O3.09.2Password-manager concentration tradeoff设计研究
密码管理器能缓解记忆负担但引入单点故障风险
别名: 密码库风险 · 管理器单点 · password vault tradeoff
概念解释
密码管理器的集中权衡（password-manager concentration tradeoff）是把许多独立随机秘密交给一个密码库，显著降低记忆与复用，却把可用性和机密性集中到主密码、解锁设备、同步账户和恢复流程。集中不是自动“不安全”，而是改变了故障形态和防护重点。
机制
管理器可为每站生成不同密码并按域名填充，减少人工输入和假站转交。若密码库失陷、主凭据被钓鱼、同步账户被接管或恢复材料丢失，多账户会同时受影响；服务不可用也可能造成广泛锁定。强本地加密、设备绑定、多因素认证、导出备份和可验证恢复可降低不同风险，但彼此存在便利权衡。
怎么研究
让参与者完成初始设置、跨设备登录、识别错误域名填充、设备丢失、离线访问、恢复和供应商迁移。记录独立密码采用、错误填充、恢复成功、锁定时间和对风险的理解。安全评估同时检查密码库加密、密钥派生、同步与恢复，而不能从“用了管理器”推断全部账户安全。
边界
浏览器、操作系统、企业和独立管理器的信任边界不同；云同步也不是所有方案必需。无密码凭据仍可能由凭据管理器集中保存，权衡不会完全消失。手写离线备份对某些用户可能合理。应比较替代方案的整体风险，而非因单点存在就退回广泛复用。
怎么落地
- 兼容标准自动填充与生成，不通过特殊字段、禁粘贴或频繁重认证破坏管理器使用。
- 为密码库启用强主认证、设备清单、异常通知和经过演练的恢复，并解释同步边界。
- 支持加密导出或可迁移备份，明确遗失所有设备与恢复材料时的结果。
- 在填充时突出目标注册域并禁止网页读取其他站点条目，测试假域、嵌入框和覆盖攻击。