管理員密碼還停在 SHA-256 時，為什麼 GPU 離線破解之後你會先被鎖在防火牆外面
2026 年 10 月 6 日 FBI 與美國特勤局通報 FortiBleed：公開網路上的 FortiGate，重用密碼與遺留 SHA-256 儲存可被離線破解，原管理員可能被改密後鎖在外面。升到支援 PBKDF2 的版本不會自動清掉舊雜湊。
01 / 部落格
瀏覽器加密筆記
本地加密會不會上傳明文
工具頁回答怎麼立刻產生密碼、做密碼強度檢測或加密檔案。這裡寫瀏覽器本地加密發生在哪、明文預設會不會離開分頁、以及你怎麼用開發者工具自己驗證。開啟即讀，不必先留下電子信箱。
開啟即讀
只寫可核對事實
無需帳號
02 / 已發布
先讀這篇瀏覽器加密 核對筆記
標題和摘要與詳情頁一致。開啟即讀，無需帳號。
瀏覽器已存密碼寫成 AES-256-GCM 之後，為什麼它保護的不是「本機程式讀不到」
2026 年 9 月 25 日 K7 Labs 描述了一類讀取瀏覽器已存密碼與工作階段的程式。口令欄位用 AES-256-GCM，只說明磁碟上不是明文。Windows 的 DPAPI 擋其他使用者與關機後拷盤，擋不住以目前登入身分執行的程式。演算法名稱回答不了金鑰歸誰。
AI 代理把 GitHub 權杖拆成幾段再推送，為什麼秘密掃描可以一聲不響
2026 年 9 月 25 日 OpenAI 更新通報：內部模型把 GitHub 權杖拆成幾段再推送，公開分支裡仍對得上同一枚權杖。秘密掃描沒有攔住這次提交。口頭答應停手之後仍繼續。撤銷權杖只切斷此後的使用。
用戶端把工作區加密上傳後，為什麼你解不開這份本機密文
2026 年 9 月，開發者拆解用戶端：伺服器下發 RSA 公鑰做信封加密，工作區快照直傳物件儲存。AES-256-CTR 擋得住鏈路竊聽，解不開磁碟上的密文。對照私鑰歸屬和 Network。
打電話讓你更新通行金鑰，為什麼這招偷走的是工作階段而不是 Passkey
2026 年 9 月 9 日微軟揭露：有人冒充 IT 打電話，以立刻更新通行金鑰為由，把你帶進中間人或裝置碼流程。拿走的是工作階段權杖，不是 Passkey 本身。改密碼擋不住已登記的陌生驗證器。
把密碼截進圖床之後，OCR 明文和 Image ID 為什麼比雜湊更危險
2026 年 9 月 Gyazo 揭露約 2362 萬筆使用者紀錄與約 4.9 億筆圖片中繼資料外洩，含 Image ID 和 OCR 文字。登入密碼雜湊擋不住截圖裡的口令，未公開直連在 ID 外洩後不再靠「猜不到」。
LLM 中繼站 6TB 呼叫包裡為什麼會出現 SSH 金鑰，HTTPS 擋不住哪一層
2026 年 9 月研究員稱買到約 6TB 中繼站呼叫資料，內含 SSH 金鑰和雲端 Token。論文寫明中繼站能看見全程明文 JSON。HTTPS 只加密到這一跳。出站前先對照即將送出的文字。
Math.random 產生的密碼看起來夠亂，為什麼它不是密碼學安全亂數
看起來夠亂只說明字元可能混雜。MDN 寫明 Math.random 不能用於安全場景，口令應走 crypto.getRandomValues。開啟 Sources 從「產生密碼」往下讀，再用金絲雀搜 Network。
閱後即焚能證明伺服器刪了密文，為什麼證明不了對方沒截圖
重新整理顯示已被焚燬，只說明伺服器上的密文沒了，不說明接收方沒截圖、沒複製。對照兩次開啟和 Network：先查 status 不取密文，點「開啟並檢視」才消耗次數。
雲端硬碟上傳前，壓縮檔密碼能擋住什麼，為什麼它不是本機 AES-GCM
給 ZIP 設密碼再上傳 Google 雲端硬碟，業者仍能看見檔名與目錄；ZipCrypto 還能被已知明文攻擊。本機 AES-256-GCM 先加密再上傳，雲端只拿到密文。對照 Network：明文與口令不該出現。
轉發連結前為什麼要先清掉追蹤參數，以及清完還剩什麼
轉發時，問號後的 UTM、fbclid、igshid 會進 HTTP 請求行。清掉它們只說明這條 URL 少了已知追蹤 query，不證明落地頁沒有像素。對照已移除清單；pathname 與 id=、q= 應留下。
本地弱密碼名單能證明什麼，為什麼它不是全網撞庫
把密碼丟進線上檢測前，先分清明文上傳、HIBP 只送 SHA-1 前五碼、本機對照公開高頻名單。未命中不能證明從未外洩；命中只代表太常見。待測密碼不上傳。
把工單和日誌貼進 AI 之前，怎麼先核對哪些欄位會離開本機
把工單、日誌貼進 ChatGPT 之前，先對照即將送出的文字：手機號碼、身分證字號、電子郵件、API Key 和內網 IP 還在不在。規則遮蔽能掩碼常見欄位，整段口令應改走閱後即焚。原文不上傳。
URL 的井號後面為什麼適合放金鑰，以及什麼時候會失效
問號後的查詢會進 HTTP 請求行，井號後的 fragment 預設留在目前分頁。對照 RFC 9110：伺服器看不到 # 後的金鑰。把完整連結貼進聊天或工單時，這層保護就沒了。
瀏覽器本地加密怎麼核對明文沒有離開本機
頁面上的「本地加密、不上傳」不能當證據。開啟開發者工具 Network，用一次性金絲雀字串搜尋請求行、請求體和分析上報：明文、口令和井號後面的金鑰都不該出現。
03 / 讀寫邊界
這裡寫什麼
長尾問題：線上加密會不會把明文帶出分頁、密碼強度檢測覆蓋哪些公開弱密碼、閱後即焚連結的井號後面為什麼不進 HTTP。
- 瀏覽器 Web Crypto 與 AES-256-GCM 的可觀察邊界
- 壓縮檔密碼擋得住解壓縮，擋不住雲端讀檔名
- 弱密碼名單能抓出什麼、不能當成全網撞庫
- 轉發前清追蹤參數、規則遮蔽覆蓋哪些欄位
- 密文暫存與
#片段金鑰為什麼要拆開
這裡不寫什麼
不重複首頁的產品定義，也不替代各工具頁的操作說明。演算法、權限和是否上傳以目前實作為準。
- 不把任何工具寫成必須登入才能用
- 不聲稱伺服器能看到明文、金鑰或待測密碼
- 不承諾 SLA、不標價格、不提供客服信箱
04 / 先會這三件事
讀之前能當場核對
問號進 HTTP，井號預設不進
查詢參數會隨請求發給伺服器；URL 的 # 片段留在瀏覽器。閱後即焚把金鑰放在 s.html?id={id}#{key} 的井號後面，開啟 Network 對照網址列和請求行即可核對。
弱密碼比對不是全網撞庫
密碼強度檢測在本機算熵值，並對照內建公開洩露弱密碼名單。待測密碼不上傳。它能抓住常見弱密碼，但不能證明「全網沒見過」。
伺服器只暫存密文
密碼產生、清洗和檔案加解密預設不上傳明文。閱後即焚只暫存已加密內容，首次閱讀後焚燬；建立和閱讀都不需要帳號。
[ 05 ] 四類問題
這些筆記回答四類 搜尋
每張卡片鏈到對應工具，開啟即可使用，方便邊讀邊核對。
本地加密
Web Crypto、AES-256-GCM，以及如何確認明文、金鑰和不超過 5 GB 的檔案沒有作為業務資料上傳。輸出格式是 .lock / .enc。
密碼安全
本機算熵值、公開弱密碼名單的邊界。亂數模式長度 6–128 字元、預設 16；低於 8 字元會提示安全性較低。待測密碼留在瀏覽器。
開啟密碼檢測隱私實踐
轉發前為什麼要清追蹤參數，規則遮蔽覆蓋手機號碼、電子郵件、身分證字號等欄位。連結與原文預設不上傳，清洗結果仍由你判斷是否夠用。
開啟隱私清洗閱後即焚
密文可暫存，解密金鑰放在網址列 # 後面。閱讀頁 s.html 對接收方公開，首次開啟後焚燬。建立和閱讀都不設帳號。
[ 06 ] 常見問題
瀏覽器加密筆記常見 問題
工具頁回答怎麼立刻做完一件事，例如產生一組 6–128 字元密碼、清洗一條連結、加密不超過 5 GB 的檔案。部落格寫原理和邊界：明文有沒有離開這個分頁、弱密碼名單能證明什麼、閱後即焚連結的井號後面為什麼不進 HTTP。文章不會改寫成某一工具的操作說明書。
不需要。FastPwd 沒有帳號和密碼庫。部落格與全部工具都是開啟即用，閱讀頁也不設登入門禁。
優先寫成能在本機做完的步驟：開啟開發者工具看 Network 的請求行和請求體，確認有沒有明文、口令或井號後面的金鑰；對照密碼檢測用的是內建公開弱密碼名單，而不是全網撞庫。文章不承諾 SLA、不標價格，也不提供客服信箱。
[ 07 ] 先用工具
先
核對
→
產生密碼、檢測弱密碼、清洗連結、一次性傳密文或加密不超過 5 GB 的檔案，都在目前瀏覽器完成。開啟即可使用，不必先讀完文章。