NIST 最近发表了四卷 SP800-63b 数字身份指南。除此之外，它还对密码提供三个重要的建议：
这些密码规则不能让用户安全。让系统安全才是最重要的。
作者简介：
自从 2004 年以来，我一直在博客上写关于安全的文章，以及从 1998 年以来我的每月订阅中也有。我写书、文章和学术论文。目前我是 IBM Resilient 的首席技术官，哈佛伯克曼中心的研究员，EFF 的董事会成员。
via: https://www.schneier.com/blog/archives/2017/10/changes_in_pass.html
作者：Bruce Schneier 译者：geekpi 校对：wxy
现如今要记住类似 email、银行、社交媒体、在线支付、ftp 等等这么多的密码相信对每一个人来说都是一个巨大的挑战。
由于需求和使用，密码管理器现如今变得非常的流行。在 Linux 中我们可以有很多选择，包括基于 GUI 和基于 CLI 两种。今天我们要讲的是一款基于 CLI 的密码管理器叫做 pass 。
pass 是 Linux 上的一个简单的命令行密码管理器，它将密码存储在一个 gpg 加密后的文件里。这些加密后的文件很好地组织按目录结构存放。
所有密码都存在于 ~/.password-store 中，它提供了添加、编辑、生成和检索密码等简单命令。
它是一个非常简短和简单的 shell 脚本。 它能够临时将密码放在剪贴板上，并使用 git 跟踪密码的修改。
这是一个很小的 shell 脚本，它还使用了少量的默认工具比如 gnupg、tree 和 git，同时还有活跃的社区为它提供 GUI 和扩展。
Pass 可从大多数 Linux 的主要发行版的仓库中获得。 所以，你可以使用你的分布式包管理器来安装它。
对于基于 Debian 的系统，你可以使用 apt-get 或 apt 包管理器命令来安装 pass。
$ sudo apt-get install pass
对于基于 RHEL/CentOS 的操作系统, 使用 yum 包管理器命令来安装它。
$ sudo yum install pass
Fedora 系统可用 dnf 包管理器命令来安装。
$ sudo dnf install pass
openSUSE 系统可以用 zypper 包管理器命令来安装。
$ sudo zypper in password-store
对于基于 Arch Linux 的操作系统用 pacman 包管理器来安装它。
$ pacman -S pass
确保你拥有你个人的 GPG 密钥对。如果没有的话，你可以通过在终端中输入以下的命令并安装指导来创建你的 GPG 密钥对。
$ gpg --gen-key
运行以上的命令以生成 GPG 密钥对时会有一系列的问题询问，谨慎输入问题的答案，其中有一些只要使用默认值即可。
如果你已经有了 GPG 密钥对，请通过运行以下命令初始化本地密码存储，你可以使用 email-id 或 gpg-id 初始化。
$ pass init [email protected]
mkdir: created directory '/home/magi/.password-store/'
Password store initialized for [email protected]
上述命令将在 ~/.password-store 目录下创建一个密码存储区。
pass 命令提供了简单的语法来管理密码。 我们一个个来看，如何添加、编辑、生成和检索密码。
通过下面的命令检查目录结构树。
$ pass
or
$ pass ls
or
$ pass show
Password Store
我没有看到任何树型结构，所以我们将根据我们的需求来创建一个。
我们将通过运行以下命令来保存 gmail 的 id 及其密码。
$ pass insert eMail/[email protected]
mkdir: created directory '/home/magi/.password-store/eMail'
Enter password for eMail/[email protected]:
Retype password for eMail/[email protected]:
执行重复操作，直到所有的密码插入完成。 比如保存 Facebook 密码。
$ pass insert Social/Facebook_2daygeek
mkdir: created directory '/home/magi/.password-store/Social'
Enter password for Social/Facebook_2daygeek:
Retype password for Social/Facebook_2daygeek:
我们可以列出存储中的所有现有的密码。
$ pass show
Password Store
├── 2g
├── Bank
├── eMail
│ ├── [email protected]
│ └── [email protected]
├── eMail
├── Social
│ ├── Facebook_2daygeek
│ └── Gplus_2daygeek
├── Social
└── Sudha
└── [email protected]
运行以下命令从密码存储中检索密码信息，它会询问你输入密码以解锁。
$ pass eMail/[email protected]
*******
要直接将密码直接复制到剪贴板上，而不是在终端上输入，请使用以下更安全的命令，它会在 45 秒后自动清除密码。
$ pass -c eMail/[email protected]
Copied eMail/[email protected] to clipboard. Will clear in 45 seconds.
如果你想生成一些比较难以猜测的密码用于代替原有的奇怪密码，可以通过其内部的 pwgen 功能来实现。
$ pass generate eMail/[email protected] 15
An entry already exists for eMail/[email protected]. Overwrite it? [y/N] y
The generated password for eMail/[email protected] is:
y!NZ<%T)5Iwym_S
生成没有符号的密码。
$ pass generate eMail/[email protected] 15 -n
An entry already exists for eMail/[email protected]. Overwrite it? [y/N] y
The generated password for eMail/[email protected] is:
TP9ACLyzUZUwBwO
使用编辑器插入新密码或编辑现有密码。 当你运行下面的命令时，将会在包含密码的文本编辑器中打开文件 /dev/shm/pass.wUyGth1Hv0rnh/[email protected]。 只需在其中添加新密码，然后保存并退出即可。
$ pass edit eMail/[email protected]
File: /dev/shm/pass.wUyGth1Hv0rnh/[email protected]
TP9ACLyzUZUwBwO
删除现有密码。 它将从 ~/.password-store 中删除包含 .gpg 的条目。
$ pass rm eMail/[email protected]
Are you sure you would like to delete eMail/[email protected]? [y/N] y
removed '/home/magi/.password-store/eMail/[email protected]'
要保存详细信息，如 URL、用户名、密码、引脚等信息，可以使用以下格式。 首先确保你要将第一项设置为密码，因为它用于在使用剪贴板选项时将第一行复制为密码，以及后续行中的附加信息。
$ pass insert eMail/[email protected] -m
Enter contents of eMail/[email protected] and press Ctrl+D when finished:
H3$%hbhYT
URL : http://www.2daygeek.com
Info : Linux Tips & Tricks
Ftp User : 2g
（题图：Pixabay， CC0）
via: http://www.2daygeek.com/pass-command-line-password-manager-linux/
作者：2DAYGEEK 译者：chenxinlong 校对：wxy
mimipenguin 是一个免费、开源、简单但是强大的 shell/python 脚本，用来从当前 Linux 桌面用户转储登录凭证（用户名和密码），并且已在不同的 Linux 发行版中测试过。
另外，它还支持如：VSFTPd（活跃的 FTP 客户端连接）、Apache2（活跃的/旧的 HTTP 基础认证会话，但是这需要 Gcore），还有 openssh-server（活跃的 SSH 链接，需用 sudo 命令）。重要的是，它逐渐被移植到其他语言中，以支持所有可想到的以后可以利用的情况。
要理解 mimipenguin 是如何工作的，你需要知道所有或者大多数的 Linux 发行版会在内存中存储大量的重要信息, 如：凭据、加密密钥以及个人数据。
尤其是用户名和密码是由进程（运行中的程序）保存在内存中，并以明文形式存储较长时间。mimipenguin 在技术上利用这些在内存中的明文凭证 - 它会转储一个进程，并提取可能包含明文凭据的行。
然后，通过以下内容的哈希值来尝试计算每个单词的出现几率：/etc/shadow、内存和 regex 搜索。一旦找到任何内容，它就会在标准输出上打印出来。
我们将使用 git 来克隆 mimipenguin 仓库，因此如果你还没安装，那么首先在系统上安装 git。
$ sudo apt install git #Debian/Ubuntu systems
$ sudo yum install git #RHEL/CentOS systems
$ sudo dnf install git #Fedora 22+
接着像这样在你的家目录（或者其他任何地方）克隆 mimipenguin 目录：
$ git clone https://github.com/huntergregal/mimipenguin.git
下载完成后，进入并如下运行 mimipenguin：
$ cd mimipenguin/
$ ./mimipenguin.sh
注意：如果你遇到下面的错误，那就使用 sudo 命令：
Root required - You are dumping memory...
Even mimikatz requires administrator
在 Linux 中转储登录密码
从上面的输出中，mimipenguin 向你提供了桌面环境的用户名和密码。
另外，还可以如下运行 python 版脚本：
$ sudo ./mimipenguin.py
注意有时 gcore 可能会阻塞脚本（这是 gcore 中一个已知问题）。
下面是将会被添加到 mimipenguin 的功能：
mimipenguin 的 Github 仓库：https://github.com/huntergregal/mimipenguin
同样，请查阅：
在下面的评论栏中分享你关于这个工具的额外想法或者对 Linux 中内存中明文凭据的问题。
（题图：Pixabay，CC0）
作者简介：
Aaron Kili 是 Linux 和 F.O.S.S 爱好者，即将成为 Linux SysAdmin 和网络开发人员，目前是 TecMint 的内容创作者，他喜欢在电脑上工作，并坚信分享知识。
via: https://www.tecmint.com/mimipenguin-hack-login-passwords-of-linux-users/
作者：Aaron Kili 译者：geekpi 校对：wxy
如果你是第一次安装 MySQL 或 MariaDB，你可以执行 mysql_secure_installation 脚本来实现基本的安全设置。
其中的一个设置是数据库的 root 密码 —— 该密码必须保密，并且只在必要的时候使用。如果你需要修改它（例如，当数据库管理员换了人 —— 或者被解雇了！）。
建议阅读：在 Linux 中恢复 MySQL 或 MariaDB 的 Root 密码
这篇文章迟早会派上用场的。我们讲说明怎样来在 Linux 中修改 MySQL 或 MariaDB 数据库服务器的 root 密码。
尽管我们会在本文中使用 MariaDB 服务器，但本文中的用法说明对 MySQL 也有效。
你知道 root 密码，但是想要重置它，对于这样的情况，让我们首先确定 MariaDB 正在运行：
------------- CentOS/RHEL 7 and Fedora 22+ -------------
# systemctl is-active mariadb
------------- CentOS/RHEL 6 and Fedora -------------
# /etc/init.d/mysqld status
检查 MysQL 状态
如果上面的命令返回中没有 active 这个关键词，那么该服务就是停止状态，你需要在进行下一步之前先启动数据库服务：
------------- CentOS/RHEL 7 and Fedora 22+ -------------
# systemctl start mariadb
------------- CentOS/RHEL 6 and Fedora -------------
# /etc/init.d/mysqld start
接下来，我们将以 root 登录进数据库服务器：
# mysql -u root -p
为了兼容不同版本，我们将使用下面的声明来更新 mysql 数据库的用户表。注意，你需要将 YourPasswordHere 替换为你为 root 选择的新密码。
MariaDB [(none)]> USE mysql;
MariaDB [(none)]> UPDATE user SET password=PASSWORD('YourPasswordHere') WHERE User='root' AND Host = 'localhost';
MariaDB [(none)]> FLUSH PRIVILEGES;
要验证是否操作成功，请输入以下命令退出当前 MariaDB 会话。
MariaDB [(none)]> exit;
然后，敲回车。你现在应该可以使用新密码连接到服务器了。
修改 MysQL/MariaDB Root 密码
在本文中，我们说明了如何修改 MariaDB / MySQL 的 root 密码 —— 或许你知道当前所讲的这个方法，也可能不知道。
像往常一样，如果你有任何问题或者反馈，请尽管使用下面的评论框来留下你宝贵的意见或建议，我们期待着您的留言。
作者简介：
Gabriel Cánepa是一位来自阿根廷圣路易斯的 Villa Mercedes 的 GNU/Linux 系统管理员和 web 开发者。他为世界范围内的主要的消费产品公司工作，也很钟情于在他日常工作的方方面面中使用 FOSS 工具来提高生产效率。
via: http://www.tecmint.com/change-mysql-mariadb-root-password/
作者：Gabriel Cánepa 译者：GOLinux 校对：wxy
如果你是第一次设置 MySQL 或 MariaDB 数据库，你可以直接运行 mysql_secure_installation 来实现基本的安全设置。
其中一项是设置数据库 root 帐户的密码 - 你必须保持私密，并仅在绝对需要时使用。如果你忘记了密码或需要重置密码（例如，当数据库管理员换人或被裁员！），这篇文章会派上用场。我们将解释如何在 Linux 中重置或恢复 MySQL 或 MariaDB 的 root 密码。
建议阅读： 更改 MySQL 或 MariaDB 的 root 密码。
虽然我们将在本文中使用 MariaDB，但这些说明同样也适用于 MySQL。
开始之前，先停止数据库服务并检查服务状态，我们应该可以看到先前设置的环境变量：
------------- SystemD -------------
# systemctl stop mariadb
------------- SysVinit -------------
# /etc/init.d/mysqld stop
接下来，用 --skip-grant-tables 选项启动服务：
------------- SystemD -------------
# systemctl set-environment MYSQLD_OPTS="--skip-grant-tables"
# systemctl start mariadb
# systemctl status mariadb
------------- SysVinit -------------
# mysqld_safe --skip-grant-tables &
使用 skip tables 启动 MySQL/MariaDB
这可以让你不用 root 密码就能连接到数据库（你也许需要切换到另外一个终端上）：
# mysql -u root
接下来，按照下面列出的步骤来。
MariaDB [(none)]> USE mysql;
MariaDB [(none)]> UPDATE user SET password=PASSWORD('YourNewPasswordHere') WHERE User='root' AND Host = 'localhost';
MariaDB [(none)]> FLUSH PRIVILEGES;
最后，停止服务，取消环境变量设置并再次启动服务：
------------- SystemD -------------
# systemctl stop mariadb
# systemctl unset-environment MYSQLD_OPTS
# systemctl start mariadb
------------- SysVinit -------------
# /etc/init.d/mysql stop
# /etc/init.d/mysql start
这可以让先前的改变生效，允许你使用新的密码连接到数据库。
本文我们讨论了如何重置 MariaDB/MySQL 的 root 密码。一如往常，如果你有任何问题或反馈请在评论栏中给我们留言。我们期待听到你的声音。
作者简介：
Gabriel Cánepa - 一位来自阿根廷圣路易斯梅塞德斯镇 (Villa Mercedes, San Luis, Argentina) 的 GNU/Linux 系统管理员，Web 开发者。就职于一家世界领先级的消费品公司，乐于在每天的工作中能使用 FOSS 工具来提高生产力。
via: http://www.tecmint.com/reset-mysql-or-mariadb-root-password/
作者：Gabriel Cánepa 译者：geekpi 校对：jasminepeng
过去几年来，关于数字安全漏洞和个人隐私问题的报道频率大幅上升，毫无疑问，这一趋势仍将继续。我们时常听说诈骗者转移到社交媒体，国家将网络攻击作为协调进攻策略的一部分，以及追踪我们在线行为的公司挣到了大钱，快速崛起。
对这些事件冷漠对待非常容易，但是你可以做很多事情来提高你的在线安全，这样当你被安全事件所困时，可以减少自己的风险，并快速保护自己免受进一步的损失。安全意识非常容易学习，并且许多开源项目可以帮助你。
安全的重点不是将你的计算机变成一个虚拟的 Fort Knox（LCTT 译注：Fort Knox 是一个美军基地，固若金汤之意），而是为了使别人访问你的数据足够困难，这样攻击者将转移到其他更容易的目标。
在一个几乎每个网站都要求用户名和密码的世界里，大多数人都因密码而疲惫不堪，于是开发了复杂的系统来创建和记住用户名和密码（或者干脆完全放弃，只使用相同的用户名和密码）。密码管理器是这个问题的解决方案，我还不知道不使用密码管理器的专业安全人员。此外，它们非常容易设置和使用。
对于以前没有使用过的人来说，密码管理器是一种软件，它就像一个信息的数字保险库，将信息存储在加密环境中。你创建的主密码是一个单一的强密码，用于保护包含用户名和密码集合的保险库。通常，当你连接到已知网站，密码管理器会自动输入存储的密码，它也可以生成强密码并允许你存储其他信息。
有大量的密码管理器可用，其中许多是自由及开源的解决方案。我在 Windows 上用过 KeePass，在 Linux 和 MacOS 上用过 KeePassX，我推荐使用它们作为开始。（这里还有三个开源密码管理器，你可以尝试一下。）
然而，每个人应该选择他自己的最佳解决方案。某些密码管理器除了本地存储之外还具有云存储的功能，如果你使用多个设备，这将非常有用。受欢迎的管理器更有可能被维护并得到定期的安全更新。一些密码管理器集成双因子认证功能，我强烈建议你启用它。
大多数密码管理器都没有恢复忘记的主密码的功能。所以要明智地选择并确保主密码是你可以记住的。
虚拟专用网络（VPN）允许计算机通过共享网络发送和接收数据，就像它通过端到端加密直接与专用网络上的服务器通信一样。
您可能熟悉在办公室外工作时连接到公司内部网的过程。在咖啡馆或饭店使用连接到公共网络的 VPN，会保护你的通信数据不被公网上其他人看到，不过它无法阻止 VPN 供应商看到通信数据，而且确实存在不良 VPN 提供商收集和销售数据的现象。VPN 提供商也可能受到来自政府或执法机构的压力，将您通过其网络发送的数据信息传出。 因此，请记住，如果您正在进行非法活动，VPN 将不会保护你。
当选择 VPN 提供商时，请考虑其运营所在的国家，因为这关系到它所受约束的法律，有时甚至非常无关痛痒的活动都可能使您陷入困境。
OpenVPN 是一个自由开源的 VPN 协议，可在大多数平台上使用，并已成为最广泛使用的 VPN 之一。 您甚至可以托管您自己的 OpenVPN 服务器 -- 只是要小心，注意其安全性。如果您更希望使用 VPN 服务，请记住许多声誉良好的提供商都想要为您提供服务。
有些是收费的，如 ExpressVPN、NordVPN 或 AirVPN。一些提供商提供免费服务，但是，我强烈建议您不要使用它们。 请记住，当您使用免费服务时，您的数据就是产品。
虽然互联网浏览器有一些内置的安全工具，但是浏览器扩展仍然是提升您的隐私和安全的好方法。有很多种类的浏览器扩展，但哪些扩展是适合你的？ 这可能取决于你使用互联网的主要目的和你对技术的掌握程度。作为基线，我会使用以下扩展：
你还记得 Bebo、iTunes Ping、Del.icio.us、Digg、MySpace 或 Friendster 吗？它们上面你有帐户吗？你关闭了帐户还是仅仅停止使用帐户？你曾经停下来想过有什么信息可能在这些网站上吗？是不是忘记了？
旧的社交媒体帐户是那些收集数据的人的金矿，包括营销人员，欺诈者和黑客等。他们可以使用这些信息来构建您的个人信息画像，这些信息通常可以在密码重置中用提供一些重要信息，例如您的第一只宠物的名字或您的第一辆车。
某些网站可能会让删除帐户变得困难或实际上不可能。Justdelete.me 是一个很好的资源，在这里可以找到各种平台上如何删除社交媒体帐户的操作说明。如果你正在寻找的网站不在那里，而且你自己找到了删除帐户的方法，你可以在 GitHub 上为该项目做贡献。如果您不确定您可能已忘记的社交媒体帐户，Knowem.com 允许您按用户名搜索大量的社交网络。搜索工具也可能误报，而且你可能不是曾经使用特定用户名的唯一的人，但它是一个很好的开始，尽管不是开源的。
如果您不确定您可能使用的旧用户名，Google 是一个很好的资源。尝试搜索旧昵称和电子邮件地址，你可能会对你发现的事感到惊讶。
无论数字安全的任务如何巨大，你都可以在开始使用时打下坚实的基础。记住，安全是一个持续的过程，而不是一种状态。保持您使用的工具最新，定期检查您的习惯和工具，确保您的安全尽可能的好。如果你每次一步一步的改变，安全就不会过于复杂。
作者简介：
Tiberius Hefflin - Tibbs 最近毕业于苏格兰西部大学，获得计算机安全学位。她已搬迁到波特兰，在为波特兰通用电气公司做安全保证工作。 她热衷于鼓励小孩子踏上 STEM（LCTT 译注：即 科学 Science，技术 Technology，工程 Engineering，数学 Mathematics）。
via: https://opensource.com/article/17/1/4-ways-improve-your-online-security
作者：Tiberius Hefflin 译者：livc 校对：jasminepeng