主密码最佳实践 — 长度、复杂度、助记词生成法

主密码有多重要

Enpass 的加密体系有两个关键要素：

1. 主密码（Master Password） — 你唯一需要记住的密码，用来派生 AES-256 加密密钥
2. 加密 Vault 文件 — 存在云盘或本地的加密数据库

Enpass 的主密码和所有其他密码管理器一样，是加密的钥匙——没有后门、没有找回、没有密码重置。主密码丢了 → Vault 里所有数据全毁。

主密码的最低要求

为什么长度优先于复杂符号

很多人误以为多加特殊符号（!@#$%^&*）比长度更能增加密码强度。实际计算显示：

结论：把长度从 12 加到 16 比加更多特殊符号更有效。

主密码生成方法

方法一：助记词法（推荐）

助记词法（Passphrase）是目前最被安全专家推荐的方法——用 3~5 个不相关的单词组合成一个"密码句"：

正确的马电池订书钉 / horse correct battery staple
蓝色自行车吃星星 / bicycle stars blue

助记词法的优势

• 好记：单词组合比随机字符串好记得多
• 长度天然长：3~5 个单词拼起来轻松超过 16 字符
• 熵值足够高：4 个常见单词（约 5000 个常用词）= 5000^4 = 625 亿种组合 → ~92 位熵
• 可以加符号变形：在单词之间加数字或符号进一步强化

助记词法的安全变形

基础：正确的马电池订书钉
变形：正确_的_马_电池_订书钉  （加下划线分隔）
变形：正确2024的马电池订书钉!  （加年份和感叹号）
变形：Horse!Battery%Staple$Correct  （首字母大写 + 符号分隔 + 换顺序）

方法二：密码生成器（如果有第二个安全设备）

如果你有一个专门用来生成和保存主密码的安全设备（比如 KeepassXC 运行在单独的 USB 上），可以用 Enpass 生成器生成一个 24 位的强主密码、打印出来、存进保险箱。但日常使用中每次解锁 Enpass 要输入 24 位随机字符串会很烦——助记词法更适合日常使用。

方法三：不推荐的方式

• ❌ 用自己的生日或家人的生日
• ❌ 用自己的名字或常见昵称
• ❌ 用和某个网站密码相同的密码
• ❌ 少于 12 字符的任何组合

主密码遗忘的后果（再强调一次）

没有找回机制。 如果你忘了 Enpass 主密码：

• 加密 Vault 文件无法解密（即使拿到了文件也没用）
• 密码历史、附件、2FA 密钥全部丢失
• Enpass 公司帮不上忙（因为他们也看不到你的加密数据）
• 能救你的只有备份文件（如果备份文件也用了相同主密码 → 也无解）

安全建议

1. 不要把主密码存进 Enpass 里（看起来矛盾？——Enpass 里存其他密码，主密码是唯一要你记的那个，存进去等于给自己放了一个后门）
2. 把主密码存进加密的纸质笔记本或独立的密码管理器（比如 KeepassXC 专门用来存"恢复密钥"类的东西）
3. 告诉一个值得信赖的家人或朋友（如果突然出事，他们能用你的密码恢复所有数字身份）
4. 定期手动备份 + 测试恢复流程（确认备份文件能正常用主密码解密）

主密码 vs 生物识别

Enpass 支持用 Face ID / Touch ID / Windows Hello 快速解锁——这是为了方便日常使用，但主密码是最终的身份验证手段：

• 生物识别失败（手指沾了水、Face ID 没对准）时 → 系统会要求输入主密码
• 换设备时第一次解锁 → 需要输入主密码（生物识别需要重新配置）
• 主密码修改需要验证身份 → 输入主密码

生物识别是便利层，主密码才是安全基石。

主密码定期改不改？

安全界有两种观点：

Enpass 的建议：如果你用的是强助记词主密码、且唯一用于 Enpass（没有在其他网站上用过）——不需要定期改。但以下情况必须立即改：

• 你怀疑主密码已经泄露（比如电脑中木马、有人看到过你输入）
• 主密码不够强（当初创建时随便想的，后来觉得不够安全）
• 你使用的某个"密码管理器"被爆有数据泄露（你可能在那里用了相同主密码）

修改主密码后记得：

• 所有设备的 Enpass 都要更新到新主密码（通过云同步自动触发重新加密）
• 更新备份——用新主密码重新做一份手动备份
• 如果有"主密码恢复副本"——同步更新

下一个：生物识别解锁——参见 生物识别快速解锁。