問題不是記不記得住，是誰解得開

密碼管理工具通常被當成記憶輔助來賣，這其實低估了它真正解決的問題。把密碼寫下來並不是記憶力失敗，而是對一個荒謬世界的合理回應 —— 每個服務都要一組獨一無二、而且沒有人能記住十六組的密碼。真正有趣的問題是：這些祕密一旦被收進同一個地方，會變成什麼。筆記本裡的一張紙，安全程度等於那個抽屜。試算表裡的一份清單，同步到一個帳號之後，安全程度等於那個帳號。放在某個服務裡的清單，安全程度等於那個營運者的意圖與能力 —— 而這兩者，使用者都無從檢查。

Bitwarden 是一套免費、開放原始碼的密碼管理工具，而它的設計回應的是後面那個問題，不是前面那個。所有東西在離開裝置之前就已經加密：密碼庫本體、密碼、人們順手存在旁邊的付款資料、安全筆記。解開密碼庫的主金鑰存在使用者自己的機器上，由主密碼衍生而來，而主密碼從不被傳送出去。伺服器上放的是密文，而伺服器沒有任何通往明文的途徑 —— 因為它從頭到尾就沒有那把鑰匙。那座伺服器被攻破，得到的是一堆位元組；要讓那些位元組變成任何有意義的東西，還需要使用者自己的密碼。

可以查證，而不只是宣稱

「開放原始碼」這個詞被用得太鬆，所以值得把它在這裡買到什麼講清楚。在使用者端完成的加密是一句宣稱，而關於密碼學的宣稱，值多少錢取決於它能不能被檢查。因為用戶端程式以開放授權公開，所以「金鑰不會離開裝置」這句話，是公司以外的人可以靠讀程式碼驗證的陳述，而不是行銷頁面上的一句話。這並不證明那個服務經營得好。它只是把論證裡很重要的一部分，從「相信」搬到了「查看」，而可以被查看的信任，是另一類東西。

背後的密碼學選擇是常規的，而在這個題目上，常規正是重點：用強標準演算法對整個密碼庫做對稱加密、加鹽雜湊，以及一個刻意放慢的金鑰衍生函式，讓猜主密碼這件事一直很貴。名字本身不該讓人印象深刻。要緊的是這套構造是普通的那一套，因為在消費級產品裡出現稀奇古怪的密碼學，是警訊而不是功能。

無所不在，而對密碼管理器來說，這意味著人會登入的每一個地方

只有桌機版能用的密碼庫，就是一個在手機上會被繞過的密碼庫。這套產品涵蓋三種桌上系統、兩個行動平台、常見瀏覽器的擴充套件、給把工作寫成腳本的人用的命令列工具，以及一個可以在借來的機器上開的網頁版密碼庫。它們讀的是同一個加密密碼庫，也在裝置之間同步變更，所以在其中一台新建的密碼，會在其它台上出現，沒有人需要複製任何東西。

自動填入是設計在日常裡露臉的地方。把已存的項目自動對上登入表單、用指紋或人臉解鎖而不是每次重打主密碼、並且把這兩件事都關在一個「裝置鎖上時它也鎖上」的門後面 —— 這些細節決定了安全工具是被使用，還是被繞過。一個讓每次登入多花十秒的密碼管理器，一個星期內就會被關掉，然後它的使用者會回去在所有地方重複使用那一句好記的話。

除了存字串之外，它還做什麼

三項功能讓一個密碼庫變成更有用的東西。產生器製造長的隨機密碼，直接對準了大多數帳號被入侵的真正根源 —— 重複使用。兩步驗證支援，讓密碼庫同時成為第二因素的保管者，可搭配驗證器應用程式，也可搭配硬體金鑰，給那些值得如此對待的帳號。而組織密碼庫讓團隊共享「確實該共享」的憑證，權限按成員設定，而不是把一組密碼丟進聊天訊息裡，然後指望每個人剛好忘記到正確的程度。

共享模型值得多說一句，因為那正是多數密碼管理器變得彆扭的地方。一個家庭或一個小團隊，有幾組屬於群體的祕密 —— 一個共用的公用事業帳號、一個供應商入口、一次憑證更新 —— 以及多得多的、屬於個人的祕密。只懂第二種情況的工具，仍然會被拿來處理第一種，而且做得很糟。各自有成員名單的獨立集合，才是直接回答這個問題的做法。

資料放哪裡是一個設定，不是一條教義

部署有兩條路。官方服務是普通的那條：加密密碼庫、有人代管的基礎設施、沒有伺服器要照顧。另一條是把後端跑在自己控制的硬體上 —— 專案支援這件事，而某些組織確實需要它，理由跟偏執無關：一條合規規定、一項資料落地義務，或者單純是「想擁有那台保管金鑰材料的機器」。容器化的打包方式讓這件事變成一個切實可行的下午，而不是一個專案。

誠實的界線

免費版涵蓋核心功能，而且沒有裝置數量限制，這一點不常見，值得明講；付費層再加上附件儲存、給可信任聯絡人的緊急存取、單一登入，以及給組織用的原則控制。這個切法合理，好用的部分也沒有被扣住。

有三個界線該講出來。第一，密碼庫會把風險集中：一組主密碼現在守著所有東西，所以它必須夠強，也必須被記住；而弄丟它等於弄丟整個密碼庫 —— 因為一套能替你救回來的系統，就是一套能替別人救回來的系統。第二，瀏覽器擴充套件執行在它並不控制的頁面裡，那是一個永久的風險表面。第三，任何密碼管理器都以一種「重複使用一組弱密碼」所沒有的方式，成為單點故障：故障發生的機率更低，但它是全損。

以上沒有一點是在反對這個類別。它們主張的是：挑一個說法可以被查證的實作、把匯出的備份放在某個離線的地方，並且把主密碼當成那一個值得好好背下來的祕密。