パスワード管理ツール Part8

**名無しさん＠お腹いっぱい。** · 2018/04/05(木) 10:02:51.08

パスワード管理ツール（ソフトウェア）について語るスレです。

前スレ
パスワード管理ツール Part7 [無断転載禁止]c2ch.net
http://egg.5ch.net/test/read.cgi/software/1485568889/

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 15:06:35.37

TrueCryptもオープンソースでやってればこけずに済んだのにw

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 15:39:06.34

>>832
これ分かる

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 15:55:48.18

>>839
今頃突っ込み所満載なのが分かったのか

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 17:33:34.21

ちょっと待って、アルゴリズムはオープンだろうが、クローズドであろうがある程度知られてる奴使ってるんじゃないの？
ほとんどAES/Rijndaelじゃないっけ？
KeePassはTwofish(1.x系列のみ)とChaCha20(2.x系列のみ)も選べるけど

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 18:48:19.26

もう15年はIDM使ってるな
不便もないしこれからも

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 18:59:55.56

>>837
自称安全ってかww

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 19:18:56.15

オープンな環境で公募されたAES、ChaCha以外の
暗号化方式を使っている>>832がいると聞いて

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 19:25:17.37

ChaCha入れんなよ
なんてなｗｗｗｗｗｗｗｗｗ

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 19:45:52.84

>>845
20点

**名無しさん＠お腹いっぱい。** · 2019/02/06(水) 20:43:03.75

>>843
???

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 07:27:59.47

最強はbitwardenを自分で運用ということで良さそうやね

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 08:03:13.33

xxxという暗号方式を使ってますよという触れ込みなのに、実は使ってない
ほぼ同じものだけど、バックドアが仕掛けられている
という可能性があるので、ファイルをネットに晒すのは危険

ちゃんとした暗号を使っていて、ローカルで管理していても、
キーロガーを仕掛けられると破られる

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 10:18:30.81

この手のソフトは、ちゃんと有料で、そのソフトだけで商売してて、
その収入で多くの社員を雇っているところのほうが安心できる。
うかつに変なことはできないだろうし。

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 10:27:04.12

うかつなトレンドマイクロみたいなのを見ててもそう思うの？

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 13:12:30.64

>>850=>>832

www

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 13:14:40.65

匿名掲示板で何かを教えてもらいたいときは、質問ではなく、間違った主張をするとよい

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 16:27:11.63

Keepass使ってる人ってスマホとパソコン全部当然なくした場合の対処ってしてる？
俺はDropboxにデータを置いてキーファイルはスマホとパソコンに置いてるんだけど
keepassのマスターパスワードとdropboxのパスワードは違うし
Dropboxのパスワードは覚えていないから突然スマホとPCをなくしたらすべて消失してしまう
キーファイルをどこかにバックアップをとって、DropboxのパスワードもKeepassの別にしつつ覚えたほうがいいんだろうか
皆さんどう管理してるか教えてください

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 16:58:22.74

データベースはクラウドだから良いとして
キーファイルは昔のスマホに残ってるの発掘かな
無駄なバックアップは管理ツールの意味も薄くなるからあまり取りたくない

USBか何かにおいておいても良いかも知れないけど

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 17:04:33.06

>>854
私はスマホとパソコンを同時に失うことは無いと想定し、心の平穏を得ています。

ちなみに KeePass のデータベースファイルを Dropboxに置き、キーファイルは利用していません。
KeePass のマスタパスワードは記憶しています。Dropbox は PC 2 台とスマホ 1 台で利用中。

それでも気になるなら、USB メモリに格納するとか印刷するとかした上で貸金庫とかですかね？

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 20:24:40.81

電子的クラック耐性最強の紙に手書きで重要なパスだけメモってる
俺しか知らないルールでそのまま読めないようにしている

それも失ったときのために
絶対漏らさないし忘れない黒歴史の長文の詩を元にパスワードにしたものを
一つだけ記憶してる

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 21:50:32.78

>>857
黒歴史を絶対に忘れられないって辛すぎないか

**名無しさん＠お腹いっぱい。** · 2019/02/07(木) 22:36:43.69

自分に対する戒めだね

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 03:55:46.31

PCなくした場合ってのが想像つかん
ノートPC持ち出しとか？自分はデスクトップなので紛失しようがない

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 03:58:57.48

>>860
火災とか災害とかも考慮しようぜ

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 04:14:01.90

全てを失った時用のバックアップがサーバーにあって、
そこへのパスワードをマスターパスワードと同じにしている

但し、サーバーにアクセスするには二段階認証が必要で、
その為に必要な携帯まで失っていたら手が出せなくなる

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 04:56:28.22

ガチで>>800が言ってたようなキーパス信者いるから気をつけた方が良いぞ
あれはホンマ頭おかしい……
普通はlastpassとか無難なのでいい

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 07:18:47.09

>>863
>>853

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 08:05:54.40

>>860
東日本大震災でPCと自宅NASをすべて失った知人を見てしまったからな

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 13:28:39.64

自然災害でセルフGOXの可能性あるのが悩ましいな

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 18:39:45.27

思いついたのが、何らかのハッシュ関数にKeepassのマスターパスワードにかけてそれをクラウドのパスワードにしたらいいんじゃないか？
そうすれば一個とハッシュ関数の種類を覚えてるだけで仮にローカルの端末をすべて消失してもクラウドにアクセスできるぞ
セキュリティ的にもマスターパスワードが十分に長いからハッシュは不可逆だし多分大丈夫だと思うけど

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 20:57:27.79

良さげに見える

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 23:47:56.20

ハッシュムラムラ

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 00:33:09.84

chromeに全部記憶させて、2段階認証にyubikeyで良くないか

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 03:39:18.58

>>861,865
なるほどその発想はなかった！指摘ありがとう
安全ボケ(？)してるわ…

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 05:59:41.26

PCと携帯を同時に失うと、二段階認証を設定しているサイトにアクセスできなくなる
何か対策してる?

解決案は、二段階認証する時に使ったQRコードなりの画面をキャプチャーしておいて、
パスワード管理ソフトの添付ファイルとして管理しておく
あれもパスワードの一種だからバックアップが必要という認識があればok

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 06:30:19.74

抜かれたら一発アウトじゃん

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 07:32:50.76

>>872
二段階認証にAuthyを利用してマスターパスワードを記憶
クラウド上にバックアップされる

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 07:46:42.79

amazonの二段階認証を追加してバックアップしとこうとしたら、
認証アプリがカメラ使えなくなってた
また開発者サービスが何かやらかしてるらしい

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 09:29:41.33

>>874
Authyって結構ユーザー増えてるはずだけどなかなか日本語化しないな
使用するのに問題はないけど

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 09:55:35.47

そんな一番大事なもんをクラウドに置くのにやっぱり抵抗があるのでは

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 10:24:52.09

2段階認証のデータ単独なら盗まれても問題ない
1段階目の認証データと紐付けられたら破られるけど
そこまでのリスクを考慮するかどうかだな

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 11:40:30.88

二段階認証の基本的な考えは二重化だから、
それぞれが独立してないと意味ないんだよな

何か想定していない理由で片方の認証が破られても、もう一つあるから安心
だから、>>873の指摘が正解で、二つ同時に破られるなら二重化になってない

それを辿っていくと、結局マスターパスワードが2つ必要という結論になるんだよな
でもそんなことしてる人は少ない
代わりに、二段階目はマスターパスワードと結びつけずに、失ったら取り戻せない状態にしてるか、
スマホを複数化するか、安全でない方法で管理してるかのいずれか

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 11:48:16.26

異なるマスターパスワード2つ覚えればいいじゃん
あるいはマスターパスワードと>>867のやり方を使うとか

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 12:48:26.59

二重化してる所だけ守ってもマスターパスワード漏れた時点で大惨事なんだけどね

マスターパスワードだけは漏れない、という前提で押し進めるしか無い訳で、
使用頻度の低い2つ目のマスターパスワードなんか設定したら、忘れてしまうリスクが高い

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 13:03:30.96

貸金庫にマスターパスワードを書いた紙を入れとけば？

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 14:46:48.96

2段階認証のQRコードは、vera cryptで暗号化したコンテナに入れて
それをクラウドに保存してる

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 15:09:02.82

そんな滅多に使わないような鍵を暗記しておける人はその方がいい

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 21:43:27.64

>>872
携帯は同じ番号で再発行してもらえるんじゃないの？

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 21:44:52.99

>>885
SMS認証ならそうだろうけどTOTPを失ってしまったら…ってことでしょ

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 21:45:43.33

窓際の～TOTP～♪

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 21:56:11.51

>>886
あぁそう言う事か。流れ読めてなかったスマン

**名無しさん＠お腹いっぱい。** · 2019/02/10(日) 03:05:10.47

二段階認証を無効化してくれるリカバリーコードは全部暗記してる
サイトが増えてきて最近では複雑なログインパスワードも記憶できるようになったからkeepass卒業しました

**名無しさん＠お腹いっぱい。** · 2019/02/10(日) 03:26:58.09

>>889
素敵やん

**名無しさん＠お腹いっぱい。** · 2019/02/10(日) 03:27:42.06

しゅごい

**名無しさん＠お腹いっぱい。** · 2019/02/10(日) 06:53:04.26

AIかな?

**名無しさん＠お腹いっぱい。** · 2019/02/10(日) 10:58:58.60

え、TOTPを暗算できないの？

**名無しさん＠お腹いっぱい。** · 2019/02/10(日) 12:31:10.36

無効化したら駄目だろ

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 21:58:53.64

凄く初歩的なお尋ねです。2FAのQRコードを保存していなかったのですが、改めて保存するには、いったん2FAを無効化してやり直すしか他は無いですよね?

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 22:05:52.67

保存できるのもある

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 22:15:52.11

Authyって初めて知ったけど
大丈夫なん？

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 22:29:28.55

元は知らないけど今はTwilioがやってるサービスのはず

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 22:34:25.01

googleのがバックアップできないからAuthyという人が大半だと思うけど、
キャプチャーでバックアップできるし、クラウドにバックアップしなくても済む

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 22:41:05.29

そのキャプチャーしたのをどこに保存するの？
まさかアカウントのパスワードと一緒じゃないよね

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 22:50:39.81

Google認証システムはバックアップできなくて使いづらい
Authyのクラウドバックアップは不安

って人はIIJ SmartKeyを使うといい
端末内保存で登録後のバックアップに対応してるから
https://play.google.com/store/apps/details?id=jp.ad.iij.smartkey2

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 22:51:48.61

まあ個人的には利便性重視でAuthy使ってるけど

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 22:54:00.82

バックアップする為には特殊なパスワードとか必要なの?
何のガードもなく設定をエクスポートできてしまうなら、それはそれで怖いんだけど

パスワードが必要なら、それはどうやって管理するのかという問題に戻ってしまう

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 23:01:42.93

https://blog.kaspersky.co.jp/2fa-practical-guide/21822/
カペルスキーの人はAuthy以上にYandex.Keyを進めてるな

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 23:02:57.44

BitwardenとAuthyの2つのマスターパスワードを記憶してるよ

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 23:03:33.45

ロシアだからな

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 23:06:06.05

基本はスマホで承認ボタン押すだけにして
通信不可の場合のみTOTPにすれば楽なのに

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 23:07:48.07

>>904
まあロシアの会社だし多少はね
Yandex垢のために使ってるよ
Yandex垢の場合6桁の数字じゃなくて8文字の英字で、ログインするときに「パスワードに加えて」じゃなくて「パスワードの代わりに」入力するタイプ、だから他のTOTPアプリで代用できない

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 23:30:35.94

パスワードの存在が意味を成してるのかよく分からない現状だとそういう認証も楽でええな

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 23:32:07.29

Yahooも生体認証だけの設定に変更しませんかって言ってくるな

**名無しさん＠お腹いっぱい。** · 2019/02/12(火) 07:10:42.23

>>901
もしauthyが洩れても、それだけじゃあ何も出来ないんじゃなくて?

**名無しさん＠お腹いっぱい。** · 2019/02/12(火) 07:43:10.86

そうですわよ

**名無しさん＠お腹いっぱい。** · 2019/02/12(火) 14:53:56.84

iijのスマートキーとかいうやつ
後からQRを表示できるのは確かに便利だけど
エクスポートまではできないから
数が増えてきたら乗り換えるとき一つ一つ再登録するのは怠い
やはりAuthy か適当なパスマネの内蔵2FAストレージが実用的だと思う
ちなみにAuthy以外だと
Microsoft Authenticatorも2FAのバックアップに対応してるよ
こちらは確かiCloud経由で同期される（Android版は知らん）

**名無しさん＠お腹いっぱい。** · 2019/02/12(火) 22:53:01.03

今まで何も意識せずLastpassに自動生成させて保存してたけどなんかおすすめの方法ってありますかね？

**名無しさん＠お腹いっぱい。** · 2019/02/12(火) 23:06:52.25

>>914
何も意識せずLastpassに自動生成させて保存

**名無しさん＠お腹いっぱい。** · 2019/02/12(火) 23:14:38.78

2FA要りそうなとこがamazonとgmail以外に思いつかない
銀行とかは大抵独自の何かを導入してるし

**名無しさん＠お腹いっぱい。** · 2019/02/13(水) 06:26:37.25

Yahoo, Evernote, Twitter, WordPress等々

**名無しさん＠お腹いっぱい。** · 2019/02/13(水) 06:29:09.01

パスワード管理と2FAは別々のアプリほうがいいんでないかい

**名無しさん＠お腹いっぱい。** · 2019/02/13(水) 06:30:03.00

どれも使ってないなあ
2FA使う為に導入してみるか

**名無しさん＠お腹いっぱい。** · 2019/02/13(水) 08:04:32.58

>>916
メガバンクはなぜ独自なのか？
せめてVIP ACCESSに統一して欲しい。

**名無しさん＠お腹いっぱい。** · 2019/02/13(水) 08:23:22.27

>>920
独自ソリューション(笑)を売る業者と結託して金を流してるから

**名無しさん＠お腹いっぱい。** · 2019/02/13(水) 21:01:08.66

JNBのトークンは面白い

**名無しさん＠お腹いっぱい。** · 2019/02/13(水) 23:45:44.45

>>921
その独自ソリューションが際立って良い物なら全然構わないんだが。

**名無しさん＠お腹いっぱい。** · 2019/02/13(水) 23:57:09.28

どのアプリでも使えるTOTPで済ましてる所が逆に手抜き感ある

**名無しさん＠お腹いっぱい。** · 2019/02/14(木) 00:03:29.46

そろそろYubiKey買おうかと思ったらAmazonで正規の値段で売ってるとこなくなってる

**名無しさん＠お腹いっぱい。** · 2019/02/14(木) 11:00:14.24

Type-CとNFC両対応のやつってもう出てたっけ？
昔見たときはゴツいやつとかあって嵩張りそうで諦めた記憶がある

**名無しさん＠お腹いっぱい。** · 2019/02/14(木) 16:28:41.23

年寄りでも使いやすいPW管理ソフトはあるかなあ?

**名無しさん＠お腹いっぱい。** · 2019/02/14(木) 17:14:40.62

そらあるやろ

**名無しさん＠お腹いっぱい。** · 2019/02/14(木) 22:13:13.09

>>927
孫

**名無しさん＠お腹いっぱい。** · 2019/02/15(金) 01:08:04.07

wardenて国籍どこ？

**名無しさん＠お腹いっぱい。** · 2019/02/16(土) 02:44:50.57

>>930
アメリカ

**名無しさん＠お腹いっぱい。** · 2019/02/17(日) 05:26:37.79

大阪だろｊｋ

**名無しさん＠お腹いっぱい。** · 2019/02/18(月) 00:06:16.52

大阪なら誰も使わん

**名無しさん＠お腹いっぱい。** · 2019/02/19(火) 05:32:31.29

パスワードファイルをamazonのクラウドにバックアップしてあって、
amazonは二段階認証を有効にしてある
二段階認証の為のQRコードもamazonのクラウドにある

この場合、PCとスマホを同時に失うと詰むよね
他に電話は無いとすると、QRコードを印刷しておいて持ち歩く、くらいしか無いのかな

**名無しさん＠お腹いっぱい。** · 2019/02/19(火) 06:39:58.97

>>934
2FAがauthyなら大丈夫かな

**名無しさん＠お腹いっぱい。** · 2019/02/21(木) 11:09:46.95

パスワード管理ツールの問題、セキュリティ研究者が指摘　メーカーは反論
https://www.itmedia.co.jp/enterprise/articles/1902/21/news073.html

**名無しさん＠お腹いっぱい。** · 2019/02/21(木) 11:42:42.09

>>936
実際に指摘された内容については記事中で触れられていない。使えない記事。
きちんと原典にあたれという親心なのかな？