パスワード管理ツール Part8

**名無しさん＠お腹いっぱい。** · 2018/04/05(木) 10:02:51.08

パスワード管理ツール（ソフトウェア）について語るスレです。

前スレ
パスワード管理ツール Part7 [無断転載禁止]c2ch.net
http://egg.5ch.net/test/read.cgi/software/1485568889/

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 07:18:47.09

>>863
>>853

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 08:05:54.40

>>860
東日本大震災でPCと自宅NASをすべて失った知人を見てしまったからな

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 13:28:39.64

自然災害でセルフGOXの可能性あるのが悩ましいな

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 18:39:45.27

思いついたのが、何らかのハッシュ関数にKeepassのマスターパスワードにかけてそれをクラウドのパスワードにしたらいいんじゃないか？
そうすれば一個とハッシュ関数の種類を覚えてるだけで仮にローカルの端末をすべて消失してもクラウドにアクセスできるぞ
セキュリティ的にもマスターパスワードが十分に長いからハッシュは不可逆だし多分大丈夫だと思うけど

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 20:57:27.79

良さげに見える

**名無しさん＠お腹いっぱい。** · 2019/02/08(金) 23:47:56.20

ハッシュムラムラ

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 00:33:09.84

chromeに全部記憶させて、2段階認証にyubikeyで良くないか

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 03:39:18.58

>>861,865
なるほどその発想はなかった！指摘ありがとう
安全ボケ(？)してるわ…

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 05:59:41.26

PCと携帯を同時に失うと、二段階認証を設定しているサイトにアクセスできなくなる
何か対策してる?

解決案は、二段階認証する時に使ったQRコードなりの画面をキャプチャーしておいて、
パスワード管理ソフトの添付ファイルとして管理しておく
あれもパスワードの一種だからバックアップが必要という認識があればok

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 06:30:19.74

抜かれたら一発アウトじゃん

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 07:32:50.76

>>872
二段階認証にAuthyを利用してマスターパスワードを記憶
クラウド上にバックアップされる

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 07:46:42.79

amazonの二段階認証を追加してバックアップしとこうとしたら、
認証アプリがカメラ使えなくなってた
また開発者サービスが何かやらかしてるらしい

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 09:29:41.33

>>874
Authyって結構ユーザー増えてるはずだけどなかなか日本語化しないな
使用するのに問題はないけど

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 09:55:35.47

そんな一番大事なもんをクラウドに置くのにやっぱり抵抗があるのでは

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 10:24:52.09

2段階認証のデータ単独なら盗まれても問題ない
1段階目の認証データと紐付けられたら破られるけど
そこまでのリスクを考慮するかどうかだな

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 11:40:30.88

二段階認証の基本的な考えは二重化だから、
それぞれが独立してないと意味ないんだよな

何か想定していない理由で片方の認証が破られても、もう一つあるから安心
だから、>>873の指摘が正解で、二つ同時に破られるなら二重化になってない

それを辿っていくと、結局マスターパスワードが2つ必要という結論になるんだよな
でもそんなことしてる人は少ない
代わりに、二段階目はマスターパスワードと結びつけずに、失ったら取り戻せない状態にしてるか、
スマホを複数化するか、安全でない方法で管理してるかのいずれか

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 11:48:16.26

異なるマスターパスワード2つ覚えればいいじゃん
あるいはマスターパスワードと>>867のやり方を使うとか

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 12:48:26.59

二重化してる所だけ守ってもマスターパスワード漏れた時点で大惨事なんだけどね

マスターパスワードだけは漏れない、という前提で押し進めるしか無い訳で、
使用頻度の低い2つ目のマスターパスワードなんか設定したら、忘れてしまうリスクが高い

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 13:03:30.96

貸金庫にマスターパスワードを書いた紙を入れとけば？

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 14:46:48.96

2段階認証のQRコードは、vera cryptで暗号化したコンテナに入れて
それをクラウドに保存してる

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 15:09:02.82

そんな滅多に使わないような鍵を暗記しておける人はその方がいい

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 21:43:27.64

>>872
携帯は同じ番号で再発行してもらえるんじゃないの？

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 21:44:52.99

>>885
SMS認証ならそうだろうけどTOTPを失ってしまったら…ってことでしょ

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 21:45:43.33

窓際の～TOTP～♪

**名無しさん＠お腹いっぱい。** · 2019/02/09(土) 21:56:11.51

>>886
あぁそう言う事か。流れ読めてなかったスマン

**名無しさん＠お腹いっぱい。** · 2019/02/10(日) 03:05:10.47

二段階認証を無効化してくれるリカバリーコードは全部暗記してる
サイトが増えてきて最近では複雑なログインパスワードも記憶できるようになったからkeepass卒業しました

**名無しさん＠お腹いっぱい。** · 2019/02/10(日) 03:26:58.09

>>889
素敵やん

**名無しさん＠お腹いっぱい。** · 2019/02/10(日) 03:27:42.06

しゅごい

**名無しさん＠お腹いっぱい。** · 2019/02/10(日) 06:53:04.26

AIかな?

**名無しさん＠お腹いっぱい。** · 2019/02/10(日) 10:58:58.60

え、TOTPを暗算できないの？

**名無しさん＠お腹いっぱい。** · 2019/02/10(日) 12:31:10.36

無効化したら駄目だろ

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 21:58:53.64

凄く初歩的なお尋ねです。2FAのQRコードを保存していなかったのですが、改めて保存するには、いったん2FAを無効化してやり直すしか他は無いですよね?

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 22:05:52.67

保存できるのもある

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 22:15:52.11

Authyって初めて知ったけど
大丈夫なん？

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 22:29:28.55

元は知らないけど今はTwilioがやってるサービスのはず

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 22:34:25.01

googleのがバックアップできないからAuthyという人が大半だと思うけど、
キャプチャーでバックアップできるし、クラウドにバックアップしなくても済む

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 22:41:05.29

そのキャプチャーしたのをどこに保存するの？
まさかアカウントのパスワードと一緒じゃないよね

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 22:50:39.81

Google認証システムはバックアップできなくて使いづらい
Authyのクラウドバックアップは不安

って人はIIJ SmartKeyを使うといい
端末内保存で登録後のバックアップに対応してるから
https://play.google.com/store/apps/details?id=jp.ad.iij.smartkey2

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 22:51:48.61

まあ個人的には利便性重視でAuthy使ってるけど

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 22:54:00.82

バックアップする為には特殊なパスワードとか必要なの?
何のガードもなく設定をエクスポートできてしまうなら、それはそれで怖いんだけど

パスワードが必要なら、それはどうやって管理するのかという問題に戻ってしまう

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 23:01:42.93

https://blog.kaspersky.co.jp/2fa-practical-guide/21822/
カペルスキーの人はAuthy以上にYandex.Keyを進めてるな

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 23:02:57.44

BitwardenとAuthyの2つのマスターパスワードを記憶してるよ

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 23:03:33.45

ロシアだからな

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 23:06:06.05

基本はスマホで承認ボタン押すだけにして
通信不可の場合のみTOTPにすれば楽なのに

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 23:07:48.07

>>904
まあロシアの会社だし多少はね
Yandex垢のために使ってるよ
Yandex垢の場合6桁の数字じゃなくて8文字の英字で、ログインするときに「パスワードに加えて」じゃなくて「パスワードの代わりに」入力するタイプ、だから他のTOTPアプリで代用できない

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 23:30:35.94

パスワードの存在が意味を成してるのかよく分からない現状だとそういう認証も楽でええな

**名無しさん＠お腹いっぱい。** · 2019/02/11(月) 23:32:07.29

Yahooも生体認証だけの設定に変更しませんかって言ってくるな

**名無しさん＠お腹いっぱい。** · 2019/02/12(火) 07:10:42.23

>>901
もしauthyが洩れても、それだけじゃあ何も出来ないんじゃなくて?

**名無しさん＠お腹いっぱい。** · 2019/02/12(火) 07:43:10.86

そうですわよ

**名無しさん＠お腹いっぱい。** · 2019/02/12(火) 14:53:56.84

iijのスマートキーとかいうやつ
後からQRを表示できるのは確かに便利だけど
エクスポートまではできないから
数が増えてきたら乗り換えるとき一つ一つ再登録するのは怠い
やはりAuthy か適当なパスマネの内蔵2FAストレージが実用的だと思う
ちなみにAuthy以外だと
Microsoft Authenticatorも2FAのバックアップに対応してるよ
こちらは確かiCloud経由で同期される（Android版は知らん）

**名無しさん＠お腹いっぱい。** · 2019/02/12(火) 22:53:01.03

今まで何も意識せずLastpassに自動生成させて保存してたけどなんかおすすめの方法ってありますかね？

**名無しさん＠お腹いっぱい。** · 2019/02/12(火) 23:06:52.25

>>914
何も意識せずLastpassに自動生成させて保存

**名無しさん＠お腹いっぱい。** · 2019/02/12(火) 23:14:38.78

2FA要りそうなとこがamazonとgmail以外に思いつかない
銀行とかは大抵独自の何かを導入してるし

**名無しさん＠お腹いっぱい。** · 2019/02/13(水) 06:26:37.25

Yahoo, Evernote, Twitter, WordPress等々

**名無しさん＠お腹いっぱい。** · 2019/02/13(水) 06:29:09.01

パスワード管理と2FAは別々のアプリほうがいいんでないかい

**名無しさん＠お腹いっぱい。** · 2019/02/13(水) 06:30:03.00

どれも使ってないなあ
2FA使う為に導入してみるか

**名無しさん＠お腹いっぱい。** · 2019/02/13(水) 08:04:32.58

>>916
メガバンクはなぜ独自なのか？
せめてVIP ACCESSに統一して欲しい。

**名無しさん＠お腹いっぱい。** · 2019/02/13(水) 08:23:22.27

>>920
独自ソリューション(笑)を売る業者と結託して金を流してるから

**名無しさん＠お腹いっぱい。** · 2019/02/13(水) 21:01:08.66

JNBのトークンは面白い

**名無しさん＠お腹いっぱい。** · 2019/02/13(水) 23:45:44.45

>>921
その独自ソリューションが際立って良い物なら全然構わないんだが。

**名無しさん＠お腹いっぱい。** · 2019/02/13(水) 23:57:09.28

どのアプリでも使えるTOTPで済ましてる所が逆に手抜き感ある

**名無しさん＠お腹いっぱい。** · 2019/02/14(木) 00:03:29.46

そろそろYubiKey買おうかと思ったらAmazonで正規の値段で売ってるとこなくなってる

**名無しさん＠お腹いっぱい。** · 2019/02/14(木) 11:00:14.24

Type-CとNFC両対応のやつってもう出てたっけ？
昔見たときはゴツいやつとかあって嵩張りそうで諦めた記憶がある

**名無しさん＠お腹いっぱい。** · 2019/02/14(木) 16:28:41.23

年寄りでも使いやすいPW管理ソフトはあるかなあ?

**名無しさん＠お腹いっぱい。** · 2019/02/14(木) 17:14:40.62

そらあるやろ

**名無しさん＠お腹いっぱい。** · 2019/02/14(木) 22:13:13.09

>>927
孫

**名無しさん＠お腹いっぱい。** · 2019/02/15(金) 01:08:04.07

wardenて国籍どこ？

**名無しさん＠お腹いっぱい。** · 2019/02/16(土) 02:44:50.57

>>930
アメリカ

**名無しさん＠お腹いっぱい。** · 2019/02/17(日) 05:26:37.79

大阪だろｊｋ

**名無しさん＠お腹いっぱい。** · 2019/02/18(月) 00:06:16.52

大阪なら誰も使わん

**名無しさん＠お腹いっぱい。** · 2019/02/19(火) 05:32:31.29

パスワードファイルをamazonのクラウドにバックアップしてあって、
amazonは二段階認証を有効にしてある
二段階認証の為のQRコードもamazonのクラウドにある

この場合、PCとスマホを同時に失うと詰むよね
他に電話は無いとすると、QRコードを印刷しておいて持ち歩く、くらいしか無いのかな

**名無しさん＠お腹いっぱい。** · 2019/02/19(火) 06:39:58.97

>>934
2FAがauthyなら大丈夫かな

**名無しさん＠お腹いっぱい。** · 2019/02/21(木) 11:09:46.95

パスワード管理ツールの問題、セキュリティ研究者が指摘　メーカーは反論
https://www.itmedia.co.jp/enterprise/articles/1902/21/news073.html

**名無しさん＠お腹いっぱい。** · 2019/02/21(木) 11:42:42.09

>>936
実際に指摘された内容については記事中で触れられていない。使えない記事。
きちんと原典にあたれという親心なのかな？

**名無しさん＠お腹いっぱい。** · 2019/02/21(木) 12:04:10.04

>>936
パスワード管理ツールでパスワードを参照した直後に実行中のメモリ覗いたら
パスワード盗めたヤッターって自慢する自称セキュリティ研究者
あのさぁ…

**名無しさん＠お腹いっぱい。** · 2019/02/21(木) 15:41:58.41

>>936
やっぱkeepassはアカンのやな……
メーカーの規模を基準にして信頼するのが良さそうだね

**名無しさん＠お腹いっぱい。** · 2019/02/21(木) 15:47:22.61

このレス見てなぜその結論になるのか

**名無しさん＠お腹いっぱい。** · 2019/02/21(木) 16:08:11.03

ポストイット最強ってことだな

**名無しさん＠お腹いっぱい。** · 2019/02/21(木) 17:11:40.61

>>936
Threat post の記事も読んだけどメモリに自由にアクセスできるならキーロガーでもなんでも仕込めるだろうし、、各ベンダーが反論してる通りちょっとツッコミずれてる気がする

**名無しさん＠お腹いっぱい。** · 2019/02/21(木) 17:31:19.41

パス知ってればハックし放題
家宅侵入すればハックし放題

**名無しさん＠お腹いっぱい。** · 2019/02/21(木) 17:50:51.57

>>939
>>853

**名無しさん＠お腹いっぱい。** · 2019/02/21(木) 18:14:24.33

>>925
代理店のソフト技研のサイトからも購入できないし、サイトとかTwitterとかソフト技研の動きがピタッと止まってる模様。
契約切れたのかな？

**名無しさん＠お腹いっぱい。** · 2019/02/21(木) 18:33:16.40

すまん、俺が悪かった、孝宏の為にも帰ってきてくれ。

**名無しさん＠お腹いっぱい。** · 2019/02/21(木) 19:53:19.60

テプラをディスプレイのベゼルに貼るのが紛失しなくていいぞ
まあLastPassで今んとこ不満はない

**名無しさん＠お腹いっぱい。** · 2019/02/21(木) 20:07:14.39

>>936
これがダメなら、ブラウザのメモリもクリップボードのメモリも覗かれるのでは

**名無しさん＠お腹いっぱい。** · 2019/02/24(日) 12:26:34.88

>>936
同じ記事を脳みそくるくるぱーが翻訳するとなぜかメモリリークの問題になった

人気の複数パスワードマネージャにメモリリークの問題、対処後に利用を
https://news.mynavi.jp/article/20190224-775615/

**名無しさん＠お腹いっぱい。** · 2019/02/24(日) 12:31:37.19

>>949
わろた

**名無しさん＠お腹いっぱい。** · 2019/02/24(日) 13:03:33.28

悲しいなあ

**名無しさん＠お腹いっぱい。** · 2019/02/24(日) 13:14:43.23

>>949
これはちょっと酷いね
記事書くのに専門家である必要はないけど、基本的な用語がわかってない
USBメモリ大臣を笑えない

**名無しさん＠お腹いっぱい。** · 2019/02/24(日) 13:49:01.79

素人なのですが>>936の話って、ハッキングされたパソコンは
パスワード盗み見されるよっていう当たり前のことをいっているにすぎないんですよね

**名無しさん＠お腹いっぱい。** · 2019/02/24(日) 15:09:18.38

パスワード管理に関してはやはり紙媒体最強だな

**名無しさん＠お腹いっぱい。** · 2019/02/24(日) 16:06:18.11

メモリの内容が漏れるんだからメモリリークだろ

**名無しさん＠お腹いっぱい。** · 2019/02/24(日) 16:35:11.67

>>954
家に平文で置いていたら火事や盗難に弱いし、
結局はそれをブラウザに入力するんだから、
キー入力やメモリ内容を監視するマルウェアが入ったら終わり

**名無しさん＠お腹いっぱい。** · 2019/02/24(日) 17:13:58.97

>>955
C言語勉強しなさい

**名無しさん＠お腹いっぱい。** · 2019/02/24(日) 17:39:25.79

冗談だけどね

あながち冗談でもなくて、平文化したパスワードを
他のプロセスのアクセスを禁止したメモリ領域に置いておけばいい訳で、
そうしてないせいで漏れる可能性が指摘されている
もし、そうしているのに外から見えてしまうなら、それは本当にメモリリーク

**名無しさん＠お腹いっぱい。** · 2019/02/24(日) 18:52:50.90

こういうのはデータリーク、データブリーチと呼ぶべきで
メモリリークと言っちゃうのは無能すぎて失笑するレベル

**名無しさん＠お腹いっぱい。** · 2019/02/24(日) 21:05:16.00

https://news.mynavi.jp/author/180/
コイツの名前覚えておくか…

**名無しさん＠お腹いっぱい。** · 2019/02/24(日) 21:07:18.95

このライターさん、技術翻訳わりとやってて、誤字が多いので有名だけど、この誤訳はいかんなぁ

**名無しさん＠お腹いっぱい。** · 2019/02/24(日) 22:48:27.69

でも誤訳指摘してもSNS上じゃ相手にされずメディアが正しいということにされるからな・・・

**名無しさん＠お腹いっぱい。** · 2019/02/24(日) 23:55:19.14

原文見ろよ・・・

ttps://www.securityevaluators.com/casestudies/password-manager-hacking/

Each password manager also attempted to scrub secrets from memory.
But residual buffers remained that contained secrets,
most likely due to memory leaks, lost memory references,
or complex GUI frameworks which do not expose internal memory management
mechanisms to sanitize secrets.

メモリ中のパスワードを原則として消しているけど、
何らかの問題があって消し切れていない場合がある、
その問題の典型例がメモリリーク、ってことだ

パスワードが漏れることをメモリリークと書いてると思ってるのはお前らだけ

これだからネットは相手にされなくなるんだよ