パスワード管理ツール Part10

**名無しさん＠お腹いっぱい。** · 2020/04/02(木) 16:22:32.91

パスワード管理ツール（ソフトウェア）について語るスレです。

前スレ
パスワード管理ツール Part9
https://egg.5ch.net/test/read.cgi/software/1551079734/

**名無しさん＠お腹いっぱい。** · 2020/04/24(金) 10:36:46.56

セキュリティオタクだろ良い意味じゃなくて
パスワードとかセキュアとか突き詰めると、人間の秘匿したい感情が最高潮になって行き過ぎになるんだよ
窓や扉に何個も鍵掛けたりしちゃう
からくり屋敷みたいなもの

**名無しさん＠お腹いっぱい。** · 2020/04/24(金) 12:23:38.30

>>109
これ
やりすぎセキュリティは素人が書いてるからな

**名無しさん＠お腹いっぱい。** · 2020/04/24(金) 12:30:17.67

IIJ SmartKeyはこのスレでは人気ないの？

**名無しさん＠お腹いっぱい。** · 2020/04/24(金) 12:47:45.24

>>110
でもちゃんと役立つ情報も多いぞ
そりゃあ専門家には敵わないだろうが、そもそも専門家は説明なんてタダじゃしてくれないもの

**名無しさん＠お腹いっぱい。** · 2020/04/24(金) 13:19:13.97

人気無いどころかゴキブリのように嫌われてる

**名無しさん＠お腹いっぱい。** · 2020/04/24(金) 13:38:00.98

>>111
クローズドソースな上に昔脆弱性あったし

**名無しさん＠お腹いっぱい。** · 2020/04/24(金) 13:38:37.96

>>112
あんなの読むだけでバカが移るぞ
ありがたがってるお前も既にバカになってる

**名無しさん＠お腹いっぱい。** · 2020/04/25(土) 10:58:00.29

ならば何を読むとセキュリティの役に立つかね

**名無しさん＠お腹いっぱい。** · 2020/04/25(土) 11:11:41.78

高木浩光のTwitterや日記とか？
>>105のよりは確実に専門家だからためになるぞ

**名無しさん＠お腹いっぱい。** · 2020/04/25(土) 12:43:09.67

確かに高木浩光の日記は勉強になる

**名無しさん＠お腹いっぱい。** · 2020/04/25(土) 12:46:10.02

セキュリティ界隈の情報なら高木浩光・徳丸浩・上原哲太郎・楠正憲あたりをフォローしとけば大体間違いない

**名無しさん＠お腹いっぱい。** · 2020/04/25(土) 12:46:45.30

はぇーさんくす

2020/04/25(土) 14:37:56.98

ｱｳｳｨﾌ

**名無しさん＠お腹いっぱい。** · 2020/04/25(土) 18:05:36.35

最近は、2段階認証が標準になってきてて本当面倒だな…

**名無しさん＠お腹いっぱい。** · 2020/04/25(土) 18:57:04.52

>>122
専用アプリに表示される6桁番号を入力するみたいなタイプは面倒だね
Microsoftのやつみたいにスマホにプッシュ通知されてタップするだけとかならばいいんだけどね

**名無しさん＠お腹いっぱい。** · 2020/04/25(土) 21:04:31.97

TOTPはPCでも管理できるからいい
googleの複数の登録端末のどれからでもワンタップでOKになる奴も手間かからんからいい
yahooでことあるごとにSMS認証飛ばして番号打ち込ませるの本当嫌

**名無しさん＠お腹いっぱい。** · 2020/04/25(土) 21:31:08.49

YahooもTOTP使える
SMS認証に戻る事も無い

**名無しさん＠お腹いっぱい。** · 2020/04/25(土) 21:55:41.98

あれ専用アプリじゃなくてもTOTPキー入れればいけるんだよな

**名無しさん＠お腹いっぱい。** · 2020/04/25(土) 22:03:00.82

専用アプリ？大抵はSMSで来るんじゃないの？

**名無しさん＠お腹いっぱい。** · 2020/04/25(土) 22:15:16.30

Yahoo! JAPAN、SMSじゃなくて、普通にTOTP登録できるよ
設定するとき、あたかも専用アプリじゃないとできないように説明書きされてて、実際にQRコードをAuthyやGoogle認証システムで読み込んでもダメなんだけど、キーを打ち込めば出来る

**名無しさん＠お腹いっぱい。** · 2020/04/25(土) 22:27:43.58

それこそやりすぎセキュリティで教えてもらったわｗ

**名無しさん＠お腹いっぱい。** · 2020/04/25(土) 23:26:02.77

やっぱり信頼と実績のやりすぎセキュリティ！

**名無しさん＠お腹いっぱい。** · 2020/04/26(日) 00:09:34.59

やりすぎぃ！

**名無しさん＠お腹いっぱい。** · 2020/04/26(日) 00:10:45.15

>>125,128
いやTOTP設定してるのにSMS発行されてしまうんだよね
おま環だろうか

**名無しさん＠お腹いっぱい。** · 2020/04/26(日) 00:20:42.49

説明は参考にならない部分もある
操作方法はちょっと参考になる

**名無しさん＠お腹いっぱい。** · 2020/04/26(日) 01:57:07.00

HOTPってあんまり見ないよな

**名無しさん＠お腹いっぱい。** · 2020/04/26(日) 02:01:58.97

>>134
回数ベース？
時刻見ないでいいからYubikeyとかでも対応できるよね

**名無しさん＠お腹いっぱい。** · 2020/04/26(日) 10:30:03.00

>>124

これに通じるけど、NTTドコモもTOTP対応してくれないかな。
いちいちSMSみるのめんどい。
常にスマホが手元にあるとも限らないし。

**名無しさん＠お腹いっぱい。** · 2020/04/26(日) 11:43:32.63

2FAで、普通のQRスキャナで読み込むとか、それくらいの知恵もない奴にあれこれやらせても却って危ないだけだろ。

**名無しさん＠お腹いっぱい。** · 2020/04/26(日) 12:14:08.99

機械に疎い人間も普通に回線契約してるからな
パスワードがわからなくなってログインできないっていう電話でパンクするだろう

**名無しさん＠お腹いっぱい。** · 2020/04/26(日) 12:57:52.31

そもそも今の2段階認証って、複雑なパスワードを管理できない素人のために用意してる面が強いし、
そんな人たちがスマホアプリでTOTPなんてできるわけがない

**名無しさん＠お腹いっぱい。** · 2020/04/26(日) 13:50:20.45

>>139
そのとおりだと思うけれども
それらの人はこのスレ住民とは関係無い人達だね

**名無しさん＠お腹いっぱい。** · 2020/04/26(日) 14:48:02.56

TOTPの仕組みって10年もたずにすぐ廃れそうな気がするんだよな
セキュリティ的には良く出来てるのだろうけど、手間が多いもの
画面のQR読み込んでログインする方式が今後伸びそうな気がする

**名無しさん＠お腹いっぱい。** · 2020/04/26(日) 15:39:05.45

>>141
ロシアのYandexがやってるやつか

**名無しさん＠お腹いっぱい。** · 2020/04/26(日) 15:43:05.40

>>142
あとZoho とか法人向けのとこも

**名無しさん＠お腹いっぱい。** · 2020/04/26(日) 15:46:45.56

>>141
例えばPCのプラウザ上で何らかのサイトにログインする場合、
二段階認証時にスマホの画面をPCのカメラにかざしてログインするようなイメージですかね?
ブラウザにプラグイン等を入れてやるのかな?

スマホ上でブラウザやアプリからログインする場合はどうなんだろ

そもそもMicrosoftやGoogleのAuthenticatorがタップ一つで二段階認証できるのは自サービス向けのみでそれ以外は6桁番号が必要なのが面倒なのだけれども、
1タップを標準化するには色々ハードルがあるのかな

**名無しさん＠お腹いっぱい。** · 2020/04/26(日) 16:39:31.24

>>144
IIJがSmartKeyでやろうとしてたみたいだけど対応サービスを見たことがない

**名無しさん＠お腹いっぱい。** · 2020/04/27(月) 11:05:45.29

FIDOの生体認証と組み合わせて使えるサービスが早く普及して欲しい。

**名無しさん＠お腹いっぱい。** · 2020/04/27(月) 20:26:37.34

認証でQRコードからURL踏ませるのは全くセキュアじゃないので中国以外では普及しないかと
標準化されてるFIDOがいずれ普及すると思うけど、（特に決済で）顔を使うのは
個人情報保護の観点で問題視されてるからEUやアメリカでは普及しないと思う
決済以外の単純な認証でなら使われることは増えるかもしれない

**名無しさん＠お腹いっぱい。** · 2020/04/27(月) 20:40:55.84

生体認証はIDの方で使うのはまだいいけど
パスワードの方に使うのは変更できないハードキーになっちゃうからうまくないって話だよな

**名無しさん＠お腹いっぱい。** · 2020/04/27(月) 21:27:51.89

変更できないハードキーになりえるっていうのが最大の懸念だね
欧米で一番問題視されているのは、中国のような政府が主体となって顔認識の情報が集められ
法執行機関とも連携して行動監視と治安維持の方面でも利用されるようになってきてること

変更できないっていう特性に法執行力、それにAIカメラを使ったスマートシティのような
複合的な行動監視可能な仕組みとが組み合わされると、監視する側にとてつもない権力を
与える装置になってしまう

**名無しさん＠お腹いっぱい。** · 2020/04/27(月) 22:47:43.43

生体認証に関しては静脈認証あたりが無難なのかねえ。
中国みたいな国で生体情報と個人情報を結びつけられると同じかもしれんが
それを言ったら生体認証自体使えなくなるし。

**名無しさん＠お腹いっぱい。** · 2020/05/02(土) 00:24:51.58

最近のデジカメ高解像になったから写真に向かってピースをしたらそのピースした写真から指紋を盗まれて
指紋認証を突破できるとか…もう指紋認証は足の指にするしかないな！

**名無しさん＠お腹いっぱい。** · 2020/05/02(土) 02:33:52.19

トイレでさえケツの穴で認証するというのに

**名無しさん＠お腹いっぱい。** · 2020/05/02(土) 08:03:05.31

乳首認証のほうが近い

**名無しさん＠お腹いっぱい。** · 2020/05/02(土) 10:08:55.68

テキストファイルに各サイトのアカウントとパスワードを記録して、7-ZipでAES-256暗号化すればパスワードマネージャーと同じ……と考えています。

皆さんにお聞きしたいことがあります。

●マスターパスワードをどうしておられますか？

使用できる文字数96なら39文字のマスターパスワードを設定すれば、AESの鍵長256bitをフル活用できて、パスワードファイルそのものを盗まれても安全というのは理解できます。

しかし、ネットにアクセスするときに毎回39文字のマスタパスワードを入力するというところでやはり無理だという気がします。かといって8文字のマスターパスワードは無いのと同じ。

●パスワードファイルを保存する場所についても、どう考えておられるかお聞きしたいです。

GoogleDriveやOneDriveに保存するのと、PCのHDDに保存するのとどちらが安全なのか？

ストレージサービスなら1回のログイン試行に遅延がある（総当たり攻撃の1回の試行に時間がかかる）ので、こちらのほうが安全な気がしてきました。

ストレージサービスと手元のPCとの通信はAES-256で暗号化されているので安全のはず。

結局、ストレージサービスそのものが乗っ取られる危険と、手元のPCが乗っ取られる危険のどちらが大きいかという話になるかと思います。

**名無しさん＠お腹いっぱい。** · 2020/05/02(土) 11:22:11.75

テキストファイルを自力で暗号化する方法なんて、スマホでアクセスしにくいし、
開くたびに復号されたテキストファイルがテンポラリフォルダに作られるだろうし、
そのファイルがちゃんと自動で消されるとは限らないし、
おとなしくパスワードマネージャーを使った方が楽では

**名無しさん＠お腹いっぱい。** · 2020/05/02(土) 12:03:38.33

>>155
そこ自分がそうやってるだけということで勘弁してください。

疑問はマスターパスワードの話とパスワードファイルの置き場所です。

パスワードマネージャーを使ったときと共通する問題のはずです。

**名無しさん＠お腹いっぱい。** · 2020/05/02(土) 12:09:27.25

Enpassいつのまにかぼったくり価格なってたから選択肢から外すわ

**名無しさん＠お腹いっぱい。** · 2020/05/02(土) 13:12:10.52

テキストファイルでの管理については話の主旨じゃないのでマスターパスの管理に絞って返答すると

前提：win10 でKeepassXC使用
マスターパスワードをopenssl（win10標準で入ってる）でAES暗号化してローカルファイルに保存
マスターパスワードを開くためのパスワードには PC名+ユーザー名+PCのシリアル番号など（コマンドラインツールから取得可能な）ハードウェア情報の組み合わせ
これをスクリプト（autohotkey）で取得してマスターパス複合化、KeepassXCのダイアログにsendするまでをキー1発で自動化してる
スクリプト読まれたら方法論は解析されるけどパスワードにアクチ要素入れることで環境変わったら復号化できなくなるのでいいかなと

泥タブ（指紋認証なし） keepass2Android
Macrodroidでアプリ特定してマスターパスワードをペースト
（自宅以外の場所では簡易ダイアログを出してワンクッション置く）
こちらはPCと違いマクロ編集画面かマスターパス丸見えになるので
対策としてMacrodroidの編集画面にもパスをかける

なおこれらは入力を簡略化するためだけの措置で基本テンポラリ扱い
マスターパスワードは自力で覚えていられるものが前提

**名無しさん＠お腹いっぱい。** · 2020/05/02(土) 16:07:01.72

やっぱり1Passwordがナンバーワン

**名無しさん＠お腹いっぱい。** · 2020/05/02(土) 17:27:59.65

マスターパスワードは記憶できてバレにくい文章的なもの
スマホで使うことが多いのでパスワードマネージャーアプリの指紋認証にお世話になりっぱなし

**名無しさん＠お腹いっぱい。** · 2020/05/02(土) 18:16:49.39

>>154
どういう脅威から守りたいかによるよね
39文字までブルートフォースでパスワード解析なんて、テロリストとして捕まるレベルの犯罪犯さないとFBIでも予算降りないだろうし、家族やスマホの紛失から個人情報を守りたいなら16文字もあれば十分すぎるだろう
一方でマフィアや日本の警察に捕まった場合は自白するまで拷問されるからパスワードの強度は関係ないかもしれない

スマホなら毎回マスターキーを入力せずとも指紋認証でロック解除できるのもあるし、PCでも2要素認証できるツールを探せば楽できる仕組みはあるだろう

ファイルの保管場所も自分で分析してる通り利便性と安全性、脅威がリモートの攻撃なのか物理的な泥棒なのかを天秤にかけるしかない

どちらの質問もどういう脅威からパスワードを守りたいのかを整理する必要がある

**名無しさん＠お腹いっぱい。** · 2020/05/02(土) 21:05:44.46

成り立たない前提を立てて質問とかアホ過ぎる。
パスワードは分かってしまえば突破されるから長さが重要だけど、
パスワードの長さと暗号化の強度は関係ないよ。

**名無しさん＠お腹いっぱい。** · 2020/05/02(土) 21:20:42.92

でも英数１文字なら俺でも破れそうな気がする。

**名無しさん＠お腹いっぱい。** · 2020/05/02(土) 22:30:36.29

>>154
聞きたい事の具体的な内容が不明瞭で答えにくいとしか言えん
答えてくれてる方もいるけど出来れば他の人にわかるような質問にしてみたら？
流れの早いスレなら絶対無視されてると思うわ

ちなみにパスワードファイルが何なのかわからんが保存してるのはローカルだ
俺の環境だと手軽かつ連携もほぼないうえにセキュリティ的には一番安全だからな

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 06:06:53.76

セーフインクラウドを購入したのですが、イマイチ使いづらい。トレンドマイクロとかに変えたら使いやすくなりますかね？でも一台しか認証できなかったら困る

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 07:29:32.97

トレンドマイクロだけは止めとけ

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 10:10:56.41

情弱にも程がある。
パスワードマネージャー　おすすめ　とかで検索して片っ端から試さんかい

でもこういう人を喰いものにしてるのがトレンドマイクロなんだよな
涙出るわ

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 10:19:56.94

トレンドマイクロがそんなこと言われる時代になったのかぁ・・・・・

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 10:45:09.77

>>167
そういうあんたのおすすめは？

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 10:54:28.11

>>165
PC1台のみなら無料で使い勝手いいロボフォーム

スマホでも使うなら下記のどれかで初心者にKeePass系はすすめない
KeePass
Enpass
Bitwarden
1Password

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 11:12:38.41

>>169
情弱に答えてやる必要はない
知りたきゃ金出せ。
そのへんの雑誌でも適当に買え。

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 11:18:11.29

1Passwordが無料でおすすめ

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 11:29:52.26

>>171
バーカ笑笑笑

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 11:33:01.32

>>171
お前みたいなゴミは少しは役に立つこと書いて、人様の役に立たんかい　屑が（笑）底辺過ぎるw

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 11:33:56.01

>>173
トレンドマイクロでも使ってろよ

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 12:00:18.48

>>173
トレンドマイクロがお似合いだわ

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 12:17:20.06

包茎共、一旦落ち着くのだ

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 12:43:59.13

>>170
keepassでも取っ付きにくいのは本家くらいでXCあたりは普通に使えないかな初心者でも
最初から日本語だしプラグインとか面倒なのもないし

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 12:59:23.02

パスワードマネージャーはトレンドマイクロ一択

トレンドマイクロが商標押さえたから
他の会社や団体の「パスワードマネージャー」は
1つも存在しないからね

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 13:00:49.16

>>178
PCだけならXCは使いやすい方だと思うが
PCとスマホでアプリ統一出来ないのが欠点

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 13:15:53.48

補足でPCとスマホのデータベース同期初期設定も面倒
キーファイルあるから使ってるけど

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 14:06:26.71

合言葉管理者

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 14:22:10.11

セキュリティ的な問題はもう大丈夫だろうとLastpass使い続けてるんだけど
スマホアプリは日本語なのにMac版とweb版がいつのころからか日本語が無くなったのが気になる。
そろそろ課金切れそうだから他に移ろうと思ってるんだけど、
Lastpassからパスワード以外の情報も移行できるサービスってある？そもそも存在しない？
Dashlaneだけは試したけどパスワードのみだった。

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 15:04:16.69

やっぱり1Passwordがナンバーワン

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 15:47:16.96

Enpass買いきり一択

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 16:42:57.83

Keeperってどうなの？

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 17:05:07.50

包茎ナンバーワン

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 18:03:11.43

なんやこいつw

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 18:46:41.29

情弱包茎ナンバーワン

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 18:58:00.64

>>183
Lastpassからの移行に対応してるPMをいくつか見てみたけど、インポートはどうしたってLastpassのCSVファイルを基にする形式だから、パスワード以外のデータを移すのはどれを選んでもある程度は手作業になってしまう
Excel経由して整形し直してからとか、ほんとに地道にコピペして確認しながらやったりとかしたほうが良いよ

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 19:24:31.65

無料の1Passwordがナンバーワン！

**名無しさん＠お腹いっぱい。** · 2020/05/03(日) 22:17:54.93

KeepassXC丸一日弄ってたけどエントリーを右クリから自動入力を実行をやるとアクティブウインドウに対して入力されるからひやひやなんだが
特定のブラウザかつ特定のURLに指定できないのか

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 00:15:07.58

つ KeePassXC-Browser

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 00:21:32.08

あ、いやグローバル自動入力もそのアドオンも使えてるよ
ただ右クリから自動入力を実行すると誤爆するから気持ち悪くてもやもやする
この機能の存在意味がわからない

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 00:24:37.72

有料版含めてナンバーワンはどれだね？

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 00:34:51.15

>>181
iOSはしょうがないとして
PCと泥に関しては開発元が一緒じゃなくても連携に困ることはそうないような
XCもkeepass2androidも他所で更新された時のマージ機能あるから
マスタをonedriveなりgoogledriveなりdropboxなりのクラウドに置いて運用するぶんには同期は取れるし

ここまで書いて思ったがパスワード管理ソフト初心者ではなく
PC初心者って意味かな
ならたしかに厳しいかもしれんな

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 01:17:37.48

>>194
昔のシェアウェアやパッケージソフトなんかはインストール時にシリアルやらプロダクトキーやら入力させるものが多くてな
古くからあるパスワード管理アプリはその手のものの管理や自動入力ツールの側面が強かった
たしか操作する対象のウィンドウを限定することもできたはず

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 02:07:11.45

>>195
Bitwarden

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 02:16:13.01

>>198
そこにはLasypassのAuthenticatorの様な使いやすい2FAアプリはあるの?

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 02:16:15.64

>>198
そこにはLasypassのAuthenticatorの様な使いやすい2FAアプリはあるの?

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 02:17:08.81

ありゃすまん。なんか書き込み遅くてtimeoutしてたのに書けてた

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 02:18:12.29

☓Lasypass
○Lastpass

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 08:00:36.80

1Passwordもいいんだけど、日本語対応が弱いから、英語が苦手な初心者には厳しい

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 10:25:00.82

>>190
試して頂いたみたいですみません。ありがとうございました。どれも地道にやるしか無いのならすっきりしました
bitwardenてのおすすめしてたサイトを見たので、試してみようと思います

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 12:19:39.08

2FA
パスワード管理ツールへのアクセスはいるとしても
そこで管理しているパスワードを使っているサービスへはいらなくない？

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 14:28:00.19

もう少し役に立つこと書けよ　ゴミクズ共

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 14:30:51.41

無料の1Passwordがナンバーワン

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 14:37:21.72

>>205
2FA無しでサービスからIDパス流出すると不正ログインされる
2FA設定出来るならした方がいい

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 14:49:22.26

このスレの知的レベルがヤバいな。