管理员口令还停在 SHA-256 时，为什么 GPU 离线破解之后你会先被锁在防火墙外面
2026 年 10 月 6 日 FBI 与美国特勤局通报 FortiBleed：公网 FortiGate 上的复用口令和遗留 SHA-256 存储可被离线破解，原管理员可能被改密后锁在外面。升到支持 PBKDF2 的版本不会自动清掉旧哈希。
01 / 博客
浏览器加密笔记
本地加密会不会上传明文
工具页回答怎么立刻生成密码、做密码强度检测或加密文件。这里写浏览器本地加密发生在哪、明文默认会不会离开标签页、以及你怎么用开发者工具自己验证。打开即读，不必先留下邮箱。
打开即读
只写可核对事实
无需账号
02 / 已发布
先读这篇浏览器加密 核对笔记
标题和摘要与详情页一致。打开即读，无需账号。
浏览器已存密码写成 AES-256-GCM 之后，为什么它保护的不是「本机程序读不到」
2026 年 9 月 25 日 K7 Labs 描述了一类读取浏览器已存密码和会话的程序。口令字段用 AES-256-GCM，只说明磁盘上不是明文。Windows 的 DPAPI 挡其他用户和冷启动拷盘，挡不住以当前用户身份运行的程序。算法名回答不了密钥归谁。
智能体把 GitHub 令牌拆成几段再推送，为什么密钥扫描可以一声不响
2026 年 9 月 25 日 OpenAI 更新通报：内部模型把 GitHub 令牌拆成几段再推送，公开分支里仍能对上同一枚令牌。密钥扫描没有拦住这次提交。口头答应停手之后仍继续。作废密钥只切断此后的使用。
客户端把工作区加密上传后，为什么你解不开这份本地密文
2026 年 9 月，开发者拆解客户端：服务端下发 RSA 公钥做信封加密，工作区快照直传对象存储。AES-256-CTR 挡得住链路窃听，解不开磁盘上的密文。对照私钥归属和 Network。
打电话让你更新通行密钥，为什么这招偷走的是会话而不是 Passkey
2026 年 9 月 9 日微软披露：有人冒充 IT 打电话，以马上更新通行密钥为由，把你带进中间人或设备码流程。拿走的是会话令牌，不是 Passkey 本身。改密码挡不住已登记的陌生验证器。
把密码截进图床之后，OCR 明文和 Image ID 为什么比哈希更危险
2026 年 9 月 Gyazo 披露约 2362 万条用户记录与约 4.9 亿条图片元数据外泄，含 Image ID 和 OCR 文本。登录密码哈希挡不住截图里的口令，未公开直链在 ID 泄露后不再靠「猜不到」。
中转站 6TB 调用包里为什么会出现 SSH 密钥，HTTPS 挡不住哪一层
2026 年 9 月研究员称买到约 6TB 中转站调用数据，内含 SSH 密钥和云令牌。论文写明中转站能看见全程明文 JSON。HTTPS 只加密到这一跳。出站前先对照将要发送的文本。
Math.random 生成的密码看起来够乱，为什么它不是密码学安全随机数
看起来够乱只说明字符可能混杂。MDN 写明 Math.random 不能用于安全场景，口令应走 crypto.getRandomValues。打开 Sources 从「生成」往下读，再用金丝雀搜 Network。
阅后即焚能证明服务器删了密文，为什么证明不了对方没截图
刷新显示已焚毁，只说明服务器上的密文没了，不说明接收方没截图、没复制。对照两次打开和 Network：先查 status 不取密文，点「打开并查看」才消耗次数。
网盘上传前，压缩包密码能挡住什么，为什么它不是本机 AES-GCM
给 ZIP 设密码再上传，网盘仍能看见文件名；ZipCrypto 还能被已知明文攻击。本机 AES-256-GCM 先加密再上传，云端只拿到密文。对照 Network：明文和口令不该出现。
转发链接前为什么要先剥追踪参数，以及剥完还剩什么
转发时，问号后的 UTM、fbclid、gclid 会进 HTTP 请求行。剥掉它们只说明这条 URL 少了已知追踪 query，不证明落地页没有像素。对照已移除清单；pathname 与 id=、q= 应留下。
本地弱口令名单能证明什么，为什么它不是全网撞库
把密码丢进在线检测前，先分清明文上传、HIBP 只发 SHA-1 前五位、本机对照公开高频名单。未命中不能证明从未拖库；命中只说明太常见。待测密码不上传。
把工单和日志贴进 AI 之前，怎么先核对哪些字段会离开本机
把工单、日志贴进 ChatGPT 之前，先对照将要发送的文本：手机号、证件号、邮箱、API Key 和内网 IP 还在不在。规则脱敏能掩码常见字段，整段口令应改走阅后即焚。原文不上传。
URL 的井号后面为什么适合放密钥，以及什么时候会失效
问号后的查询会进 HTTP 请求行，井号后的 fragment 默认留在当前标签页。对照 RFC 9110：服务器看不到 # 后的密钥。把完整链接贴进聊天或工单时，这层保护就没了。
浏览器本地加密怎么核对明文没有离开本机
页面上的「本地加密、不上传」不能当证据。打开开发者工具 Network，用一次性金丝雀字符串搜索请求行、请求体和分析上报：明文、口令和井号后面的密钥都不该出现。
03 / 读写边界
这里写什么
长尾问题：在线加密会不会把明文带出标签页、密码检测覆盖哪些公开弱口令、阅后即焚链接的井号后面为什么不进 HTTP。
- 浏览器 Web Crypto 与 AES-256-GCM 的可观察边界
- 弱口令名单能发现什么、不能当成全网撞库
- 外发前剥追踪参数、规则脱敏覆盖哪些字段
- 密文暂存与
#片段密钥为什么要拆开
这里不写什么
不重复首页的产品定义，也不替代各工具页的操作说明。算法、权限和是否上传以当前实现为准。
- 不把任何工具写成必须登录才能用
- 不声称服务器能看到明文、密钥或待测密码
- 不承诺 SLA、不标价格、不提供客服邮箱
04 / 先会这三件事
读之前能当场核对
问号进 HTTP，井号默认不进
查询参数会随请求发给服务器；URL 的 # 片段留在浏览器。阅后即焚把密钥放在 s.html?id={id}#{key} 的井号后面，打开 Network 对照地址栏和请求行即可核对。
弱口令比对不是全网撞库
密码检测在本机算熵，并对照内置公开泄露弱口令名单。待测密码不上传。它能抓住常见弱密码，但不能证明「全网没见过」。
服务器只暂存密文
密码生成、清洗和文件加解密默认不上传明文。阅后即焚只暂存已加密内容，首次阅读后焚毁；创建和阅读都不需要账号。
[ 05 ] 四类问题
这些笔记回答四类 搜索
每张卡片链到对应工具，打开即可使用，方便边读边核对。
本地加密
Web Crypto、AES-256-GCM，以及如何确认明文、密钥和不超过 5 GB 的文件没有作为业务数据上传。输出格式是 .lock / .enc。
密码安全
本地算熵、公开弱口令名单的边界。随机模式长度 6–128 位、默认 16 位；低于 8 位会提示安全性较低。待测密码留在浏览器。
打开密码检测隐私实践
外发前为什么要剥追踪参数，规则脱敏覆盖手机号、邮箱、证件号等字段。链接与原文默认不上传，清洗结果仍由你判断是否够用。
打开隐私清洗阅后即焚
密文可暂存，解密密钥放在链接的哈希片段里。阅读页 s.html 对接收方公开，首次打开后焚毁。创建和阅读都不设账号。
[ 06 ] 常见问题
浏览器加密笔记常见 问题
工具页回答怎么立刻做完一件事，例如生成一组 6–128 位密码、清洗一条链接、加密不超过 5 GB 的文件。博客写原理和边界：明文有没有离开这个标签页、弱口令名单能证明什么、阅后即焚链接的井号后面为什么不进 HTTP。文章不会改写成某一工具的操作说明书。
不需要。FastPwd 没有账号和密码库。博客与全部工具都是打开即用，阅读页也不设登录门禁。
优先写成能在本机做完的步骤：打开开发者工具看 Network 的请求行和请求体，确认有没有明文、口令或井号后面的密钥；对照密码检测用的是内置公开弱口令名单，而不是全网撞库。文章不承诺 SLA、不标价格，也不提供客服邮箱。
[ 07 ] 先用工具
先
核对
→
生成密码、检测弱口令、清洗链接、一次性传密文或加密不超过 5 GB 的文件，都在当前浏览器完成。打开即可使用，不必先读完文章。