VPN 与密码管理器：为什么两者常常都需要

很多人会问：先买 VPN 还是先用密码管理器？这个问题很合理，因为这两样东西都出现在每一份"必备隐私工具"的清单里，也都承诺让你的网络生活更安全。但它们并不是竞争关系，而是在不同的时刻保护不同的东西。VPN 保护数据所经过的连接，密码管理器则保护打开账号的钥匙，也就是你的登录凭据。

本文按风险而不是按功能来比较两者。你会看到每个工具真正能防什么、它们在哪些狭窄的地方有重叠、在咖啡馆联网或出行时如何配合，以及设置两者的清晰顺序。这是写给普通用户的实用指南，不承诺绝对安全。

两个工具，两份不同的工作

打个简单的比方。把你的账号想成大楼里的房间，把互联网想成你去那里所走的路。

• 密码管理器是一串钥匙。每个房间都有自己又长又随机的钥匙，管理器替你记住所有钥匙，你不用自己记。
• VPN是路上的一辆封闭车辆。路边的人看不到车里坐着谁，也看不到包里的东西，尽管目的地仍然知道你到了。

如果你有最好的车，却给所有房间用同一把不结实的钥匙，那么小偷从一扇门上复制了钥匙，就能进入全部房间。如果你有完美的钥匙，却坐着敞开的马车出行，路边的人能看出你要去哪里，在防护不好的路段还可能动你携带的东西。每个工具都填补了另一个碰不到的空缺。关于"车辆"一侧的更完整图景，可以看看 VPN 保护不了你的哪些方面。

每个工具分别应对哪些风险

最清晰的比较方式，是列出日常风险的表格。

风险	密码管理器	VPN
网站数据库泄露，其中有你的密码	帮助很大，因为密码对该网站是独有的	没有作用
多个网站重复使用同一个密码	通过生成不同密码解决	没有作用
有人猜出简短或常见的密码	通过长随机密码解决	没有作用
咖啡馆 Wi-Fi 上的陌生人想读取你的流量	作用很小	有帮助，流量被加密送往 VPN 服务器
网络服务商看到你访问了哪些网站	没有作用	有帮助，它只看到到 VPN 的连接
假网站诱骗你输入密码	有一定帮助，自动填充会比对真实地址	没有作用
设备上的恶意软件记录你的键盘输入	作用有限	没有作用
有人在身后偷看你输入密码	管理器代填时有帮助	没有作用
共用电脑保存了你的登录信息	密码库用主密码锁定时有帮助	没有作用

按列来读这张表。密码管理器一列全是和账号相关的风险，VPN 一列全是和网络相关的风险。只有少数几行两边都有答案，而即使在那里，提供的帮助性质也不同。

哪里重叠，哪里不重叠

重叠的部分比大多数广告暗示的要小。

公共 Wi-Fi。 有人以为密码管理器能让公共 Wi-Fi 变安全，其实不能，它并不会隐藏流量，尽管大多数正规网站使用的 HTTPS 已经在传输途中保护了你的密码。美国联邦贸易委员会在其公共 Wi-Fi 指南中说明了开放网络的实际风险，我们的公共 Wi-Fi 安全一文列出了相关习惯。VPN 增加了第二层加密，还向网络所有者隐藏你访问的网站；密码管理器在这里没有任何补充。

钓鱼。 只在地址匹配的页面填充密码的管理器，会给你一个有用的警报：如果没有出现填充选项，这个页面可能不是真的。VPN 没有这种警报，也分不清真店和仿冒店。请学习识别钓鱼网站，因为没有哪个工具能代替你自己的注意力。

账号被接管。 泄露事件之后，攻击者会拿泄露的密码到处尝试。每个网站使用不同的密码（管理器让这件事变得很容易）能挡住它。VPN 在这里不起作用。

对服务商的隐私。 VPN 缩小网络服务商能看到的内容，管理器则不能。反过来也是：VPN 判断不了你的购物网站密码是否容易被猜到。

一个例子：同一个下午，用与不用

以自由设计师丽娜为例，她在登机前的机场咖啡厅待了一个下午，要登录邮箱、开票网站、云盘和银行。

两样都没有。 丽娜在多数网站上用同一个密码，还是手动输入。她连上了名为"Airport Free WiFi"的网络。这些网站使用 HTTPS，内容是加密的，但网络所有者能看到她访问了哪些网站。她用过的一个网站两年前被攻破，她的密码已经在名单里。几天后，有人用这个密码登录了她的开票账号。

只有 VPN。 咖啡厅网络只看到一条通往 VPN 的加密连接，这阻止了机场里的随意窥探。但她重复使用的密码在开票网站上仍然有效，所以当年的泄露依旧能打开这扇门。

只有密码管理器。 每个网站都有独有的密码，旧的泄露就没有影响。她用自动填充登录，发现机场的认证页面没有触发填充，因此对那个假登录页起了疑心。但咖啡厅网络的运营方仍能看到她访问的网站清单。

两样都有。 她的账号由独有的密码保护，流量也对机场网络隐藏。她还在邮箱（它是其他一切账号的总钥匙）上开启了双重验证。每个工具补上了不同的缺口，组合起来比任何一个单独使用都更强。

密码管理器究竟如何保护你

密码管理器就是一个小型加密数据库（密码库），加上把内容填进表单的软件。这个思路最有力的部分是：

• 为你生成强随机密码。 长度比聪明更重要。NIST SP 800-63B 建议允许较长的密码，并与已知泄露列表比对。
• 只需记住一个主密码。 把它设成由几个互不相关的词组成的长口令，并且不要在其他地方使用。
• 端到端加密存储。 好的管理器会在同步前先在你的设备上加密密码库，所以即使是存储它的公司也无法读取内容。
• 自动填充与精确地址绑定。 这有助于挡住钓鱼。
• 许多产品支持通行密钥和一次性验证码，因此你的第二重验证可以被安全地保存或生成。FIDO 联盟解释了通行密钥如何用绑定设备的密钥取代密码。

它的弱点同样值得了解：主密码过弱或重复、设备感染恶意软件，以及恢复环节的失误。如果你同时丢了主密码和所有恢复方式，没有人能替你解锁密码库。

VPN 增加的是另一种保护

VPN 对设备与 VPN 服务器之间的流量加密，并让网站看到服务器的地址而不是你的地址。这对账号安全有三个实际作用。

1. 共用网络。 在酒店、咖啡馆、机场和联合办公空间的 Wi-Fi 上，其他用户和网络所有者读不到你的连接内容，也不容易看出你要去哪里。
2. 你的网络服务商。 它能看到你在使用 VPN，但看不到你访问了哪些网站。
3. 出行时保持一致。 一层保护跟着你经过许多网络，我们在出行时如何选择 VPN中有所说明。

它不会增强密码的强度，也不能防范假登录页。它还把部分信任转移给了 VPN 公司，所以要选择条款清晰的服务商，而不是只看宣传页面。

合理的设置顺序

如果你从零开始，请按下面的顺序来，它反映了现实中各类问题伤害人的频率。

1. 选一个密码管理器，设置强主密码。 把恢复信息写在纸上，放在家里的安全位置。
2. 先在邮箱上开启双重验证，然后是银行和购物账号。参见双重验证指南，以及 CISA 关于多因素认证的页面。
3. 更换重复使用的密码，先从邮箱、银行和工作账号开始。 让管理器生成新密码。每天处理十个账号，不要一晚上做一百个。
4. 如果管理器提供泄露提醒，就打开它，并检查被报告的账号。
5. 在你外出携带的手机和笔记本上安装 VPN。 XPASS 用户使用免费的 VPNclient 应用，凭 My Pass 页面上的用户名和密码登录，设备支持情况见下载页面。
6. 在公共网络上，先连接 VPN 再打开管理器，如果你想为同步流量再加一层保护，并保持应用更新。
7. 每季度检查一次。 删除旧账号，查看哪些设备处于登录状态，更新恢复信息。

常见错误

• 买了 VPN，却仍然在所有网站使用同一个密码。
• 选的主密码只是旧密码的缩短版。
• 把管理器的恢复码拍成照片，放在同一部手机里。
• 用了管理器，却没在邮箱上开启双重验证。
• 在可疑页面上无视没有自动填充的警告，手动输入了密码。
• 把主密码存在手机的普通备忘录里。
• 以为 VPN 能让共用电脑安全到可以输入密码。如果你不信任这台设备，就不要在上面登录。
• 全家共用一个密码库登录，而不是使用管理器的共享功能。

需要记住的局限

两个工具都挡不住已经在你设备上运行的恶意软件，也都无法撤销在假店铺里的购买。如果网站自己的数据库配置糟糕，管理器也保护不了该账号，不过各不相同的密码能限制损害。VPN 不会让你匿名，也不会对你登录的网站隐藏身份。请结合软件更新、谨慎点击链接的习惯，对于敏感账号再加上双重验证。如果想了解 VPN 如何与杀毒软件和防火墙配合，请阅读 VPN、杀毒软件与防火墙的区别。

总结

密码管理器保护账号的钥匙，VPN 保护钥匙所经过的连接。它们应对不同的风险，所以"选哪一个"不如问成"先选哪一个"。对多数人来说，答案是先用密码管理器加双重验证，如果你使用共用网络或常出行，再加上 VPN。两者配合使用时，能弥补彼此的盲区，而不必假装成一块完整的盾牌。

当你准备好补上连接这一层时，短期的预付通行证很容易试用，选项可以在价格页面查看。