本地密码管理器：加密离线保险库的工作原理

本地密码库是您保存的加密文件

本地密码库是存储在您自己的设备或服务器上的加密数据库，您的凭据存放其中，没有主密钥无法读取，除非您自行设置，否则不会同步到供应商的云端。

这也被称为本地密码存储或离线密码保险库，其中本地描述数据所在位置，离线意味着保险库在无互联网连接时也能工作。在这两种情况下，保险库都在您的机器上打开，使用您的密钥，遵循您的规则。

人们为何将他们的保险库保存在本地

所有权优先，因为您选择机器、服务器和网络，因此供应商故障无法将您锁定，供应商泄露也无法暴露供应商从未持有的保险库。

方便性也由你决定，因为有些人只在一台笔记本电脑上保存一个保险库且从不同步，而有些人则通过他们信任的渠道在设备间复制，且由于同步是可选的，每个有副本的设备都是你有意选择的。

然后是主密钥，因为一个秘密保护着里面的所有内容，所以它值得认真考虑。由无关单词组成的长密码短语比短的符号串更容易记住，也更难猜测，且绝不应重复使用。

备份也掌握在您手中：您设定计划，选择位置，并决定谁可以访问备份副本。

坚持本地化所放弃的东西

本地控制是有成本的，最好提前了解费用。

忘记主密钥后，没人能帮你重置，因为大多数本地保险库没有恢复路径，且没有供应商保存任何副本。如果你丢失设备且没有备份，凭据也会随之丢失。将保险库转移到第二台笔记本需要手动操作，与同事共享通常意味着通过电子邮件发送副本，导致出现两个版本并逐渐分离。

更新也由您负责跟踪，因为没有人会向您自己运行的保险库推送安全修复程序，本地保险库保护静态数据，因此已解锁设备上的恶意软件仍然可以访问其中的内容。

永不接触云端的保险库备份

将vault的三个副本保存在两种存储设备上，比如您的笔记本电脑和外部硬盘，另有一个副本存放在其他物理位置，如另一处场所的锁柜，安全团队称之为3-2-1规则，在不涉及云时效果良好。

检查每个副本是否加密，包括外部驱动器上的副本，然后将其中一个恢复到干净的机器上，因为从未恢复过的备份未经验证。

开源还是商业：如何选择

开源本地密码管理器很常见，其吸引力显而易见，因为任何人都可以审查代码，没有许可费，且功能通常因社区推动而快速推出。

问题会在后期显现，因为支持意味着论坛和志愿时间，你负责跟踪版本和应用安全修复，而团队需要的功能，如基于角色的访问、审批步骤和报告，往往很少或缺失。

商业产品则相反：你付费，供应商负责支持、更新和路线图。无论你选择哪种，先检查三件事：谁负责打补丁及速度如何，设置者离开后会怎样，以及是否能向审计员展示谁打开了哪个凭证。

有良好习惯的独立开发者在开源项目中表现不错，但承担合规职责的团队应认真权衡最后的检查。

在承诺使用前需检查的本地密码管理器功能

根据一个列表评估任何本地密码管理器，无论免费还是付费，因为有些项目对所有人都重要，而有些只有当第二个人使用保险库时才重要。

主密钥保护和多因素认证

主密钥是保险库的唯一锁，因此请检查其构造方式，工具应接受没有长度限制的长密码短语，避免人们使用短字符串。多因素认证增加了第二道检查，因此仅凭猜测或被盗的密钥无法打开保险库。

静态加密

寻找一个在磁盘和每次备份中都保持加密的保险库，使用公开审查的标准。那些记录其加密工作方式的供应商为您提供了可验证的依据，而诸如“bank-level security”之类的说法则毫无意义。

密码和口令生成器

弱且重复使用的密码是vault应当打破的习惯，好的生成器允许你设置长度和字符类型，而密码短语选项则生成长串单词，这在手机或自动填充无效的登录提示中更易输入。

浏览器扩展

自动填充防止用户手动将密码粘贴到表单中或保存在浏览器中，您应检查该扩展支持哪些浏览器以及它如何与vault通信。

不同凭据的组织

服务器、SaaS 工具、客户账户和共享邮箱迅速堆积，文件夹、组或项目区域按团队或客户划分，这样每个人都能找到自己的登录信息，而无需滚动查看其他人的。

SSH 密钥和 SSH 连接

管理员通常将SSH私钥作为散落的文件保存在笔记本电脑上，而存储密钥及其密码短语的保险库则将它们置于主密钥之后，有些工具可以直接启动连接，因此请检查密钥是否加密存储，以及工具是否支持您的服务器使用的密钥类型。

加密备份与恢复

寻找保持加密的定期备份，以及可以在干净机器上测试的恢复流程，因为依赖有人记得复制文件的备份往往会在第一个繁忙季度中停止。

可选同步

同步应保持关闭状态，直到您将其打开，并且您应选择频道：文件共享、您运行的服务器，或完全不选。

数据泄露监控

有些工具会将存储的登录信息与泄露的凭据列表进行比对，并在匹配时发出警告，尽管大多数需要联网查询，因此完全离线的工具可能会故意跳过此功能，您需要根据您的设置决定哪个更重要。

报告和事件日志

报告和事件日志记录了谁打开了哪个凭据以及发生了什么更改，审计员正是会要求这些。单独用户可以没有它们；团队则不行。

审计准备：本地文件无法回答的问题

迟早审计员会询问谁在何时访问了什么，ISO 27001 和 SOC 2 等框架都要求访问控制及其支持的记录。

假设有一位承包商持有vault的副本三个月，合同结束时，您需要知道他们打开了哪些凭据。 本地文件无法告诉您，因为它保存了秘密且不记录谁访问过。

事件日志和报告承担了这一角色，因为有了它们，您可以基于已有记录进行响应，而没有它们，您只能更换承包商可能见过的每个凭据，并希望列表是完整的。

当一个本地保险库停止为团队工作时

一个人使用一个保险库没问题。再加四个人，麻烦就开始了。

每个人都需要不同的凭据，因为财务负责人不应看到防火墙登录信息，帮助台也不应看到工资单。单一共享文件要么让所有人拥有所有权限，要么让无人拥有任何权限。敏感账户，即那些可以更改域或访问客户数据的账户，没有审批步骤，当有人离职时，你无法看到他们离开前打开了什么。

具有团队级访问权限的本地控制：Netwrix Password Secure

超出单一vault的团队通常仍希望对凭据存放位置有发言权。Netwrix Password Secure保持这种控制，并添加共享环境所需的访问规则。您可以在本地、云端或混合环境中运行它，使部署符合您的基础设施和合规要求。

• 凭证存储在具有端到端加密架构的加密保险库中，远离电子表格、浏览器和便签。
• 基于角色的访问限制每个用户仅使用其工作所需的凭据。
• 敏感账户在任何人进入之前都需经过基于审批的工作流程。
• 每次访问和操作都会被跟踪，报告显示谁在何时访问了什么。
• 您的团队可以通过Windows应用、网页、浏览器扩展或移动设备工作，并支持MFA。
• Active Directory 和 Entra ID 集成确保访问与您已管理的身份保持一致。
• 具有冗余、负载均衡和高可用性选项的可扩展服务器-客户端架构随团队成长。