人在江湖飘，怎么不挨刀？币圈防“刀”(盗)指南

从币圈小韭菜一路“打怪升级”的路上，每一位小萌新都免不了丢失私钥、忘记助记词的糗事。小编也不例外，曾经Primas的助记词因为换手机丢失，遗失了几百个PST。这使得小编对币圈安全更加重视。与其等着第三方提供服务坐以待毙，不如自己在安全上加强管理。

关于币圈的账户、密码、私钥、隐私的安全就不再赘述，本文会重点从密码管理、私钥管理、安全环境三方面给到一些意见。

一、密码管理

1. 为什么需要密码管理

简单一句话回答：密码多到我的大脑已经记忆不过来了，所以需要密码管理，那么需要管理的到底有多少呢？
截止到今天，小编的密码管理软件上统计到的密码如下，累计达到了 341 个，还不包括大量未使用密码管理器的网站，也就是说至少 400 个密码需要我来记忆和存储。
咳咳，这时候对于大多数人来说，为了省事，干脆400个都用一个密码就好了。细思极恐，信息泄露时代这是非常不安全的。

2. 什么样的密码是安全的

在查询了很多资料之后，发现这个问题很难用一两句话讲清楚，那我们就反问一下，什么样的密码是不安全的？

1. 最典型和突出的的就是使用同一个密码
   不管这个密码的复杂性和位数有多高，都是不安全的，一旦某一个网站因为各种原因导致密码泄露，黑客就可以使用撞库的手段（通俗点解释就是碰运气的用已经泄露的A网站的账号密码，去登陆B网站）来登陆其他网站，这个危害性非常的大。
   所以千万不要使用同一个密码行天下，千万不要使用同一个密码行天下，千万不要使用同一个密码行天下，千万不要使用同一个密码行天下，千万不要使用同一个密码行天下，千万不要使用同一个密码行天下，千万不要使用同一个密码行天下，千万不要使用同一个密码行天下，千万不要使用同一个密码行天下，千万不要使用同一个密码行天下，这句话说了10遍，希望你能引起重视。

2. 密码不要有意义
   据我所知很多人的账号密码就是名字的缩写，需要数字的，会加上出生年月日，例如小王生日是1992年9月1日，那么密码就写成xw19920901或xw0901，莫名躺枪的你们在留言区举个手，我们看看多少人是这样的。
   基于以上两不要原则，我们可以使用这样一条设定密码的原则：
   一定要设定成自己也记不住的密码，并经常更换！
   看到这里你可能会吐槽，我自己都记不住的密码我怎么去填写密码呢？当然是使用专业的密码管理软件了

   3.使用密码管理软件

   常用的密码管理软件提供的基础功能一般都有：随机生成密码、密码保存管理、密码填充
   小编自己使用的是 LastPass （1Password 也是大家比较常用的密码管理软件），LastPass 的优点在于全平台通吃，你能想到的平台它都支持，LastPass 通过自动云端同步，让用户只需记住一个主密码就可随时随地、不受设备数量限制地享受密码自动填充、安全笔记、好友密码共享等功能，最重要的是 LastPass 在桌面端是完全免费使用的，免费用户可在桌面浏览器之间实时同步密码库，使用完整的密码管理功能，这也是我使用它的主要原因之一，而且对我来说免费版已经足够使用了。接下来简单介绍一下 LastPass 的是使用：
   设定一个主密码

• 这个密码是打开其他密码的钥匙，重要性不言而喻，所以一定要足够长、并且大小写、特殊字符啥的都要有，重点是还要方便记忆，可以考虑对你有意义的一段话、你的座右铭什么的。

• 当不小心遗忘 LastPass 的主密码后，LastPass 无法提供传统的密码找回功能，只能通过密码提示帮助你回忆密码
  随机生成密码

• 以 LastPass 在 chrome 浏览器的插件为例演示：点击 LastPass 的标识，随后点击生成安全密码，可以看到 LastPass 会生成一个毫无意义的 12 位字符，你还可以随意调整密码长度或者使用高级选项增强密码强度

• 
  
  网站注册自动保存

• 以 OTCBTC 交易所的注册为例，点击下图密码框上锁的图标，然后点击生成并填充密码，LastPass 会自动生成高强度的密码，并自动填写到 密码框和确认密码框，关键是：全程你并不知道你的密码是啥

• 注册完成之后，会弹出一条消息询问你是否保存到 LastPass ，建议选择保存，交由 LastPass 统一管理密码就好
  
  网站登录自动填充

• 以 OTCBTC 交易所的登录为例，如果 LastPass 插件右下角标有数字说明 LastPass 存储有当前网站的密码，点击下面的 LastPass 表示就可以填充密码，如下图所示
  
  

  4.使用谷歌双重验证

  谷歌双重验证类似短信验证码校验，但是短信验证码本质上是非常不安全的，具体可以参考：短信验证码：是时候说再见了，此处不展开讨论。
  币圈的很多交易所在安全中心一般都会通过谷歌的双重验证功能，这个强烈建议大家开启，可以杜绝很多安全隐患，一般都会提供下载的地址，如果没有可以去应用市场下载，应用宝搜索 谷歌动态口令 即可，具体开启步骤可以参考少数派的这篇文章—手把手教你设置 Google 两步验证

  二、私钥管理

  保持一个核心原则：不要给任何人私钥，不要给任何人私钥，不要给任何人私钥
  具体给出以下几点建议：

• 自己去买一个笔记本，保管好，存在保管柜或者家里面，记录私钥，做好冷备份

• 手机上不要保存私钥的截图或者明文未加密的密码、私钥、还有助记词

• 账号、密码、助记词、私钥、或者提示语，不要记录在桌面(EXCEL+WORD+记事本)，不要记在便签上，尤其是不要通过网络发送，比如邮箱，微信，QQ，短信等（keystore可以发邮箱，但密码和私钥、助记词等千万不能通过网络传输）

  三、安全环境

  这部分会给出一些和使用环境相关的一些建议：

• 下载钱包、以及应用时，最好去官网下载，不要安装来历不明的钱包应用

• 电脑或者手机终端，定期做杀毒，定期升级补丁（Windows或者Mac）

• 不建议使用国产的杀毒软件，推荐使用国外的，Windows 用自带的就可以

• 非要使用国产的话建议使用火绒安全

• 尽量在私人的局域网和自己电脑或手机设备上网操作

• 选择主流交易平台，以及主流的钱包应用

• 尽量不要使用私人电脑挖矿，因为很多窃取隐私的软件会伪装成挖矿软件
  好了，今天的早间播报就到这里，明天我们不见不散！
  咳咳，Everybody，使用一个密码走天下的在留言区举个手，看看有多少同类。