年前后用的东西。那会儿刚工作，注册的网站一只手数得过来，觉得记在本子上最省事。谁能想到，十年后我的密码管理器里躺着247条记录，而那个本子早就被塞进抽屉最深处。

密码管理这事，十年前和现在完全是两个世界。2014年那会儿，身边大部分人的做法就三种：要么所有网站同一个密码，要么用“名字+生日”这种组合，要么像我一样记在本子上。那本黑皮笔记本用了不到一年就满了，后来换了个更大的，但问题也跟着来了——改密码的时候忘了划掉旧的，登录时试错三次才想起来用哪个。更麻烦的是，有次本子找不到了，我花了整整一个周末重置各种账号，那种焦虑感至今记得。

真正的转折点大概是2016年前后。那两年数据泄露事件开始频繁出现在新闻里，印象最深的是某邮箱平台被曝超10亿账户信息流出。虽然我的账号不在其中，但那种“原来这些数据这么脆弱”的感觉很真实。也就是从那时起，我开始用第一代密码管理工具——一个浏览器插件，能自动填充，也能生成随机密码。刚开始特别不适应，每次登录都要点一下插件，不如手打快。但用了三个月后回头一看，插件里已经存了60多个账号，而且每个密码都是16位随机字符，那种安全感是笔记本给不了的。

不过密码管理器本身也在变。早期产品有个明显问题：同步。我在电脑上存的密码，手机上打不开，反过来也一样。2018年换手机时，发现旧手机里的密码导不出来，只能一个个手动复制，折腾了一晚上。后来云同步逐渐成了标配，但新的顾虑又来了——把这么多密码交给一家公司，它靠谱吗？我查过几家主流产品的架构说明，有的采用零知识加密，意思是连服务商自己都看不到你的密码内容。这个设计听起来很美好，但普通用户其实很难验证。我的做法是：重要账号（邮箱、银行、主社交号）的密码不存管理器，单独记在脑子里；其余两百多个账号交给工具打理。

这几年观察到一个有意思的走势：密码管理器正在从“极客工具”变成“大众产品”。以前推荐朋友用，对方第一反应是“太麻烦了吧”。现在再聊，不少人会说“我手机自带的那个算吗”。苹果、谷歌、微软都在系统层面内置了密码管理功能，虽然体验参差不齐，但至少说明这件事被认真对待了。有个数据可以参考：某密码管理器厂商2022年公布的用户数突破3000万，比三年前翻了一倍多。当然，这不代表所有人都养成了好习惯——每年“123456”依然稳居最差密码榜首，2023年的统计里它出现了超过450万次。

我自己现在的方法是“分层管理”。第一层是核心账号，大概七八个，密码用一句只有自己懂的短句变形，不存任何工具；第二层是常用网站，大概50个，交给密码管理器生成和保存；第三层是那些注册完就很少用的论坛、购物小站，大概一百多个，统一用一个随机生成的复杂密码，反正也不常登录。这样做的好处是，即使管理器出问题，我的核心账号也不会受影响。坏处是，每次换设备都要重新配置一遍，有点折腾。

回头看这十年，密码管理这件事的本质其实没变——就是在便利和安全之间找平衡。太便利的方案往往不安全，太安全的方案又让人懒得用。趋势上看，未来可能会走向“无密码”方向，比如指纹、人脸或者硬件密钥。但短期内，密码还是绕不开的东西。我的建议很简单：先别追求一步到位，从最重要的三个账号开始改密码，用工具生成随机字符串，坚持一个月，等你体会到不用记密码的轻松感，剩下的自然会慢慢跟上。

最后说个小事。那个黑皮笔记本我最后没扔，放在书架最上层。偶尔看到它，会想起当年手抄密码的笨拙，也会庆幸现在有了更省心的办法。密码管理不是什么高深技术，它更像一种日常习惯——就像出门带钥匙一样，习惯了就不觉得麻烦。数据泄露的新闻还会继续出现，走势也很难预测，但至少我们可以让自己的那部分记录，稍微安全一点。