Termius 密码与加密密码管理 | 三种密码各司其职，别搞混也别泄露

三种密码，三个独立防线

Termius 体系里有三种看起来相似但安全角色完全不同的密码 / passphrase：

一、Termius 登录密码

用途

• 登录 Termius 云账号
• 用来注册、找回密码、Google OAuth 替代方案
• 与 Termius 云同步 API 交互

管理建议

• 和你其他云服务密码一样管理（1Password / Bitwarden）
• 密码长度 ≥ 16 字符，用密码管理器生成
• 和加密密码不要相同——如果登录密码泄露，加密密码应该还是独立的防线
• 开启 Google OAuth 登录可以省去记这个密码（但加密密码还是需要）
• 定期轮换（建议每季度）

忘记了怎么办？

• 通过邮箱重置：登录页 → Forgot Password → 输入注册邮箱 → Termius 发重置链接 → 设置新密码
• 重置登录密码不会影响加密密码和 Vaults 数据——因为加密密码从不发送给 Termius 服务器，重置登录密码只是重新获得账号访问权限，Vaults 数据依然需要加密密码才能解密

安全注意

• 登录密码的哈希值 Termius 看不到（使用 bcrypt / Argon2）
• 但如果用 Google OAuth，Google 才是身份验证方，Termius 只接收 OAuth token

二、加密密码（Encryption Password）

用途

• 派生 AES-256-GCM 加密密钥
• 解密 Vaults 里的所有数据
• 整个 Termius 安全模型的基石

管理建议

这是你在 Termius 体系里最重要的密码。 注意事项：

1. 注册完 Termius 后第一件事：把加密密码复制到密码管理器
2. 密码管理器里给 Termius 条目加备注：「加密密码，不要和登录密码混淆」
3. 长度 ≥ 20 字符——Argon2id 对长密码抗暴力破解能力指数级增长
4. 和登录密码完全不同——如果两个密码一样，意味着登录密码泄露 = 加密密码泄露
5. 不要设得太简单——「termius123」、「vault2026」这种猜得到的等于没加锁

典型的错误做法

❌ 加密密码 = 登录密码 → 登录密码能通过邮箱重置，说明 Termius 有它的哈希。如果两个密码相同，加密密码也有被猜出来的风险。

❌ 加密密码 = 公司邮箱密码 → 公司邮箱密码很可能通过公司 SSO、多个系统登录、各种泄露事件暴露。

❌ 加密密码写在便利贴 / 纯文本文件里 → 便利贴丢了或被拍了 = 全泄露。纯文本文件是恶意软件的首要攻击目标。

❌ 加密密码设成短密码 → Argon2id 派生 8 字符密码只需要很小的算力就能暴力破解。

忘记了加密密码？

没有任何找回方式。 Termius 官方明确：

加密密码只保存在你的设备内存中，从不发送到任何服务器。Termius 无法解密你的数据，也无法帮你找回加密密码。

后果：

• 无法解密现有 Vaults 数据
• 必须重置 Termius 账号 → 重新开始
• 之前存的所有主机配置、凭证、Snippets 全部丢失
• Personal Vault 里的数据无法恢复（Team Vault 里的数据团队成员还有副本）

行动：从注册开始就存密码管理器。 这一步比任何其他步骤都重要。

加密密码能修改吗？

目前只能重置（意味着数据丢失），不支持安全地修改。 官方的理由是：修改加密密码需要同时解密所有 Vaults 数据、再用新密码重新加密——这在端到端加密的约束下实现起来风险很高，任何一步失败都导致数据损坏。

所以选择加密密码时就要想清楚，一旦设好就不要再动它。

三、SSH 密钥 passphrase

用途

• 给 SSH 私钥再加一层保护
• 防止私钥文件被盗用
• 存在 Termius Keychain 里（跟着 Vault 加密）

管理建议

• 每个 SSH 私钥都设 passphrase
• passphrase 长度 ≥ 12 字符
• 可以和其他密码一样存密码管理器（注意和对应密钥文件关联起来）
• 私钥文件 + passphrase + 目标服务器的 authorized_keys 三者缺一不可

和 Termius 加密密码的关系

SSH 密钥 passphrase 和 Termius 加密密码是独立的：

• 加密密码解密 Vault 数据（包括 SSH 密钥的加密存储）
• 密钥 passphrase 解密 SSH 私钥本身

正常使用时，Termius 从 Keychain 拿到解密后的私钥 → 在 SSH 连接时直接使用 → 你不需要手动输入 passphrase（如果之前选了「记住」的话）。

如果忘了密钥 passphrase

密钥本身还在，但无法解密使用。 解决办法：

1. 生成新密钥对
2. 把新公钥部署到所有使用旧密钥的服务器
3. Termius 里导入新密钥
4. 服务器上删除旧公钥
5. 私钥文件本身可以删掉（反正解密不了）

密码管理器配置建议

一个好的密码管理器配置应该是这样：

加密密码的条目建议加个紧急恢复提示：

如果 Termius 加密密码丢失，Vaults 数据将永久无法恢复。请把此密码妥善保存在此处，并不要在其他任何地方复制。

总结：三层密码的关系

加密密码（最关键，不能找回）
  ↓ 派生密钥
Vault 数据加密解密
  ├── SSH 密钥对（加密存储）
  │     ↓ 使用时需要
  │     SSH Key passphrase
  ├── 凭证（密码、API Token）
  ├── 主机配置
  └── Snippets

加密密码是顶梁柱——丢了它整个 Vaults 就塌了。

下一篇「后量子加密是什么」讲 Termius 新增的 post-quantum KEX 的实际意义。