日前，Opera Software报告了一个安全漏洞，影响了其Web浏览器内置密码管理器的所有用户。170万用户的同步密码和身份验证密码都泄露了。值得赞扬的是，Opera似乎在采取相对迅速的行动来通知其用户，在检测到问题的一周内向其用户发送电子邮件通知其同步服务，并在其安全博客上发布有关该服务的信息，但问题就出在这里。尽管他们本周可能已检测到攻击，但我们无法知道攻击何时开始，甚至无法知道攻击的真实程度，也无法知道。LinkedIn于2012年被黑客入侵，直到2016年，有人在网上发布了额外的1.17亿封电子邮件和未加密码的密码后，才发现其全部内容。您只能肯定地识别出已访问了特定文件。您不能保证未访问其他文件。你不能证明是负面的。
如果需要安全性，则需要假设可以访问并且已经访问了所有文件。您需要围绕“ 深度防御”的思想来设计系统。在企业级别，仅使用系统监视软件来检测入侵何时发生还不够。您需要日志以发现已访问的内容。您需要加密(以及良好的加密)以及正确的哈希密码和加盐密码，以使读取已读取的数据更加困难。您需要防火墙，病毒扫描程序以及定期的安全审核，而且您总是需要更多。没有太多的安全性可言。唯一真正的限制是成本和时间。
那么，如何减少实施安全解决方案所花费的时间和金钱呢?如何在不超出预算的情况下改进安全解决方案?
通过使用经过广泛尝试，测试和改进的行之有效的解决方案。“ 只要有足够多的眼球，所有的漏洞都是浅浅的 ”，眼球最多的地方就是开源世界。您认为自己有多聪明都没有关系。您将无法创建比世界领先的加密和哈希专家团队更好的加密或哈希系统。共同创造和改进(您将不得不花费大量的金钱才能接近)。更重要的是，即使您以某种方式设法创造了几乎一样好的产品，但如果您将其保持为封闭源代码，那么您将很快落伍，因为独立开发人员和开发人员都发现，报告并修复了等效于开源的错误。使用该软件的数百万公司。一些大型公司甚至拥有整个团队，专门负责寻找(和报告)他人软件中的错误以帮助修补它们。
在信息安全领域，有一种说法：“ 默默无闻的安全根本不是安全。尽管模糊不清的安全概念已经被专家拒绝了数百年，但许多公司仍在实践。甚至Opera试图通知用户违规行为时，也避免避免回答某些问题(他们之前已经回答了其中的一些问题)，这些问题将有助于验证违规的严重性。Opera声称透露“他们的系统上的认证密码是如何准备存储的……只会帮助潜在的攻击者，”但这离事实还远。只要使用安全系统并正确实施，揭示使用哪种加密系统都不会破坏它。实际上，Opera的主要竞争对手之一Firefox 专门详细介绍了其密码同步加密方法，以帮助提高其安全性。更糟糕的是，似乎泄漏的次数超过Opera最初允许的程度，Opera代表的评论显示，Opera Sync用户的浏览历史和书签也可能未经加密就泄漏了。
在其中存在将您的密码信任到封闭源服务的风险。您无法验证他们使用了什么安全措施，无法验证它们是否已正确实施，无法验证它们是否已正确监视入侵等。这会导致您希望他们采取措施。正确地完成了所有操作，并且没有采取任何措施(就像上面的LinkedIn一样，您可能直到多年才发现他们没有这样做)。如果您的网站密码泄露了，并且您在其他任何地方都使用了该密码，那么您在所有这些网站上的帐户都会受到威胁。
使用封闭源代码服务还存在着风险，那就是原本值得信赖的公司会成为坏人。如果一家公司被另一家公司收购或处于财务困境中，您可能会看到其公司文化发生重大变化。这可能导致有问题的公司将软件更新推送到可以解密密码(用户不知道的情况)的软件中，然后以纯文本形式将其发送给公司，以使用户可能不满意。在某些情况下，您甚至可能会看到一家公司针对特定用户部署了该应用程序的修改版(如FBI最近试图强迫Apple这样做)。
Keepass安全研究人员通常推荐的唯一软件是已由多个可信赖的第三方进行例行审核的软件，而要实现这一目标的唯一途径就是开源。任何人都可以查看代码，查找错误并为其提交补丁(而对于封闭源代码软件，人们只能查找错误，而不能修复它们)。幸运的是，有一个很棒的离线密码管理器。KeePass具有例行的安全审核，到目前为止，尚未发现有这样一种利用程序，即在您登录KeePass时并不需要对计算机的完全管理访问权(这突显了深度防御和防止键盘记录程序之类的重要性)。
KeePass解决了与封闭源密码管理器和不使用密码管理器相关的许多问题。通过允许您生成每个使用的站点唯一的伪随机密码，它避免了与在多个站点上重用同一密码相关的问题。通过将您需要记住的号码减少到只有几个(如果需要，甚至只有一个)，它可以降低弱密码的风险。它在本地进行管理，消除了在您不知情的情况下推送更新的风险。可以使用所需的任何服务(Dropbox，Google Drive，OneDrive，MEGA等)在设备之间进行同步。它不是安全的“一劳永逸”，而是安全链中的重要环节，有助于提供更多的安心。
