安全与隐私ncsc.gov.uk
让他们粘贴密码
Let them paste passwords
2017 — 2020，它一次次回到首页
黑点是上首页（≥ 50 分）的那次投稿，空心点是没冲上去的投稿，点越大分数越高。
导读
英国国家网络安全中心（NCSC）的博客文章主张网站应允许用户把密码粘贴到密码框，并逐条反驳禁止粘贴的常见理由。文章指出，禁止粘贴并不能提升安全，反而会妨碍密码管理器、迫使用户手动输入或改用更弱、更容易记的密码，最终降低安全性。
为什么经久不衰：它用简短、无术语的政府博客口吻讲清了一个反直觉的安全常识：顺畅的密码管理器体验比人为制造麻烦更安全，因此多年后仍值得网站设计者和安全从业者阅读。
HN 评论精选
禁止粘贴会妨碍密码管理器、迫使手动输入，反而降低安全性，也让人不信任网站。
这当然会降低安全性。它逼你要么 1）在看不到是否输错的情况下手动输入；2）用开发者工具直接设置 value 属性。禁止粘贴密码（SPP）会阻碍人们使用密码管理器，就这么简单。我也在银行网站的账号等输入框见过这种模式，同样让我抓狂，因为计算机比我眼睛和手指更可靠。每当我看到禁止粘贴的网站，就会立刻认为它是无能的人做的，并尽量少信任它。
artursapek查看英文原文
Of course it reduces security. It makes you resort to either 1.) typing it out manually while you can't see if you made a mistake 2.) using developer tools to set the 'value' attribute directly "SPP" discourages use of a password manager. End of story. I also see this pattern used on banking websites for inputs like an account number. This drives me crazy as well for the same reason. The computer can get it right more reliably than my eyes and fingers. Whenever I see a website that blocks paste I immediately assume it's built by incompetent people and trust it with as little as possible.
靠记忆记住的密码通常强度不足；忘记不该被当作安全目标。
文章中的理由二说：‘粘贴密码会让人更容易忘记，因为你练习输入它的机会更少。’如果你能记住自己的密码，那它很可能太弱了。
dmh2000查看英文原文
"Justification 2: 'Pasting passwords makes them easier to forget, because you have fewer chances to practise them'." if you can remember your password, its probably too weak
安全界常把‘麻烦’误当成安全，实际上顺畅省事的方案往往更安全。
把密码输入搞得很难，就像靠吃难吃的食物来减肥：让人发胖的不是味道。但人们总觉得好吃的东西不可能有利于节食，觉得减肥必须受点罪。安全人员也有同样心态：安全必须是麻烦的、扑面而来的、费劲的、要跨过的障碍。我反复向客户解释，最顺畅、最省事的做法往往最安全，但这几乎卖不出去；与此同时，一个个只会惹恼用户的产品却卖得很好。
jiggawatts查看英文原文
Making password entry difficult is like attempting weight loss by eating bland food. It's not the flavour that makes you fat. Nonetheless, there's this perception that something delicious can't be good for a diet. People have this notion that to lose weight, there must be penance. An element of punishing oneself for past transgressions seems essential. Security people have the same mindset. Security must be a hassle. It must be in your face. It has to be onerous. A challenge. A hurdle to get past. I've tried, over and over, to explain to my customers that often the slickest, most hassle-free approach is the most secure. But this almost never sells. Meanwhile, I see vendor after vendor successfully selling products that exist only to irritate users.
在家写下密码并非不可接受；普通窃贼和针对性黑客的威胁模型很少重合。
关于这一点：‘把密码写在容易找到的地方（比如屏幕旁的便利贴）’。把密码写在便利贴上常被用来嘲笑不懂技术的人。我想问：如果你不是在公司，而是在家里这样做，真的那么糟吗？假设你在 AWS 上运行网站，把很长的 AWS 密码写在自家纸上。黑客要访问它，得先查出你住哪儿、闯进你家找到那张纸；而普通入室窃贼通常只关心现金和珠宝，不会在意写有密码的便利贴。除非你是世界闻名的目标，否则这两类入侵者很少重合。
godot查看英文原文
On this point: > write passwords down in places that are easy to find (like post-it notes next to the screen) Writing passwords on post-it notes is often used as a ridicule of non-tech-savvy folks behavior. I'd like to pose this question: If you're doing this not at an office, but at home, is this really so bad? Say you run a web site on AWS and write your really long AWS password on a piece of paper at home. It would take a hacker finding out where you live and breaking into your house to find the piece of paper to access it. On the other hand, your ordinary neighborhood burglars typically care about cash and jewelry in your house, not post-it notes with passwords. It seems those two categories of intruders rarely overlap, unless you're a world famous target.
历次讨论
同类还值得读
非法素数
Illegal prime
维基百科条目，介绍“非法素数”：某些素数之所以被称为“非法”，是因为它们经特定编码后，恰好对应一段被法律禁止传播的数据——最著名的是 DVD 解密程序 DeCSS 的代码，有人把…
安全与隐私上首页 5 次 · 2010–2021en.wikipedia.org编辑精选关于 /dev/urandom 的常见误区
Myths about /dev/urandom
（Thomas Hühn 撰写，2014 年首发并持续更新）逐条反驳关于 /dev/urandom 的常见误解：它与 /dev/random 使用的是同一个 CSPRNG，一旦完…
安全与隐私上首页 5 次 · 2014–20202uo.de编辑精选AES 高级加密标准火柴人图解
A Stick Figure Guide to the Advanced Encryption Standard (AES)
一篇用火柴人漫画形式讲解 AES（高级加密标准）算法的经典科普文章。
安全与隐私上首页 5 次 · 2009–2022moserware.com编辑精选指纹是用户名，不是密码
Fingerprints are Usernames, not Passwords
作者（eCryptfs 维护者、Ubuntu 安全工程师）认为指纹等生物特征是公开、不可更改的标识，应视作用户名而非密码，不能当作秘密凭据用于认证。
安全与隐私上首页 4 次 · 2013–2017blog.dustinkirkland.comHTTPS 连接的最初几毫秒（2009）
The First Few Milliseconds of an HTTPS Connection (2009)
逐毫秒拆解一次 HTTPS 连接建立时发生了什么，重点讲 TLS 握手、证书验证、RSA 签名与密钥协商等机制，面向不熟悉该领域的读者。
安全与隐私上首页 4 次 · 2009–2020moserware.com编辑精选