我有一個密碼政策，該政策規定用戶不得以明文形式寫下並存儲密碼。我如何通過在電子郵件，腳本，文檔或文件中寫入密碼來確保他們沒有這樣做？
您的密碼策略是否需要以下任何條件？
如果這樣，您正在積極激勵人們寫密碼掉了。刪除過時的密碼策略，您的用戶將更有可能玩。
基於新的NIST準則的建議。 這裡。
您無法確定用戶沒有寫下密碼。即使您可以完全訪問他們的計算機，但是如果他們在手機中記下了該怎麼辦？還是在紙上？
即使您確實有權訪問他們的所有設備，您也只能以系統管理員的身份檢查他們是否沒有寫下密碼。您自己知道密碼。 您不應該這樣做！密碼應該總是進行散列，並且永遠不要以純文本或允許您檢索原始密碼的形式存儲。
密碼管理員呢？眾所周知，它們可以顯著提高安全性，因為現在用戶只需要記住一個密碼，就不太可能為您的系統使用易於猜測的密碼。
是一個社會問題，只有教育您的用戶/員工有關將明文密碼遺忘的危險，才能解決。
在他們的桌子後面安裝一個攝像頭，更好的是多個攝像頭可以覆蓋所有角度，並有人看著它們。
您可能會因為這種不道德行為而感到困擾，但是請不要擔心，這絕對不是比幾乎更糟糕的實現目標的任何其他方式。
關於該幾乎：
使用用戶無法合理地以純文本形式表示的“密碼”。指紋掃描，鑰匙卡/加密狗，2要素認證，視網膜掃描……任何一種都能實現您想要的。
您沒有。
通過禁止用戶寫下密碼，就禁止他們使用現有的第二好的密碼管理器。人們通常很擅長保護錢包裡的東西；在您的駕駛執照和信用卡之間存儲的一張紙上寫的複雜密碼列表，其安全性與您合理預期的一樣。
提供的不是創建“請勿這樣做”規則，而是提供為您的用戶提供有關如何應保護密碼的準則。如果可以使用“密碼管理器X，密碼管理器Y，錢包裡的紙條”作為工作清單，則與您嘗試枚舉所有方法相比，他們更有可能安全地存儲密碼。 em>不應該存儲他們的密碼並通過懲罰性手段強制執行。
您的威脅模型是什麼？
我知道我對這裡的幾乎所有問題都提出了反問，但是大多數有關安全性的問題從未闡明他們實際針對什麼進行保護。 >您的環境中是否經常有未經授權的人員，並且可以發現被記錄下來的密碼？如果是這樣，則可以提高用戶對這種特定且易於理解的威脅的意識，並且其效果（某些有限）。
如果您的威脅模型是內部人員，則意識往往會非常多效果較差。官方禁止寫下密碼，並可能受到製裁的威脅，雖然可以達到一定程度的遵從性，但在有效的程度上卻很少見效。預先安裝的密碼管理器，還可以使您獲得一定的遵從性，並且可能是解決問題的最人性化的方法。
最好的方法是消除密碼。如果您擁有SSO，則實際上相對容易做到。您所需要做的就是對SSO進行無密碼身份驗證，然後從那裡進行。從硬件令牌到智能手機應用程序，甚至甚至將智能手機本身用作令牌，市場上已經有許多解決方案。選一個。因為保證用戶永遠不會寫下的唯一密碼就是他們甚至沒有的密碼。
首先，我同意答案，即出於各種原因這是一個壞主意。
第二，看來您正在嘗試使用技術來解決人類問題問題。
不是很著重解決問題的方法。
不是專注於防止寫下密碼的技術措施，例如攝像機，不可粘貼的密碼字段等。 ，您應該首先關注用戶看到的（感知的或真實的）問題，這首先導致他們想要寫下密碼（或使用不安全的密碼，或者可能是其他問題）。
一種方法是按照“如果您以任何方式寫下，共享或重複使用與工作相關的密碼，我們很想知道如何以及為什麼”的方式向所有員工發出通知。 >並提供完全匿名的回答方式。 （後者很重要，因為人們通常不必擔心因誠實而陷入麻煩時，他們通常會對不完善的安全性選擇更為誠實。）例如，您可以設置一個物理盒子，人們可以放下碎片紙和他們的答案，顯然這是不平凡的，以不可見的方式進入。 （不需要篡改 ，只需篡改明顯。）然後看看得到的答案。
如果其中很大一部分答案說出類似“每個月都很難記住一個新的複雜密碼”之類的信息，然後修復那個。實際上，最近的NIST指南還不錯。要求長密碼，以鼓勵使用密碼短語，但不設置其他復雜性或更新要求，則需要很長的路要走。
如果答案的大部分都說“我使用短密碼，因為這樣在閱讀網頁兩分鐘後自動鎖定計算機後，解鎖計算機就不方便了”，然後進行修復。
如果大部分答案都說“我想不到好的密碼”，請提供有關如何選擇好的密碼的指導。 Diceware（在 xkcd 936之後有時也稱為“ xkcd密碼”）是一個好的開始。這就要求系統支持長密碼，任何理智地構建的現代系統都將使用該密碼。
以此類推。幾乎可以肯定，這樣做是出於人為原因，而不是出於技術原因。人的問題應該通過人的手段解決，而不是技術手段。
每個人都說，您沒有。
您應該考慮密碼（單因素身份驗證）是否足以滿足您的需求。即使您的所有用戶都遵守密碼準則，也存在其他風險，例如肩負衝浪和按鍵記錄。更好的解決方案是兩因素身份驗證。您可以購買各種加密狗，也可以在任何智能手機上安裝免費開放的Google身份驗證器。用戶可以擁有一個相當簡單易記的密碼，而無需更改它，因為還有一個六位數的數字每三十秒鐘更改一次，沒有這個數字，他們的密碼就無用了。
應該此外，甚至不必在建築物中擔當衝浪者。在我的學生時代，有人買了一個望遠鏡，向所有人展示了在距離酒店一公里之外的一座高聳的酒店窗戶所能看到的一切。沒有人費心在14樓拉窗簾！今天，他們可能晚上會在旅館裡，而白天會在辦公室裡？
我知道我要參加派對了，但是....
如何通過在電子郵件，腳本，文檔或文件中寫入密碼來確保自己沒有這樣做
密碼是單層授權機制。如果您擔心密碼是“寫入”或記錄的，則需要：
量化風險因素並減輕這些風險類型。如果其他人讀取密碼會有什麼風險？如果是同事，是公眾成員嗎？添加安全層以減輕這些風險（例如在登錄時詢問其他信息）
如果要執行諸如跟踪用戶庫鍵盤記錄，跟踪用戶庫物理運動，跟踪有關為了確保您的用戶群沒有明文輸入密碼，那麼您真的真的需要完善您的遊戲，而不是花費數千美元來嘗試增加您的舊福特Cortina，而是投資在Nissan Skyline中並給予您的用戶庫硬件令牌驗證和 2FA憑據。
鼓勵更好的用戶行為。記住的密碼 容易記住 ，因此，這種方式將變得弱-因此，您可以在復雜密碼之間進行選擇，以使更多人寫下，以供參考，或者輸入一個簡單的密碼，該密碼對於機器進行暴力破解或以其他方式破壞就更容易了。因此壓力很大，並鼓勵您的用戶群使用密碼管理器。這樣一來，他們就可以使用複雜的密碼，而不必記住它們了，或將它們記下來。
我重複一遍；如果您非常在意您的用戶沒有寫下密碼，請 必須 為他們提供有效且可靠的替代方法，如此處的各種答案所述
執行此操作的典型方法是使用“清理桌面策略”。但是我喜歡你的問題；我認為解決方案可以帶到一個荒謬的極端：）
強制執行字符組（例如小寫，大寫等）是很常見的。
如果可以設置合理的最小長度，設置非常低的鎖定閾值，然後強制包含字符組“ circles” [o，O，0]，並強制使用字符組“ lines” [I，l，1，| ]，那麼從理論上講，您可以使記下的密碼的實用價值非常低。例如[c CсС]等。
好，以上是一個小玩笑，應該說明“檢查用戶是否不做某事”是徒勞的。但是：那裡沒有胡蘿蔔和棍子嗎？
如果您閱讀 NIST 800-63，您會發現新的建議，可讓用戶自由選擇自己的密碼，而不是除非有理由相信密碼已洩露，否則請強制他們旋轉。驗證：
驗證者不應為記憶的秘密強加其他組成規則（例如，要求混合使用不同字符類型或禁止連續重複字符）。 驗證者不應要求對存儲的機密進行任意更改（例如，定期更改） 。但是，如果有證據證明身份驗證者受到損害，則驗證者應強制進行更改。
如果密碼不難讓用戶記住，那麼這樣做就不會很長的路要走他們被寫下來了嗎？
將您的密碼設置為非文本密碼。就像他們可以從一組隨機圖像中挑選一樣。無論什麼都不容易寫下來。今天，維基百科對此進行了介紹：
“非基於文本的密碼，例如圖形密碼或基於鼠標移動的密碼。[70]圖形化密碼是用於代替傳統密碼的登錄身份驗證的另一種方法；密碼使用圖像，圖形或顏色而不是字母，數字或特殊字符；一個系統要求用戶選擇一系列面部作為密碼[71]在某些實現中，用戶需要以正確的順序從一系列圖像中進行挑選才能獲得訪問權限。[72]另一種圖形密碼解決方案是一次性創建使用隨機生成的圖像網格輸入密碼，每次要求用戶進行身份驗證時，他們都會尋找符合其預選類別的圖像，然後輸入出現在圖像中的隨機生成的字母數字字符，形成一次密碼。[73] [74]到目前為止，圖形密碼是有前途的，但並未得到廣泛使用。已經對該主題進行了研究，以確定其在現實世界中的可用性。儘管有些人認為圖形密碼很難破解，但另一些人則建議人們選擇普通圖像或序列的可能性與選擇普通密碼的可能性一樣。”
維基百科的貢獻者。“密碼”。 Wikipedia，The Free Encyclopedia。Wikipedia，The Free Encyclopedia，2019年6月25日.Web.2019年7月5日。
例如，如果您使用faces方法，則可以使用隨機圖片如果圖像非常相似並且只顯示純淨的肖像，那麼他們就不能只寫下銷售中的 Steve ，他們也不能寫下諸如紅色圍巾或背景中有大本鐘的傢伙。
使用證書或基於設備的身份驗證。是的，這並不能直接回答您的問題，但是提供了解決該問題的另一種方法。
正如其他人所指出的那樣，您不能採取任何措施來阻止用戶寫下他們的密碼。所以...我的建議是拋出密碼。
基於證書的身份驗證系統不需要密碼（相反，私鑰可能受密碼保護），甚至可能不允許備份。私鑰。
請以我的回答為靈感。您別無選擇。正如在此評論的那樣，您仍然可以割讓員工的手指，但是我懷疑他們是否能夠輸入他們現在記得的密碼。
已經被回答了，但是讓我給出另一個想法。
而不是試圖強制執行某些無法強制執行的操作（即使嘗試也會侵犯隱私）...
為什麼難道您不只是在源頭停止它，而是要求用戶在該字段中鍵入（而不是複制）密碼。是的，可以通過與HTML / JS混淆來禁用它，但這需要知識，即使他們具有該知識，通常也比僅輸入密碼要麻煩得多。
自動填充密碼也很方便，但是除非您習慣於每次走開時都鎖定屏幕，否則通常會帶來安全隱患。