数字生活的第一步就离不开各类账号密码或者加密货币钱包私钥。因此，如何管理这些最敏感的个人数据，对于每个人而言都非常关键。这篇文章旨在提供一个明确的解决方案：KeePassXC。

我的推荐，区别于主流的使用 1Password 的方案。这是因为，对于主权个人而言，KeePassXC 是更好的方案，可以完全掌握所有数据，并实现更安全的加密工作。

💡 什么是"主权个人"（Sovereign Individual）？

这一概念源自 James Dale Davidson 和 Lord William Rees-Mogg 于1997年合著的同名书籍《The Sovereign Individual》。该书预见了信息革命对全球政治、经济和社会结构的深远影响，包括提前预测了数字货币的出现。PayPal 创始人彼得·蒂尔（Peter Thiel）为其2020年版作序，称此书对他影响深远。书中描绘的"主权个人"是指那些：

• 拥有全球视野和先进信息技术能力
• 通过加密货币和隐私保护技术实现个人资产自主
• 不依赖单一国家或机构，掌控自身命运的数字时代公民

这本书在西方被视为"加密世界的圣经"，深刻影响了科技精英和加密一代。许多现代运动如比特币（Bitcoin）、去中心化金融（DeFi）、网络国家（Network State）及自主身份（SSI）等皆受到此书启发。

对于主权个人而言，将最敏感的密码数据托管给任何第三方云服务都是不可接受的风险——这正是 KeePassXC 相较于 1Password 等云端方案的核心优势所在。

当然，更进阶的问题，会放到《密码朋克101》这门课里来讨论。本文只是一个最为基本的介绍。

🔍 什么是 KeePassXC

KeePassXC 是 KeePassX 的社区复刻版本，KeePass Password Safe（适用于 Windows）的跨平台移植。它是完全免费使用和跨平台的（Windows、Linux 和 macOS）。事实上，它也是目前 Linux 上最佳密码管理器之一。

作为一个现代、安全、开源的密码管理器，KeePassXC 被用来存储和管理你最敏感的信息。你可以在 Windows、macOS 和 Linux 系统上运行 KeePassXC。KeePassXC 适合对安全个人数据管理有极高要求的人。

它可以保存多种类型的信息，比如用户名、密码、网址、附件和备注，这些信息都存储在一个离线的加密文件中，你可以把这个文件存放在任何位置，包括私有和公共的云服务。KeePassXC 不依赖于任何云服务、广告或订阅，你自己可以完全掌控你的数据。

🏆 2025年重大里程碑：法国国家网络安全认证

2025年11月，KeePassXC 2.7.9 版本获得了法国国家网络安全局（ANSSI）颁发的一级安全认证（CSPN），认证编号为 ANSSI-CSPN-2025/16。这是一项重要的官方认可，该认证：

• 由法国政府资助并监督评估
• 有效期三年
• 同时获得德国联邦信息安全办公室（BSI）的国际认可
• 证明该软件符合ANSSI一级安全标准

这意味着 KeePassXC 不仅是社区信任的选择，更是经过权威政府机构严格审计认证的安全工具。

⚠️ 为什么要使用密码管理器

在当今的数字世界中，我们需要记住和管理许多不同的密码，比如邮箱、社交媒体、网上银行、购物网站等等。

这就是为啥需要密码管理器做管理的原因。密码管理器可以让我们只需要记住一个主密码，就可以访问我们所有的账户和密码。

密码管理器还可以为我们生成强大和随机的密码，以及自动填充密码到我们喜欢的应用程序中。这样，我们就可以提高我们的安全性和便利性。

🆚 为什么选择 KeePassXC 而非 1Password

在详细介绍 KeePassXC 之前，有必要解释为什么本课程推荐它而非更主流的 1Password。

云服务密码管理器的安全隐患：LastPass 事件警示

2022年8月，LastPass 遭遇了密码管理器历史上最严重的安全事件之一。攻击者成功入侵了 LastPass 四名 DevOps 工程师中的一人——该工程师拥有公司云存储关键解密密钥的访问权限。攻击者利用窃取的凭证渗透 LastPass 系统长达数月，即使在初步修复后仍保持着访问权限。这次泄露使攻击者获取了客户保险库的备份数据，暴露了加密的登录凭证以及未加密的网站URL。

这次泄露的后果至今仍在持续：

1Password 的安全记录相对较好，但也并非毫无问题：

• 2023年9月，1Password 发现其员工系统存在可疑活动，与 Okta 服务提供商事件相关（虽确认用户数据未泄露）
• 2024年8月，1Password 修复了 macOS 应用中的一个安全漏洞（CVE），在 DEF CON 2024 公开前完成修复
• 2025年，用户报告遭受针对性钓鱼攻击，引发对潜在泄露的担忧

核心差异对比

结论：对于追求绝对数据主权的用户，KeePassXC 是唯一真正可信的选择。你的密码库只存在于你控制的设备上，任何政府传唤、公司破产或服务器入侵都无法触及你的数据。正如密码朋克的信条所言："不信任，验证"（Don't Trust, Verify）——开源软件让这成为可能。

✨ KeePassXC 的特点和功能

KeePassXC 是一个优秀的密码管理器，它有以下的特点和优势：

🔒 安全性

你的密码始终保持加密，没有任何数据存储在远程服务器上，所以你完全掌控你的数据。

KeePassXC 的多层安全架构：

🔧 Argon2id 配置建议（2025年最佳实践）：

根据 KeePassXC 官方文档和社区共识，推荐以下配置：

配置路径：数据库 → 数据库安全 → 加密设置 → 点击"基准测试"按钮自动优化

🖥️ 跨平台

KeePassXC 的每个功能都在 Windows、macOS 和 Linux 上进行了彻底的测试，所以你可以在不同的操作系统上享受一致的体验。KeePassXC 还支持多种文件格式，比如 kdbx、kdb、csv 等，所以你可以轻松地导入和导出你的密码数据库。

📱 移动设备支持

KeePassXC 官方团队专注于桌面平台开发，他们认为移动端已有优秀的第三方应用可以兼容 KDBX 格式。以下是经过社区验证的推荐应用：

💡 多设备同步方案：

将 .kdbx 数据库文件存放在你控制的云存储中，即可实现多设备同步。推荐方案（按隐私程度排序）：

1. Syncthing：去中心化 P2P 同步，数据不经过第三方服务器（最推荐）
2. 自建 Nextcloud：完全自主可控的云存储
3. Cryptomator + 任意云存储：在云存储层之上添加加密层
4. 加密后的 Dropbox/OneDrive：虽然是商业服务，但 KDBX 本身已加密

📖 开源

KeePassXC 的源代码完全开源，遵循 GPLv3 许可证，并公开在 GitHub 上。你可以自由地检查、分享和贡献代码。KeePassXC 的开发是由社区驱动的，你可以在 GitHub 上提交问题和建议，或者加入 Matrix 频道与开发者和用户交流。

开源对安全意味着什么：

🆕 最新版本功能亮点（2.7.x 系列，2024-2025）

以下是 KeePassXC 近期新增的重要功能：

🔑 Passkey（通行密钥）支持

从 2.7.7 版本开始，KeePassXC 支持 WebAuthn/Passkey 标准，这是一项革命性的无密码认证技术，被认为是密码的未来替代方案：

什么是 Passkey？

Passkey 是基于公钥密码学的认证凭证，相比传统密码具有以下优势：

• 不会被钓鱼（凭证与特定域名绑定）
• 不会被撞库（每个网站使用唯一密钥对）
• 不需要记忆（设备自动管理）

KeePassXC Passkey 技术细节：

⚠️ 当前限制：Resident Key 支持尚不完善，与 KeePassDX 的跨平台 Passkey 兼容性仍存在问题（截至 2025 年初）

📎 附件查看器增强

无需导出即可直接在 KeePassXC 中预览附件：

• 图片预览（PNG、JPG、GIF 等）
• HTML 渲染预览
• Markdown 格式化预览
• 文本文件编辑

📥 新增导入格式

2.7.x 系列新增支持从以下来源导入：

• Proton Pass
• Safari / iCloud Keychain
• 更多 CSV 格式变体

🔍 搜索功能增强

• "等待回车"搜索选项：输入完成后再执行搜索，避免频繁刷新
• 预定义的 TOTP 条目搜索：快速筛选包含两步验证的条目
• 从搜索结果直接跳转到分组的快捷键

⚡ 性能优化

• TOTP 生成速度：2.7.9 版本大幅优化了基于时间的一次性密码生成速度，消除了生成延迟
• 大型数据库性能：改进了包含数千条目的数据库的响应速度

🖥️ 界面改进

• 深色模式优化：更好的系统主题适配
• 条目预览面板：无需打开编辑器即可查看条目详情
• 快速解锁：支持 Windows Hello 和 macOS Touch ID（通过 Secret Service 集成）

📥 如何安装 KeePassXC

Windows

1. 访问官方网站：https://keepassxc.org/download/
2. 下载 MSI 安装包或便携版（Portable）
3. 运行安装程序或解压便携版到任意目录

💡 便携版特点：无需安装，可存放在 U 盘中随身携带

macOS

方式一：官方 DMG

1. 访问官方网站：https://keepassxc.org/download/
2. 下载 DMG 文件
3. 拖拽到 Applications 文件夹

方式二：Homebrew（推荐）

brew install --cask keepassxc

Linux

Ubuntu/Debian（官方 PPA，推荐）：

sudo add-apt-repository ppa:phoerious/keepassxc
sudo apt update
sudo apt install keepassxc

其他 Linux 发行版：

💡 建议：优先使用官方 PPA 或 Flatpak，以获得及时的安全更新

🚀 快速开始：创建你的第一个密码数据库

安装好 KeePassXC 后，按以下步骤创建你的安全密码库：

Step 1️⃣ 创建新数据库

1. 启动 KeePassXC
2. 点击「创建新数据库」或使用菜单「数据库 → 新建数据库」
3. 设置数据库名称和描述（可选）
4. 点击「继续」

Step 2️⃣ 配置加密设置

1. 数据库格式：选择 KDBX 4.0（默认，推荐）
2. 解密时间：建议设置为 1.0 秒（在安全性和便利性之间取得平衡）
3. 点击「继续」进入高级设置（可选）：
   • 加密算法：AES-256（兼容性好）或 ChaCha20（安全边际更高）
   • 密钥派生函数：Argon2id（推荐）
   • 点击「基准测试」按钮自动优化参数

Step 3️⃣ 设置主密码

这是保护整个密码库的关键，请务必认真对待：

✅ 强主密码的特征：

• 长度至少 16 字符（建议 20+）
• 包含大写字母、小写字母、数字和符号
• 不包含个人信息（生日、名字、电话等）
• 从未在其他地方使用过

💡 推荐方法：使用密码短语（Passphrase）

密码短语比随机字符更容易记忆，同时保持高强度。例如：

• Correct-Horse-Battery-Staple-2024!
• My-Cat-Loves-2-Sleep@Noon-Everyday
• 春眠不觉晓#处处闻啼鸟@2025

🔐 可选的额外保护层：

Step 4️⃣ 选择保存位置

1. 选择数据库文件的保存位置
2. 建议：保存到你完全控制的位置，如：
   • 本地加密分区
   • 自建云存储（Nextcloud）
   • Syncthing 同步文件夹

Step 5️⃣ 开始添加条目

1. 点击工具栏的「+」按钮或使用 Ctrl+N 创建新条目
2. 填写标题、用户名、URL 等信息
3. 使用密码生成器：点击密码字段旁的骰子图标
   • 建议长度：20 字符以上
   • 勾选所有字符类型
   • 避免易混淆字符（可选）
4. 利用「分组」功能组织不同类型的账户（如：社交媒体、金融、工作等）
5. 保存条目并定期保存数据库（Ctrl+S）

🌐 通过浏览器扩展实现自动填充

KeePassXC 还提供了一个浏览器扩展，叫做 KeePassXC-Browser，它可以让你在浏览器中直接使用 KeePassXC 的功能，比如自动填充密码、生成密码、保存密码等。

安装与配置步骤

第一步：在 KeePassXC 中启用浏览器集成

1. 打开 KeePassXC
2. 进入「工具」→「设置」→「浏览器集成」
3. 勾选「启用浏览器集成」
4. 在下方勾选你使用的浏览器（Chrome、Firefox、Edge 等）
5. 点击「确定」保存设置

第二步：安装浏览器扩展

第三步：连接扩展与 KeePassXC

1. 确保 KeePassXC 正在运行且数据库已解锁
2. 在浏览器中点击 KeePassXC-Browser 扩展图标
3. 点击「连接」按钮
4. 在 KeePassXC 弹出的对话框中，为此连接命名（如"我的 Chrome"）
5. 点击「保存并允许访问」

第四步：日常使用

• 自动填充：访问已保存的网站时，扩展会自动检测并提供填充选项
• 保存新密码：注册新账户时，扩展会提示保存凭证
• 生成密码：点击扩展图标 → 密码生成器

🔑 启用 Passkey 支持

若要使用 Passkey 功能：

1. 打开浏览器扩展的设置页面
2. 找到「Enable passkeys」选项并启用
3. 登录支持 Passkey 的网站时，KeePassXC 会弹出确认对话框
4. 确认后，Passkey 凭证将存储在你的数据库中

支持 Passkey 的常见网站（持续增加中）：

• Google
• Microsoft
• GitHub
• Cloudflare
• 更多网站正在支持中...

🛡️ 安全最佳实践

为了最大化 KeePassXC 的安全性，建议遵循以下实践：

主密码策略

备份策略

数据丢失可能比被盗更常见，请务必建立完善的备份机制：

💡 推荐备份方案：

1. 3-2-1 规则：至少 3 份副本，存储在 2 种不同介质上，其中 1 份异地存放
2. 加密离线备份：使用 VeraCrypt 加密的 U 盘作为冷备份
3. 定期验证：每季度测试一次备份文件的可用性

数据库卫生

物理安全

• 锁定策略：设置自动锁定时间（建议 5-15 分钟无活动后锁定）
• 安全输入：在公共场所输入主密码时注意周围环境
• 设备安全：确保运行 KeePassXC 的设备本身是安全的（磁盘加密、强登录密码等）

🔧 高级功能简介

KeePassXC 还提供了许多高级功能，以下是简要介绍：

TOTP（两步验证）

KeePassXC 可以存储和生成 TOTP 验证码，替代 Google Authenticator 等应用：

1. 编辑条目 → 点击「添加 TOTP」
2. 输入网站提供的密钥或扫描二维码
3. 保存后，条目会显示动态验证码

⚠️ 安全提示：将 TOTP 与密码存储在同一处会降低两步验证的安全性。对于最敏感的账户，考虑使用独立的硬件密钥（如 YubiKey）。

SSH 代理集成

KeePassXC 可以作为 SSH 密钥的代理，自动管理 SSH 认证：

1. 将 SSH 私钥作为附件添加到条目中
2. 在条目设置中启用「SSH 代理」
3. 配置系统使用 KeePassXC 的 SSH 代理

命令行工具（keepassxc-cli）

KeePassXC 提供命令行界面，支持脚本化操作：

# 列出数据库中的条目
keepassxc-cli ls /path/to/database.kdbx

# 获取特定条目的密码
keepassxc-cli show -s /path/to/database.kdbx "Entry Name"

# 添加新条目
keepassxc-cli add /path/to/database.kdbx "Entry Name" -u username -p

自动输入（Auto-Type）

无需浏览器扩展，使用全局快捷键自动输入凭证：

1. 「设置」→「自动输入」→ 启用并设置全局快捷键
2. 在目标应用的登录窗口按下快捷键
3. KeePassXC 根据窗口标题匹配条目并自动输入

📝 小结

KeePassXC 是一个现代、安全、开源的密码管理器，它可以存储和管理你最敏感的信息。

核心优势回顾

对于追求数据主权、不愿将最敏感信息托付给任何第三方的用户——无论你是密码朋克、加密货币持有者、隐私倡导者还是普通的数字公民——KeePassXC 是当前最可靠、最安全、最值得信赖的选择。

🔗 资源链接