对于难以记住复杂密码的人，或在IT部门要求定期更换密码的公司工作的人来说，密码管理器堪称救星。
这类工具的工作方式是：用户只需记住一个主密码，密码管理器便会让用户访问与该主密码所关联账户相关的所有网站。
此外，许多此类工具允许用户存储支付信息，甚至允许其他人短期访问这些信息，例如让女儿购买学习所需的书籍。
密码管理器无疑十分便捷，但它们并非万无一失。因此，我们需要更深入地审视其漏洞。
定向攻击可能导致数据泄露
考虑使用密码管理器的用户通常只会想到其优点。但美国安全咨询公司Independent Security Evaluators近期发布的一份报告发现，某些类型的恶意软件可能泄露众多知名密码管理器所保存的用户数据，而且这些风险大多存在于工具处于锁定和运行状态时。
参与该研究的研究人员表示，他们不清楚网络犯罪分子对其发现的漏洞了解多少。尽管如此，他们仍建议用户采取以下几项预防措施：
· 设置高强度的主密码
· 保持操作系统和应用程序更新
· 安装带有恶意软件检测功能的杀毒扫描软件
黑客攻击已经发生
切勿以为密码管理器软件的入侵只是理论上的事件，或仅由网络安全研究人员在实验室中进行。2017年5月，密码管理器OneLogin遭黑客入侵。该公司证实，此次攻击可能使网络犯罪分子获取其所有美国客户的数据，而且作案者可能已能够解密加密数据。
广受欢迎的密码管理器LastPass也曾于2015年遭黑客入侵。该公司在其服务器上发现异常活动后察觉到此问题。尽管黑客窃取了包括电子邮件地址和密码提示信息在内的数据，但该公司表示，其采用了一种名为“慢速哈希”的加密方法，从而保护了用户的密码数据安全。
几年前，一位谷歌研究人员就另一问题向LastPass发出了警示。该问题与应用程序的浏览器插件有关。据报道，该漏洞可能使黑客执行恶意代码或窃取密码。幸运的是，LastPass在该漏洞被现实利用之前已将其修复。
数据还可能通过其他方式泄露
对密码管理器用户数据构成风险的，不只是黑客。近期一起事件影响了数百万用户，名为Blur的密码管理器出现服务器问题，导致加密密码、姓名和电子邮件地址暴露。
另一近期案例中，与Keeper密码管理器相关的一个存在了16个月的漏洞据称未能保护密码安全。发现该漏洞的谷歌研究人员表示，任何网站都可能借此窃取存储在Keeper中的密码。更糟糕的是，该密码管理器还被捆绑安装在部分Windows电脑上。
在引发广泛争议之际，Keeper对报道此事的记者提起了诉讼，同时起诉了相关网站——Ars Technica——及其出版方。Keeper称该报道包含不实陈述。
不过，该公司似乎也从中吸取了教训。此次事件之后，Keeper推出了一项漏洞披露计划，该计划与众包网络安全平台Bugcrowd合作开展。这一计划是迈向正确方向的一步，但一些批评者指出，由于围绕Keeper所称漏洞的报道引发了法律纠纷，人们可能更不愿意就漏洞问题发声。
在这些案例中，系统或工具相关的问题使密码管理器的安全性大打折扣。如果服务提供商不采取预防措施，例如未能测试其软件并认真对待漏洞报告，即使没有黑客介入，问题也可能出现。
您仍需要设置高强度的主密码
用户同样有责任谨慎使用密码管理器。如前所述，这首先要从选择一个明智的主密码开始。您不应选择容易被猜到的主密码，以免让黑客的尝试变得更加轻松。网络犯罪分子只需10至15秒即可破解一个简短且薄弱的密码。
如果您选择以宠物或子女的名字、重复的字典单词，或任何人都可以查到的信息组合（例如某人姓名首字母加上生日）作为密码，网络犯罪分子的破解工作就更加容易了。
人们对密码管理器的价值看法不一。有人认为，使用密码管理器总比不用好；而另一些人则指出黑客可能入侵密码管理器的多种方式，认为最好的密码管理器就是您的记忆力。如果您选择使用密码管理器，设置一个独特且难以猜测的主密码至关重要。
去年，弗吉尼亚理工大学与热门密码管理器品牌Dashlane合作，分析了超过6100万个密码，并发现了一些令人担忧的结果。研究人员发现，用户存在密码重复使用和修改的模式，这使其密码的安全性极其薄弱。研究表明，只需密码算法进行10次猜测，就有可能破解1600万对密码。
该研究还重点指出，许多人喜欢使用一种名为“密码行走”的技巧，即利用键盘上相邻的字母来创建密码。还有人根据品牌名称或体育队名等非私密信息来选择密码。
共享电脑上的用户进程可能窃取凭据
有时，黑客攻击是无意间发生的。芬兰赫尔辛基大学和阿尔托大学的研究人员发现了一项引人关注的结果：一种称为进程间通信（IPC）通道的机制，负责处理与共享电脑相关的软件进程，可能并不总是保持安全。研究证实，包括密码管理器在内的多款涉及安全关键功能的应用程序都未能对IPC加以保护。
因此，在共享设备上运行的用户进程可能泄露另一用户的私人凭据，原因在于IPC本身的不安全性。研究人员还提到，开发人员往往会忽视IPC，且对其缺乏理解。
切勿因此掉以轻心
使用密码管理器未必不明智，而且这可能比完全不使用更安全。不过，务必与密码管理器服务提供商保持联系，以便及时获知任何潜在问题，并保持软件更新。除此之外，请谨慎设置主密码，不要重复使用密码，尤其是在得知可能影响您的数据泄露事件之后。
密码管理器十分便利，但您不应因此误以为其所保护的数据能够抵御黑客的巧妙攻击及其他数据安全威胁，坚不可摧。
