信息技术数字 » 安全 » 如何安全地共享密码：完整指南
分享时限制时间和观看次数，并将重点和上下文分开频道。
更喜欢通过电子邮件或聊天进行可追溯的加密管理和货运。
启用 MFA 并轮换密码；在企业中，应用控制并立即撤销。
无论是在工作中还是在家里，我们迟早都要共享密码，如果密码用错了，就会给不必要的访问打开大门； 目标是在不阻碍合作的情况下尽量减少风险尽管理想情况下不要共享凭证，但在现实生活中（技术支持、同事需要审查的加密文档、新用户注册）您别无选择，只能共享密钥。
除了常识之外，了解存在哪些方法、它们的优缺点以及法律框架和最佳实践也很重要； 如果您了解上下文，您可以为每种情况选择最佳路径。下面您将找到一份完整的指南，其中包含安全技术、预防措施、企业建议以及可简化流程的工具，而不会在严格必要的情况下泄露您的秘密。
法律框架及其重要性
共享凭证的合法性处于灰色地带，取决于服务及其条款，因此 建议查看每个平台的使用条件有一些备受瞩目的案例，例如 Netflix 收紧政策，其中密码共享被解释为侵犯版权。
在美国，1986 年《计算机欺诈和滥用法案》（CFAA）已在凭证共享案件中被援引； 2016 年，法院裁定与未经授权的人员共享密码属于违法行为。除了管辖权之外，实际信息很明确：防止未经授权的第三方访问您的帐户并限制任何共享的范围。
在企业环境中，由于敏感数据、知识产权和法规遵从性受到威胁，风险成倍增加， 安全政治; 不受控制的密码共享可能导致严重事件这就是为什么 LastPass for Business 等解决方案允许您仅限制授权用户的访问权限、阻止组织外部的转发以及在员工离职时立即撤销权限。
在规划共享模式时，你必须考虑访问、可追溯性、 信息完整性 和到期日； 如果您可以限制谁可以看到密钥、何时可以看到密钥以及可以看到密钥的次数，那么您就可以减少攻击面。这是您将在本指南中看到的技术的基础，旨在尽可能短的时间内暴露您的密码。
在某些工具中，您会看到预先配置的选项或“预设”，以加快设置速度（例如，持续时间和查看次数）； 加载标准预设可帮助您避免忘记关键参数即便如此，始终要根据案件的敏感度和实际收件人数量调整这些值。
你绝对不能做的事情：不受控制的电子邮件和聊天
通过电子邮件或常规聊天（Teams、Telegram、WhatsApp 等）发送密码很方便，但本质上是不安全的；了解 计算机安全的类型 有助于评估风险， 失去对转发的控制，密钥被永久记录即使您在单独的线程中发送密码，上下文也常常会揭示其用途和使用者，如果有人搜索对话或收件箱，则很容易利用它。
聊天和电子邮件的另一个问题是信息会无限期地保留在参与者的服务器和设备上； 账户盗窃、备份保护不力或简单的疏忽都会暴露这一历史。因此，除非您采取下面描述的附加措施，否则请避免这些路线。
ISO 27000 系列标准及其影响的完整指南分享前的基本预防措施
在传递密钥之前，建议采取一些措施来防止滥用，因为 没有交付方法可以弥补不良的密码卫生. 请记住以下建议： 网络安全问卷.
每个帐户一个密码：不要在服务之间回收凭证。
周期性旋转：经常更改密码，尤其是敏感密码。
撤销和变更如果您与同住的人分手，请立即更改该密码。
不要把它们留在视线范围内：既不在便签中，也不在未加密的文件中。
激活两步验证 （MFA）尽可能
采取这些措施可以创建一个安全缓冲，以减少有人截获钥匙时的影响； 它们是迫使攻击者跳过几个障碍的障碍如果对可能泄露密码有任何疑问，请立即更改密码。
具有共享功能的密码管理器
现代管理器是控制存储和共享的第一线，因为 它们将加密、组织和审计结合在一起。此外，它们还集成到浏览器和移动设备中，并提供强密码生成器等补充实用程序。
流行的解决方案，例如 1Password、LastPass、Dashlane、Keeper、Bitwarden o RoboForm的 允许您为家庭或团队创建共享空间或收藏； 每个用户都维护自己的私人保险库，并且只能访问授予他们权限的内容。在这些空间中，您可以看到谁可以进入以及具有什么权限，并且通常还有访问日志来调查可能发生的事件。
另一个优点是，这些管理器除了密码之外还可以存储安全笔记； 账单数据、恢复代码或敏感指令适合该流程。如果您的凭证出现在已知泄露中，许多人还会提醒您，以便您尽快更改它们。
高级共享通常是付费计划的一部分，但其价值在于控制和可见性； 当存在合规性或关键数据时，可追溯性至关重要如果您在某个组织工作，请在自行实施某个企业管理系统之前，检查该管理系统是否已获批准。
临时消息：一个折衷的解决方案
消息应用程序 WhatsApp、Telegram、Snapchat o 信号 它们提供消失的信息，这在特定情况下很有用； 即便如此，这也不是最推荐的方法尽管采用了端到端加密，但仍然存在被捕获（尽管可以在某些模式下阻止）或在到期前重新传输的风险。
如果没有其他选择，请使用私人聊天并在最短的时间内激活临时消息选项； 在 WhatsApp 上，24 小时是谨慎的设置在 Telegram 中，您可以打开“秘密聊天”并设置自动删除触发器；始终优先考虑最小时间窗口。
划分信息并使用不同的渠道
一种经典的技术是将信息分成几部分，以便 没有人能够仅凭一条消息就能重建访问权限例如：服务、用户名和密码通过不同的渠道分开运输。
因此，您可以通过电子邮件发送服务，通过信使发送用户名，并通过其他渠道发送密码； 避免交叉引用消息以免留下线索如果有人拦截其中一方，他们就没有进入所需的所有要素。
自毁的临时链接
有一类网络工具专门用于使用过期的 URL 临时共享密码； 密码不以明文形式传输，而是在受控流中传输两个关键思想定义了它的安全性：限制寿命和限制查看次数。
一个例子是Password Pusher（pwpush.com），它允许您生成密码或粘贴现有密码并创建带有到期日期的链接； 您可以决定它运营多少天以及可以打开多少次。理想情况下，您应该将参数调整到必要的最小值：天数越少、浏览量越少，曝光率就越低。
Excel 公式：生产力的基础！生成链接时，避免在密码旁边添加上下文（不要像“它是用户 Y 的 X 的密钥”那样）； 如果有人截取了该 URL，他们将不知道在哪里应用它。. 复制结果地址并通过所选渠道分享。
重要细节：一些电子邮件和协作安全过滤器（Microsoft 365、Gmail 等）会预先访问链接以检查它们是否是恶意的； 这可能会消耗浏览量，而收件人无需打开 URL。。请选中“一键恢复步骤”选项（如果可用），以避免这种自动消耗。
最后，收件人可以点击 URL 并将密码复制到剪贴板，甚至不需要在屏幕上看到它，这取决于配置； 因此，访问仅限于单一受控行为如果您需要更高的安全性，请将此技术与通过单独的渠道发送“在哪里使用它”的信息结合起来。
使用浏览器内加密共享秘密
一些工具更进一步，在将秘密发送到服务器之前，在浏览器中对其进行加密； 因此，提供商永远无法清晰地看到内容通常的流程如下：浏览器生成密钥对（公钥和私钥）并在本地加密秘密。
服务器只收到公钥和已经加密的秘密； 如果没有私有的，即使有人访问数据库，存储的内容也是无用的。然后，该工具会创建一个包含秘密标识符和客户端解密所需信息的 URL。
这样，当收件人打开链接时，他们的浏览器就会检索加密的 blob 并使用 URL 中嵌入的数据在本地解密； 如果原始 URL 不可用，则无法重建秘密。到期控制基于两个条件：浏览次数和已用时间，当满足任一条件时，帐户将无法访问。
一些实现添加了 查看日志 审核每一次尝试，即使那些由于密钥已过期而无法显示密钥的尝试； 这种可追溯性有助于验证收件人是否收到以及何时对于支持团队和管理员来说，这是一个非常方便的功能。
在这种类型的解决方案中，通常会看到集成实用程序的演进计划，例如有助于分发的密码生成器或 URL 缩短器； 他们通常还会考虑翻译和帮助页面（常见问题解答、关于）以覆盖更广泛的受众。如果能帮助您分享更少、更好的东西，那么一切都有帮助。
Bitwarden Send 和加密文本/文件发送
另一种便捷的方法是使用 Bitwarden Send 等服务来安全地共享完全端到端加密的文本或文件； 允许您传输具有访问控制的凭证、商业文档或敏感记录。其方法使得可以轻松地将内容直接发送给其他人，而无需将内容暴露给第三方。
这些类型的工具通常提供到期日期、额外的密码保护和下载限制； 始终设置最短时间并避免重复使用链接如果接收者不需要保留数据，最好让链接在第一次查看后过期。
实际示例：团队共享的加密文档
假设您已使用密钥加密了 Office 文档，并且合作者需要打开它； 您必须提供该密码，但不能将其泄露给第三方。在这种情况下，一个好的做法是通过通常的公司渠道发送文件，并通过临时的自毁链接发送密码。
商业软件的优势：完整指南此外，它还以不同的方式传达密码的应用位置（例如，文件或文件夹的名称）； 如果有人拦截了 URL 或文档，但不是两者，他们将无法访问内容。这是一种简单的平衡应用，并增加了真正的安全性。
风险、关联账户和身份
现代账户存储个人数据、银行信息、对话、照片等； 如果有人使用不受控制的共享密码登录，他们就可以冒充您或进行欺诈。。此外，许多服务都是相互关联的，因此一次违规可能会拖累其他服务。
曝光也会影响您的声誉：任何访问您个人资料的人都可以以您的名义发帖或操纵您的信息； 保护访问权就是保护您的数字身份因此，尽量减少凭证的流通并选择留下最少痕迹的方法非常重要。
公司内部的控制和政策
在组织中，标准应该是通过管理空间和角色权限来共享最低限度的内容； 限制授权用户使用密码，并防止他们离开域正确的业务工具可以让这些政策得到集中执行。
另一项关键控制措施是，当有人离开公司时立即撤销； 切断对凭证和资源的访问应该是一个自动化的过程。同时，定期检查共享访问并清除不再需要的内容。
推荐的分步流程（含临时链接）
对于特定情况，具有一次性链接和短暂有效期的稳健流程非常有效； 最大限度地减少曝光时间并限制可以看到钥匙的眼睛数量顺序如下：
生成随机密码或将现有密码粘贴到临时工具字段中。
按天数和浏览量定义到期时间。提示：添加额外的浏览量，以便您自行查看链接。
启用阻止自动扫描仪消耗视图的选项（相当于“一键恢复”）。
创建链接并将其复制到剪贴板，而不添加任何服务/用户上下文。
通过一个渠道发送 URL，并通过另一个适用的渠道进行沟通。
如果将其与目标账户上启用的 MFA 结合起来，风险就会大大降低； 即使有人窃取了密码，如果没有第二个因素，他们也无法进入。如果工具允许，请记住在不再需要链接时删除该链接。
无论选择哪条路线，共同的想法都是不留下任何痕迹，控制谁有访问权限，并能够随时关闭水龙头； 如果您应用时间限制、观看限制和频道分离，那么您就走在了正确的轨道上。有了这些习惯和正确的工具，密码共享就不再是俄罗斯轮盘赌，而成为一个有节制的过程。
相关文章：如何保护互联网上的个人数据：10 个技巧
目录
法律框架及其重要性你绝对不能做的事情：不受控制的电子邮件和聊天分享前的基本预防措施具有共享功能的密码管理器临时消息：一个折衷的解决方案划分信息并使用不同的渠道自毁的临时链接使用浏览器内加密共享秘密Bitwarden Send 和加密文本/文件发送实际示例：团队共享的加密文档风险、关联账户和身份公司内部的控制和政策推荐的分步流程（含临时链接）