パスワード管理ツール Part8

**名無しさん＠お腹いっぱい。** · 2018/04/05(木) 10:02:51.08

パスワード管理ツール（ソフトウェア）について語るスレです。

前スレ
パスワード管理ツール Part7 [無断転載禁止]c2ch.net
http://egg.5ch.net/test/read.cgi/software/1485568889/

**名無しさん＠お腹いっぱい。** · 2019/02/02(土) 06:11:01.23

pentium作ったのインド人

**名無しさん＠お腹いっぱい。** · 2019/02/02(土) 06:13:47.69

Puran Defragにはお世話になった
パス管理ツールはBitwarden使ってるけど

**名無しさん＠お腹いっぱい。** · 2019/02/02(土) 06:30:48.53

オープンソースでない奴は全部避けた方がいい
セキュリティ関連はオープンソースが必須要件

**名無しさん＠お腹いっぱい。** · 2019/02/02(土) 06:43:02.16

オープンソースはいくらでも改竄出来る危険極まりない仕組みだが

**名無しさん＠お腹いっぱい。** · 2019/02/02(土) 10:08:41.78

>>788
無知すぎて怖い

**名無しさん＠お腹いっぱい。** · 2019/02/02(土) 10:21:45.88

>>789
オープソースわかってなさそうだな

**名無しさん＠お腹いっぱい。** · 2019/02/02(土) 11:09:58.32

ブルドッグソースの仲間だろ？
知ってるわw(´・ω・｀)

**名無しさん＠お腹いっぱい。** · 2019/02/02(土) 12:42:10.83

https://en.m.wikipedia.org/wiki/Security_through_obscurity

**名無しさん＠お腹いっぱい。** · 2019/02/02(土) 13:15:00.53

Security through minority は正しい場合がある

太平洋戦争でアメリカ海軍が使用していた暗号を日本軍は遂に解読することができなかったが、
それは少数部族のインディアンに伝言ゲームさせて暗号化していたからである
アメリカ海軍の暗号は、解読されなかった殆ど唯一の暗号として記憶されている

**名無しさん＠お腹いっぱい。** · 2019/02/02(土) 15:06:42.41

宅ふぁいる便やらかしてたんだね
暗号化されていないパスワードまで流出って・・・

**名無しさん＠お腹いっぱい。** · 2019/02/02(土) 17:43:57.88

>>789
>>790

君ら自信満々にクレカをスキミングされるタイプやなww

**名無しさん＠お腹いっぱい。** · 2019/02/02(土) 17:48:10.69

どっちの言い分もわかるけど
相手の意見を理解しようとしない人がめんどくさいから関わりたくない

**名無しさん＠お腹いっぱい。** · 2019/02/02(土) 21:01:48.45

>>788
あほか

**名無しさん＠お腹いっぱい。** · 2019/02/03(日) 01:32:20.14

一番堅牢なのはKeepassだと思ってたが
キーファイルと本体を分離できるし、独自鯖リスク考えると

**名無しさん＠お腹いっぱい。** · 2019/02/03(日) 06:44:57.29

Keepassの時点でPC単体でならもう完成してるんだよな

で、同期が面倒という問題に対応する為に、
じゃあもういっそ最初からファイルをネットに置いちゃえばよくね?
どうせネットに繋ぎたい時にしか必要にならないんだから、オフラインでの使用は無視で
という発想にシフトしていった

うちは相変わらず同期不要なので、そんなやばそうなものには手を出してない

**名無しさん＠お腹いっぱい。** · 2019/02/03(日) 08:13:52.27

以前にkeepasu最強すぎDBファイルはboxにキーファイルはOneDriveにそれぞれ分けて置けば万全とか間抜けな事言ってるのいたなぁ……
Enpassとかの方が安心をだよね

**名無しさん＠お腹いっぱい。** · 2019/02/03(日) 08:21:18.61

ローカルに置くソフト同士の比較だから、どちらも同じでしょう

楽をしようと手を抜くことでセキュリティに穴があく
かといって全部守ってはいられないので、手を抜く部分と守る部分を慎重に選ぶ必要がある
パスワードファイルをみんなで同じ場所に置こうという流れは、
新たに楽をしようとしていて、下手にやれば当然穴になる
ちゃんと守れているかどうかの検証はこれから

**名無しさん＠お腹いっぱい。** · 2019/02/03(日) 10:23:42.36

穴だらけのクラウドよりセキュリティベンダが独自管理しているサーバの方が1000％安全だろうに。
オープンソース信者は何故それがわからんかね。

**名無しさん＠お腹いっぱい。** · 2019/02/03(日) 10:56:05.28

そこに一点集中で勢力を傾けてアタックしてくるだろうから、
破られるとしたらそこだろ
銀行が襲われるのと同じ

銀行は何かあっても保証する仕組みがあるけど、
パスワードは漏れたらそれまで

**名無しさん＠お腹いっぱい。** · 2019/02/03(日) 14:25:05.58

めちゃくちゃ安全でしかもオープンソースの最高にクールなPW管理ソフト教えてください！

**名無しさん＠お腹いっぱい。** · 2019/02/03(日) 14:37:41.77

優秀な脳みそ

**名無しさん＠お腹いっぱい。** · 2019/02/03(日) 14:57:53.84

安全さと便利さはトレードオフなので、めちゃくちゃ安全を求めるとめちゃくちゃ不便になるが

**名無しさん＠お腹いっぱい。** · 2019/02/03(日) 15:05:01.44

>>803
なんで暗号化されているパスワードが漏れるの？

**名無しさん＠お腹いっぱい。** · 2019/02/03(日) 15:13:57.01

暗号はみんな作った時は破られる訳ないと思ってるんだよ

**名無しさん＠お腹いっぱい。** · 2019/02/03(日) 16:17:50.84

それを言ったら、ローカルに保存しててもマルウェアが来たら終わり

**名無しさん＠お腹いっぱい。** · 2019/02/03(日) 16:53:17.91

無料でやるならKeepassでDBは適当にクラウドにおきつつ、暗号化キーを30字くらいでやっときゃええんすかね

**名無しさん＠お腹いっぱい。** · 2019/02/03(日) 17:17:48.66

現実的には、そんなに頻繁に同期の必要は生じないと思うんだけどな
同期はPCからスマホの一方向のみで、スマホ側でも使いそうなパスワードを登録した時に、
USBで繋いで転送
これで十分だし安全性は一番高い

**名無しさん＠お腹いっぱい。** · 2019/02/03(日) 20:06:29.20

>>811
PC、スマホ1台づつならいいけど

**名無しさん＠お腹いっぱい。** · 2019/02/04(月) 07:29:36.38

>>545のやつ
無料でブラウザ上でも動作＆クラウド同期も可能なKeePass互換パスワードマネージャー「KeeWeb」
https://gigazine.net/news/20190203-keeweb/

**名無しさん＠お腹いっぱい。** · 2019/02/04(月) 14:55:07.04

まずはiOS とandroid 向けのアプリご出てからが本番だな

**名無しさん＠お腹いっぱい。** · 2019/02/04(月) 17:47:19.13

質問１
オンライン要素無し、クラウド要素無しで
ローカルのPCで完結してて、完全無料のやつってなんかいいのない？

質問２
今はウィンドーズPCでCLCLだけ使ってるんだが
できたらウィンドーズPC＋CLCLみたいな物を
centOSでも似たように使えるやつがいい。

**名無しさん＠お腹いっぱい。** · 2019/02/04(月) 18:25:11.80

>>815
keepassxc

**名無しさん＠お腹いっぱい。** · 2019/02/05(火) 07:34:15.75

bitwardenもいいけどキーファイルが無いし
当分keepass+resilio syncで行くかな

**名無しさん＠お腹いっぱい。** · 2019/02/05(火) 13:59:15.44

>>802
それ本気で言ってたら笑えるw

**名無しさん＠お腹いっぱい。** · 2019/02/05(火) 14:01:04.87

>>800
その間抜けな使い方で十分だけど？
頭大丈夫か？w

**名無しさん＠お腹いっぱい。** · 2019/02/05(火) 23:36:31.31

>>817
win、Mac、Androidはいいとして、iOSもresilio sync可能なんかな？

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 00:46:28.45

オープンソース嫌いには対象外だろうけど、Syncthingっていうのもあるよ

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 06:01:32.55

まあkeepassの時点でオープンソースだしな

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 07:00:41.30

こういう類のソフトは例外なく、暗号強度の高さに依存している
暗号さえ破られなければパスワードは安全なのだから、
あとは単に使い勝手の違いに過ぎない

パスワードファイルは漏れない方がいいけど、漏れても破られないのだから、
そこはあんまり気にしないというスタンス
暗号強度の高さはアルゴリズムによってしか証明できないので、
オープンソースであることは必須

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 09:22:58.43

オープンソースであることは必須（笑）

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 09:45:49.71

>>824
何がおかしいのか答えてみ？
まぁ聞いたところで黙って逃げるんだろうけどw

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 11:30:51.85

Googleがインターネット上で使用するパスワードが
データ侵害にあった危険なものでないかを
逐一チェックしてくれる「Password Checkup」をリリース
https://gigazine.net/news/20190206-google-password-checkup/

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 12:18:34.01

それで集めたパスワードを他に売ってグーグルは大儲け

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 12:23:02.16

最強パスワードマネージャー『Google Chrome』

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 12:27:20.33

冗談みたいな内容の記事は最初にurlに0401が入ってるか確認してしまう

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 12:43:32.17

>>827
パスワードそのものを比較するわけないだろ

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 12:52:30.98

>>825
整備杜撰責任不在のオープンソースを盲目的に信頼しているところ

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 12:53:29.36

>>824
アルゴリズムに長けた集団のクローズドソフト。
アルゴリズムに長けてない奴らがワイワイ集まって盛り上がってるオープンソース。
どっちが強固かな？（笑）
オープンソースなら必ず人が集まるとでも思っちゃってる？（笑）

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 12:54:51.29

>>825
>>832
ミスった

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 13:19:42.73

>>831
オープンソースのこと勘違いしてんぞ

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 13:32:31.75

オープンソース: 盲目的に信頼することもできるが技術的な検証も可能
プロプライエタリ: 盲目的に信頼する以外の手段はない

>>832
クローズドソースソフトの開発者が必ずアルゴリズムに長けていると信じる根拠は？

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 14:23:48.01

つまるところ第三者の検証があれば信じて良いんだな
よし分かった
これからは喧嘩する前にそのソフトが安全だという証拠を出せ
憶測も願望もなしな
監査レポートをもってこい

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 14:38:01.61

>>836
https://twitter.com/bitwarden_app/status/1061974567223222273?s=19

https://blog.bitwarden.com/bitwarden-completes-third-party-security-audit-c1cc81b6d33
https://twitter.com/5chan_nel (5ch newer account)

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 15:06:35.37

TrueCryptもオープンソースでやってればこけずに済んだのにw

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 15:39:06.34

>>832
これ分かる

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 15:55:48.18

>>839
今頃突っ込み所満載なのが分かったのか

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 17:33:34.21

ちょっと待って、アルゴリズムはオープンだろうが、クローズドであろうがある程度知られてる奴使ってるんじゃないの？
ほとんどAES/Rijndaelじゃないっけ？
KeePassはTwofish(1.x系列のみ)とChaCha20(2.x系列のみ)も選べるけど

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 18:48:19.26

もう15年はIDM使ってるな
不便もないしこれからも

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 18:59:55.56

>>837
自称安全ってかww

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 19:18:56.15

オープンな環境で公募されたAES、ChaCha以外の
暗号化方式を使っている>>832がいると聞いて

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 19:25:17.37

ChaCha入れんなよ
なんてなｗｗｗｗｗｗｗｗｗ

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 19:45:52.84

>>845
20点

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 20:43:03.75

>>843
???

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 07:27:59.47

最強はbitwardenを自分で運用ということで良さそうやね

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 08:03:13.33

xxxという暗号方式を使ってますよという触れ込みなのに、実は使ってない
ほぼ同じものだけど、バックドアが仕掛けられている
という可能性があるので、ファイルをネットに晒すのは危険

ちゃんとした暗号を使っていて、ローカルで管理していても、
キーロガーを仕掛けられると破られる

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 10:18:30.81

この手のソフトは、ちゃんと有料で、そのソフトだけで商売してて、
その収入で多くの社員を雇っているところのほうが安心できる。
うかつに変なことはできないだろうし。

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 10:27:04.12

うかつなトレンドマイクロみたいなのを見ててもそう思うの？

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 13:12:30.64

>>850=>>832

www

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 13:14:40.65

匿名掲示板で何かを教えてもらいたいときは、質問ではなく、間違った主張をするとよい

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 16:27:11.63

Keepass使ってる人ってスマホとパソコン全部当然なくした場合の対処ってしてる？
俺はDropboxにデータを置いてキーファイルはスマホとパソコンに置いてるんだけど
keepassのマスターパスワードとdropboxのパスワードは違うし
Dropboxのパスワードは覚えていないから突然スマホとPCをなくしたらすべて消失してしまう
キーファイルをどこかにバックアップをとって、DropboxのパスワードもKeepassの別にしつつ覚えたほうがいいんだろうか
皆さんどう管理してるか教えてください

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 16:58:22.74

データベースはクラウドだから良いとして
キーファイルは昔のスマホに残ってるの発掘かな
無駄なバックアップは管理ツールの意味も薄くなるからあまり取りたくない

USBか何かにおいておいても良いかも知れないけど

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 17:04:33.06

>>854
私はスマホとパソコンを同時に失うことは無いと想定し、心の平穏を得ています。

ちなみに KeePass のデータベースファイルを Dropboxに置き、キーファイルは利用していません。
KeePass のマスタパスワードは記憶しています。Dropbox は PC 2 台とスマホ 1 台で利用中。

それでも気になるなら、USB メモリに格納するとか印刷するとかした上で貸金庫とかですかね？

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 20:24:40.81

電子的クラック耐性最強の紙に手書きで重要なパスだけメモってる
俺しか知らないルールでそのまま読めないようにしている

それも失ったときのために
絶対漏らさないし忘れない黒歴史の長文の詩を元にパスワードにしたものを
一つだけ記憶してる

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 21:50:32.78

>>857
黒歴史を絶対に忘れられないって辛すぎないか

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 22:36:43.69

自分に対する戒めだね

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 03:55:46.31

PCなくした場合ってのが想像つかん
ノートPC持ち出しとか？自分はデスクトップなので紛失しようがない

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 03:58:57.48

>>860
火災とか災害とかも考慮しようぜ

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 04:14:01.90

全てを失った時用のバックアップがサーバーにあって、
そこへのパスワードをマスターパスワードと同じにしている

但し、サーバーにアクセスするには二段階認証が必要で、
その為に必要な携帯まで失っていたら手が出せなくなる

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 04:56:28.22

ガチで>>800が言ってたようなキーパス信者いるから気をつけた方が良いぞ
あれはホンマ頭おかしい……
普通はlastpassとか無難なのでいい

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 07:18:47.09

>>863
>>853

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 08:05:54.40

>>860
東日本大震災でPCと自宅NASをすべて失った知人を見てしまったからな

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 13:28:39.64

自然災害でセルフGOXの可能性あるのが悩ましいな

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 18:39:45.27

思いついたのが、何らかのハッシュ関数にKeepassのマスターパスワードにかけてそれをクラウドのパスワードにしたらいいんじゃないか？
そうすれば一個とハッシュ関数の種類を覚えてるだけで仮にローカルの端末をすべて消失してもクラウドにアクセスできるぞ
セキュリティ的にもマスターパスワードが十分に長いからハッシュは不可逆だし多分大丈夫だと思うけど

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 20:57:27.79

良さげに見える

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 23:47:56.20

ハッシュムラムラ

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 00:33:09.84

chromeに全部記憶させて、2段階認証にyubikeyで良くないか

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 03:39:18.58

>>861,865
なるほどその発想はなかった！指摘ありがとう
安全ボケ(？)してるわ…

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 05:59:41.26

PCと携帯を同時に失うと、二段階認証を設定しているサイトにアクセスできなくなる
何か対策してる?

解決案は、二段階認証する時に使ったQRコードなりの画面をキャプチャーしておいて、
パスワード管理ソフトの添付ファイルとして管理しておく
あれもパスワードの一種だからバックアップが必要という認識があればok

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 06:30:19.74

抜かれたら一発アウトじゃん

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 07:32:50.76

>>872
二段階認証にAuthyを利用してマスターパスワードを記憶
クラウド上にバックアップされる

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 07:46:42.79

amazonの二段階認証を追加してバックアップしとこうとしたら、
認証アプリがカメラ使えなくなってた
また開発者サービスが何かやらかしてるらしい

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 09:29:41.33

>>874
Authyって結構ユーザー増えてるはずだけどなかなか日本語化しないな
使用するのに問題はないけど

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 09:55:35.47

そんな一番大事なもんをクラウドに置くのにやっぱり抵抗があるのでは

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 10:24:52.09

2段階認証のデータ単独なら盗まれても問題ない
1段階目の認証データと紐付けられたら破られるけど
そこまでのリスクを考慮するかどうかだな

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 11:40:30.88

二段階認証の基本的な考えは二重化だから、
それぞれが独立してないと意味ないんだよな

何か想定していない理由で片方の認証が破られても、もう一つあるから安心
だから、>>873の指摘が正解で、二つ同時に破られるなら二重化になってない

それを辿っていくと、結局マスターパスワードが2つ必要という結論になるんだよな
でもそんなことしてる人は少ない
代わりに、二段階目はマスターパスワードと結びつけずに、失ったら取り戻せない状態にしてるか、
スマホを複数化するか、安全でない方法で管理してるかのいずれか

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 11:48:16.26

異なるマスターパスワード2つ覚えればいいじゃん
あるいはマスターパスワードと>>867のやり方を使うとか

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 12:48:26.59

二重化してる所だけ守ってもマスターパスワード漏れた時点で大惨事なんだけどね

マスターパスワードだけは漏れない、という前提で押し進めるしか無い訳で、
使用頻度の低い2つ目のマスターパスワードなんか設定したら、忘れてしまうリスクが高い

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 13:03:30.96

貸金庫にマスターパスワードを書いた紙を入れとけば？

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 14:46:48.96

2段階認証のQRコードは、vera cryptで暗号化したコンテナに入れて
それをクラウドに保存してる

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 15:09:02.82

そんな滅多に使わないような鍵を暗記しておける人はその方がいい

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 21:43:27.64

>>872
携帯は同じ番号で再発行してもらえるんじゃないの？