- 分享時限制時間和觀看次數，並將重點和上下文分開頻道。
- 喜歡透過電子郵件或聊天進行可追溯的加密管理和貨運。
- 啟用 MFA 並輪換密碼；在企業中，套用控制並立即撤銷。
無論在工作或生活中，我們遲早都免不了要共享密碼，而使用不當可能會導致他人未經授權的存取。我們的目標是在不阻礙協作的前提下，盡可能降低風險。雖然理想情況下我們永遠不應該共享憑證，但在某些現實情況下（例如技術支援、同事需要審閱的加密文件、用戶註冊），共享密碼是不可避免的。
除了常識之外，了解現有方法及其優缺點、法律框架和最佳實踐也至關重要。瞭解背景資訊能幫助您針對具體情況選擇最佳方案。以下是一份全面的指南，其中包含安全技術、注意事項、企業建議以及有助於簡化流程且不會過度洩露機密資訊的工具。
法律框架及其重要性
分享登入憑證的合法性尚處於灰色地帶，取決於具體服務及其條款，因此建議仔細閱讀各平台的服務條款。先前曾出現過一些備受矚目的案例，例如Netflix更為嚴格的政策，在這些案例中，分享密碼被解讀為侵犯版權。
在美國，《1986年電腦詐欺和濫用法案》（CFAA）已被用於處理憑證共享案件；2016年，法院裁定與未經授權的個人共享密碼屬於違法行為。除了法律框架之外，實際意義也很明確：防止未經授權的第三方存取您的帳戶，並限制任何共享的範圍。
在企業環境中，風險會倍增，因為敏感資料、智慧財產權、合規性和安全策略都面臨風險；不受控制的密碼共享可能導致嚴重事故。因此，像 LastPass 企業版這樣的解決方案可讓您將存取權限限制在授權使用者範圍內，阻止密碼轉送到組織外部，並在員工離職時立即撤銷其權限。
在規劃如何共用密碼時，您需要考慮存取權限、可追溯性、資料完整性和過期時間。如果您能限制誰可以查看密碼、何時查看以及查看次數，就能減少攻擊面。本指南將介紹一些旨在最大限度減少密碼暴露時間的技巧，而這些技巧正是基於此原理。
有些工具提供預設選項或「預設值」以加快設定速度（例如，持續時間和觀看次數）；載入標準預設值有助於您記住關鍵參數。即便如此，也務必根據具體情況和實際接收人數調整這些數值。
你絕對不能做的事情：不受控制的電子郵件和聊天
透過電子郵件或標準聊天應用程式（例如 Teams、Telegram、WhatsApp 等）發送密碼雖然方便，但本質上並不安全。了解不同類型的網路安全有助於評估這種風險，因為一旦密碼被轉發，您將失去控制權，並且密碼會永久儲存。即使您在單獨的對話線程中發送密碼，上下文通常也會洩露密碼的用途和使用者，如果有人搜尋對話或收件匣，密碼很容易被利用。
聊天和電子郵件的另一個問題是，資訊會無限期地保留在參與者的伺服器和設備上；帳戶外洩、備份保護不力或簡單的疏忽都可能導致這些歷史記錄暴露。因此，除非您採取下文所述的額外措施，否則請避免使用這些方法。
分享前的基本預防措施
在分享密碼之前，最好先採取措施防止密碼被濫用，因為任何傳遞方式都無法彌補糟糕的密碼安全習慣。請記住以下建議：填寫網路安全問卷。
- 每個帳號一個密碼：不要在服務之間回收憑證。
- 週期性旋轉：經常更改密碼，尤其是敏感密碼。
- 撤銷和變更如果您與同住的人分手，請立即更改該密碼。
- 不要把它們留在視線範圍內：既不在便籤中，也不在未加密的文件中。
- 激活兩步驗證 （MFA）盡可能
實施這些措施可以建立一道安全屏障，降低密鑰被截獲的影響；這些屏障迫使攻擊者克服重重障礙。如果對密鑰洩漏有任何疑慮，請立即更改密碼。
具有共享功能的密碼管理器
現代文件管理器是受控儲存和共享的第一道防線，因為它們集加密、組織和稽核功能於一體。此外，它們還整合到瀏覽器和行動裝置中，並提供諸如強密碼產生器等輔助工具。
1Password、LastPass、Dashlane、Keeper、Bitwarden和RoboForm等熱門解決方案可讓您為家庭或團隊建立共享空間或集合；每個使用者都維護自己的私人保險庫，並且只能存取其授權的內容。這些空間會顯示誰可以存取以及擁有哪些權限，並且通常會保留存取日誌以調查潛在的安全事件。
另一個優點是，這些管理工具除了儲存密碼外，還可以儲存安全備註；帳單資訊、恢復代碼或敏感指示都可以包含在工作流程中。許多工具也會在您的憑證出現在已知的資料外洩事件中時發出警報，以便您盡快更改憑證。
高級共享功能通常是付費計劃的一部分，但其真正的價值在於控制和可見性；當涉及合規性或關鍵數據時，可追溯性至關重要。如果您在一家公司工作，在自行實施企業資源計畫 (ERP) 系統之前，請務必先確認系統是否已獲得批准。
臨時訊息：一個折衷的解決方案
像WhatsApp、Telegram、Snapchat和Signal這樣的即時通訊應用程式都提供閱後即焚訊息功能，這在特定情況下可能很有用；然而，這並非最佳選擇。儘管採用了端對端加密，但仍存在訊息被截獲（儘管在某些模式下可以阻止這種情況）或在過期前被轉發的風險。
如果別無選擇，請使用私聊功能，並啟用閱後即焚功能，設定最短的閱後即焚時間；在 WhatsApp 上，24 小時是一個比較穩健的設定。在 Telegram 上，您可以開啟「秘密聊天」功能並設定自動刪除時間；請務必優先選擇最短的閱後即焚時間。
劃分資訊並使用不同的管道
一種經典的技巧是將資訊拆分成多個部分，這樣任何人就無法透過單一訊息重建存取權限。例如：服務、使用者名稱和密碼分別透過不同的管道發送。
這樣，您可以透過電子郵件發送服務訊息，透過即時通訊發送使用者名，並透過其他管道發送密碼；避免交叉引用訊息，以免留下線索。即使有人截獲了其中一部分訊息，也無法獲得全部必要資訊來存取系統。
自毀的臨時鏈接
有一類專門用於透過過期URL一次性共享密碼的網路工具；密碼並非以明文形式傳輸，而是透過受控流程傳輸。這類工具的安全性主要體現在兩個方面：限制密碼的有效期限和限制密碼的檢視次數。
例如 Password Pusher (pwpush.com) 就是一款這樣的工具，它可以讓你產生密碼或貼上現有密碼，並建立一個過期連結；你可以自行設定連結的有效天數和可開啟次數。理想情況下，你應該將這些參數設定為最低限度：有效天數越少、可開啟次數越少，曝光率就越低。
產生連結時，請勿在密碼中新增任何上下文資訊（例如「這是 X 的使用者 Y 的密碼」）；如果有人截獲了 URL，他們將無法確定該連結的用途。複製產生的地址，並透過您選擇的管道分享。
重要提示：某些電子郵件和協作安全過濾器（例如 Microsoft 365、Gmail 等）會預先掃描連結以檢查惡意活動；即使收件者未開啟 URL，這也會佔用瀏覽量。如果可用，請選擇相當於「一鍵恢復步驟」的選項，以阻止這種自動使用。
最後，接收者可以點擊連結並將密碼複製到剪貼簿，即使螢幕上沒有顯示密碼（取決於設定）；因此，存取權限僅限於一次受控操作。如果需要更高的安全性，可以將此方法與透過其他管道發送「使用說明」相結合。
有些工具更進一步，會在瀏覽器內部對金鑰進行加密，然後再將其傳送到伺服器；這樣，服務提供者就看不到明文內容。典型的工作流程如下：瀏覽器產生金鑰對（公鑰和私鑰），並在本機上對金鑰進行加密。
伺服器僅收到公鑰和已加密的金鑰；如果沒有私鑰，即使有人獲得了資料庫存取權限，儲存的內容也毫無用處。隨後，該工具會產生一個 URL，其中包含金鑰的識別碼以及用戶端解密金鑰所需的資訊。
因此，當收件者開啟連結時，其瀏覽器會檢索加密資料塊，並使用嵌入在 URL 中的資料在本機上解密；如果原始 URL 不可用，則無法重建金鑰。過期控制基於兩個條件：瀏覽次數和經過的時間，一旦滿足任一條件，密鑰將無法存取。
某些實作方案包含日誌檢視功能，用於審核每一次嘗試，即使那些因金鑰已過期而未顯示金鑰的嘗試也會被記錄；這種可追溯性有助於驗證接收者是否已收到金鑰以及何時收到。對於支援團隊和管理員來說，這是一項非常實用的功能。
這類解決方案通常包含演進計劃和整合實用工具，例如密碼產生器或網址縮短器，以方便分發；它們通常還包括翻譯和幫助頁面（常見問題解答、關於我們），以覆蓋更廣泛的受眾。就算只是一點點努力，也能讓你分享的內容更少，但品質更高。
Bitwarden Send 和加密文字/檔案發送
另一個方便的選擇是使用 Bitwarden Send 等服務，安全地共享端對端加密的文字或檔案；它允許您傳輸憑證、商務文件或敏感筆記，並設定存取控制。這種方法簡化了直接向他人發送內容的過程，而無需將內容暴露給第三方。
這類工具通常提供過期日期、額外的密碼保護和下載次數限制；請務必設定最短有效期，並避免重複使用連結。如果接收者不需要保存訊息，最好讓連結在首次查看後失效。
實際範例：團隊共享的加密文檔
假設您用密碼加密了一個 Office 文檔，而一位同事需要打開它；您必須在不洩露給第三方的情況下提供該密碼。在這種情況下，一個好的做法是透過公司常用管道發送文件，並透過一個臨時的、閱後即焚的連結發送密碼。
此外，它透過不同的管道傳遞密碼應用程式資訊（例如，檔案名稱或資料夾）；即使有人截獲了 URL 或文件（但並非兩者都截獲），也無法存取內容。這種簡單的平衡機制易於實現，卻能真正增加一層安全性。
風險、關聯帳戶和身份
現代帳戶包含個人資訊、銀行資訊、對話記錄、照片等等；如果有人使用未經授權的共享密碼存取您的帳戶，他們就可以冒充您或進行詐欺。此外，許多服務都是相互關聯的，因此一次安全漏洞可能會引發其他漏洞。
曝光也會影響您的聲譽：任何存取您個人資料的人都可以以您的名義發佈內容或篡改您的資訊；保護存取權限就是保護您的數位身分。因此，最大限度地減少憑證的流通並選擇能夠最大限度減少痕跡的方法至關重要。
公司內部的控制與政策
在組織機構中，標準做法應該是透過基於角色的權限管理空間盡可能少地共享資訊；限制密碼的使用權限，僅限授權用戶，並防止用戶離開網域。合適的業務工具可以集中應用這些策略。
另一個關鍵的控制措施是，當有人離職時立即撤銷其存取權限；切斷對憑證和資源的存取應該是一個自動化流程。同時，定期審查共享存取權限，並刪除任何不再需要的內容。
推薦的逐步流程（含臨時連結）
在某些特定情況下，採用一次性連結和短有效期的穩健流程效果非常好；它能最大限度地減少密鑰的暴露時間，並限制可以看到密鑰的人數。流程如下：
- 產生隨機密碼或將現有密碼貼到臨時工具欄位中。
- 依天數和瀏覽量定義到期時間。提示：新增額外的瀏覽量，以便您自行查看連結。
- 啟用阻止自動掃描器消耗視圖的選項（相當於「一鍵恢復」）。
- 建立連結並將其複製到剪貼簿，而不添加任何服務/使用者上下文。
- 透過一個管道發送 URL，並透過另一個適用的管道進行溝通。
如果將此方法與目標帳戶上啟用的多因素身份驗證 (MFA) 結合使用，風險將大幅降低；即使有人竊取了密碼，沒有第二重驗證也無法登入。如果工具允許，請記住在不再需要時刪除該連結。
無論你選擇哪種方法，共同的目標都是不留下任何痕跡，控制存取權限，並能隨時切斷連線。如果你設定了時間限制、查看限制和獨立頻道，那就走對了路。有了這些習慣和合適的工具，共享密碼就不再是一場賭博，而變成了一個可控的過程。
