我使用 KeePass + Dropbox 在我的设备上管理和同步我的密码。这个系统真的很好用，我相信 KeePass 的安全模型。
然而，我最大的担忧是主密码，因为我担心无法保护我的电脑免受键盘记录器的侵害。为了减轻这种恐惧，我想引入第二个身份验证因素。
KeePass 只允许使用密钥文件作为第二个身份验证因素，虽然将密钥文件存储在 USB 拇指驱动器上似乎是一种安全的解决方案，但它对我来说也太严格了。如果我要使用密钥文件，我可能会将其存储在 Dropbox 上，但这真的会增加任何额外的安全性吗？我的想法是，如果我的主密码被泄露，那么为了让攻击者成功，他还需要我的 KeePass 数据库。如果他可以访问它，那么他很可能也可以访问密钥文件，所以我没有获得额外的安全性。
对于不会增加太多开销的更好设置的任何意见或建议？
我认为您的安全模型在这里有几个潜在的缺陷 - 我将列出我可以看到的潜在问题，如果它们在您的特定情况下是有效的担忧，您可以告诉我：
如果您真的担心无法保护您的计算机免受键盘记录器的攻击，这意味着攻击者可以安装任何东西——在我看来，这意味着游戏结束：无论您是否登录，他们都可以从 KeePass 中提取所有数据下次使用 KeePass 时是否获取该数据。
此外，存储在 Dropbox 上意味着他们可能会通过根据此漏洞共享您的 Dropbox 从其他位置执行此攻击。
对于您认为可以危害您的机器的威胁参与者，您唯一真正的保护是不使用该机器（当然，除非您可以将其配置为他们无法危害它的方式）并执行类似使用 KeePass 之类的操作移动设备（您的风险变成丢失设备或被盗）。
尽管@Rory Alsop 最终是正确的，但您的第二个最佳选择是在安全桌面下输入KeePass 的主密码（在安全桌面上几乎没有键盘记录器工作），并结合使用基于密钥和/或OTP auth进行此操作。
如果您可以使用，您最好的选择是使用上面的建议，并将 KeePass 安装在您知道（更好）物理安全的远程机器上。这基本上将@Rory Alsop 的建议扩展为可操作的东西。
如果攻击者可以访问您的计算机，那么所有的赌注都将失败。
一种低开销的 TFA 解决方案是使用 google 提供的开放 ID 和身份验证器应用程序。但这并不适用于任何地方。