2024 年 1Password 评价：这款密码管理器安全吗？

1Password 提供军工级安全功能

1Password 认真对待安全措施，采用业内标准的 AES 256 位加密和先进的安全协议，保障用户的密码和其他重要信息安全。

我高兴地发现，我存储在 1Password 保险库中的信息是端到端加密的。也就是说，1Password 不知道我保存的内容，只有我自己能解密存储的信息。在加密数据时，它会让用户创建只有自己知道的”主密码”。

此外，1Password 可以保证，即使在传输到服务器的过程中，密码也会受到传输层安全性（TLS）和安全远程密码（SRP）的保护。这为用户提供了额外一层加密。下面将具体介绍各项安全功能。

AES 256 位加密

1Password 采用 AES 256 位加密，确保用户数据得到保护。银行和军事组织都用这种加密方式保护数据安全。我不用担心黑客或网络犯罪分子窃取我的密码。

主密码和密钥保护

1Password 对用户数据进行双重保障：一方面，它要求我创建只有我本人知道的主密码；另一方面，在注册时，应用程序在设备上生成了密钥。两者相结合，共同用于加密和解密数据。我最喜欢的是，它会自动进行不同层次的安全检查和验证，避免我的数据落入他人手中。

1Password 还生成了包含密钥的应急包 PDF 文档，同时自动将密钥保存到了我注册时使用的设备上，确保我有离线的密钥备份。要访问个人数据，必须提供主密码和 34 位的密钥。因此，即使有人知道了两者之一，也无法访问我的保险库。

PBKDF2 暴力攻击防护

1Password 利用密钥派生功能，为账户防御暴力攻击。在创建主密码时，1Password 使用算法或密码生成密钥，用于加密和解密用户数据。黑客用特殊的计算机硬件和软件以试错的方式猜测密码，这就是”暴力攻击”（通常也称为”字典式攻击”）。

1Password 应用 PBKDF2 生成可抵御这种攻击的密钥。账户密码和加密盐被传输到 PBKDF2-HMAC-SHA256，进行 10 万次迭代。这样一来，即使黑客具有复杂处理能力（能猜测数百万次），也无法在短时间内解密用户的加密数据。

安全输入和自动锁定

1Password 声称可以保障输入字段不被键盘记录器跟踪，但事实并非完全如此。键盘记录器是一种计算机程序，可以记录计算机上的所有按键输入，获取输入内容，包括密码。

1Password 在网站上声称，它”保护用户数据不被键盘记录器跟踪”，并且”1Password 使用安全输入字段，防止其他工具得知用户的输入内容，包括主密码。”

为了验证这种说法，我在自己的 Windows 电脑上安装了键盘记录器，检查我的按键内容有没有被记录。遗憾的是，我在 1Password 应用程序输入的所有内容，甚至包括主密码，都被记录下来了。我就此联系了 1Password，支持人员表示其中存在误解，1Password 不保护已经遭到入侵的设备。

这样的答复令人担忧，因为 1Password 网站明确表示它能为用户防御键盘记录器。我不得不怀疑 1Password 还有其他没有明说的情况。

从好的方面看，1Password 定期删除保存在剪贴板上的信息。这样一来，即使有人能入侵设备，也无法获取剪贴板上的信息。而且，1Password 会在 90 秒内删除剪贴板上的信息，防止剪贴板工具获取剪贴板数据。

为了确保没有人能在未经授权的情况下访问保险库，1Password 会在应用程序不活跃 10 分钟后自动锁定账户。你还可以调整自动锁定的触发时间，选择范围是 1 分钟至 1 小时；如果你想停用自动锁定功能，也可以选择”永不”。我将时间限制设为 5 分钟，它有效地将账户锁定了。在 Mac、iPad、iPhone 和 Android 设备上，还可以方便地用指纹解锁 1Password 应用程序。

TLS 和 SRP 数据传输保护

在数据从设备传输到服务器的过程中，1Password 用 TLS 和 SRP（安全远程密码）协议保护数据安全。这样，用户可以得到额外一层安全保障，使数据（和密码）在传输时不会被黑客截取。1Password 还有一点令人印象深刻，那就是它只适用于值得信赖的网页浏览器，不会将用户数据交给被篡改过的浏览器。

双重身份验证（2FA）

1Password 也有其他必要的安全功能，比如支持有双重身份验证（2FA）的网站。你可以使用 Authy 或 Microsoft Authenticator，将签名加入 1Password 应用程序。1Password 还允许用户检查支持 2FA 的网站，也可以存储用户的验证码。

我很高兴 1Password 要经过我确认，才会在网站上填写表格。这样可以避免网站利用隐形表格窃取个人信息。1Password 还能防止钓鱼网站通过克隆网站窃取用户数据。

为了测试这一点，我保存了 Facebook 的登录凭据，然后访问了 Yahoo 网站，尝试自动填写登录字段。1Password 没有填写登录输入字段，因为我的保险库中没有保存 Yahoo 相关的登录凭据。

隐私：采用开源数据格式

1Password 的设计非常重视隐私。账户密码和保险库中存储的数据都是私密的，经过了端到端加密。它采用两种开源数据格式：OPVault 及其专有的 Agile Keychain，确保用户数据安全地同步到服务器端，并且任何人都能研究数据格式的安全架构。Apple 的 iCloud 和 Dropbox 也采用这两种数据格式。

1Password 还与名为”Privacy”（隐私）的第三方应用程序合作，该程序允许用户创建隐私卡或虚拟卡，在网购时隐藏原本的信用卡信息。

近年来，1Password 经过了多次独立审计，审计机构包括 Cure53、AppSec、Bugcrowd、CloudNative、Nvisium、Onica 和独立安全评估机构（ISE）。

1Password 已通过 SOC 2 二类认证，说明它安全地管理数据，保护客户的利益和隐私。不过，我希望 1Password 能像 Keeper 一样通过 ISO 270001 认证，这代表着更好的数字保险库管理实践。

免费试用 1Password 14 天