パスワード管理ツール Part10

**名無しさん＠お腹いっぱい。** · 2020/04/02(木) 16:22:32.91

パスワード管理ツール（ソフトウェア）について語るスレです。

前スレ
パスワード管理ツール Part9
https://egg.5ch.net/test/read.cgi/software/1551079734/

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 15:00:30.49

1Passwordがナンバーワン！1Passwordがナンバーワン！
1Passwordがナンバーワン、

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 15:13:01.83

>>203
これなー
中国方面から来たフィッシングやスパムのメールでよく見る
機械翻訳調の怪しい日本語UIが唯一残念なところ

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 15:46:02.32

>>208
そのサービスからIDとパスが流出するとしたら
そのサービスの責任だし
TOTPの番号を出すためのキーも流出してるのでは？

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 15:46:23.69

>>211
アドレスのところに住所と書いてあるし、
アプリの動作を知らない翻訳者に丸投げした感じ

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 15:53:21.60

>>158,160,161,162,164

ありがとうございます。

頂いたレスについて考えていたら遅くなりました。

まさに欲しかった情報です。

●指紋認証

指紋認証は1万人に1人の頻度で他人でも通り抜けてしまうらしいので、4桁の数字をマスターパスワード代わりに使っている状態ですね。またパスワードファイルそのものが盗まれる事態には対処不能。

●2要素認証

マスターパスワードが破られてもパスワードファイル自体が盗まれていない状態なら有効。典型的にはパスワードファイルがリモートにあって、リモートのサーバの管理権は奪われていない場合。しかしそのような仮定が置けるなら長いマスターパスワードを設定する必要もない。

●どんな脅威からどんな情報を守るかを整理

つまりパスワードマネージャーに格納するパスワードと格納しないパスワードがあると。本当に重要なものはパスワードマネージャーには格納しない。マスターパスワードは格納したパスワードを守るのに十分な程度のものを設定する。

生活で発生するあらゆるパスワードを単一のマスターパスワードで守るということはやらない。パスワードマネージャーの宣伝文句はこれなんですけどね（笑）

●自分の対策はクラッカーには読まれていないと仮定する

> スクリプト読まれたら方法論は解析される

どんな方法論でマスターパスワードやパスワードファイルを隠しているかをクラッカーに予測されているとアウト。

スパイウェアが取りあえずでもPCのシリアルナンバー等を取得して遠方に送るというのはあり得ますね。

**214** · 2020/05/04(月) 15:53:37.83

●マスターパスワードは覚える

> マスターパスワードは自力で覚えていられるものが前提
> 家族やスマホの紛失から個人情報を守りたいなら16文字もあれば十分すぎるだろう

16文字のパスワードを記憶したり毎回入力したりはかなり困難かなあと。

●ローカルとリモートはどっちが安全か？

> ちなみにパスワードファイルが何なのかわからんが保存してるのはローカルだ
> 俺の環境だと手軽かつ連携もほぼないうえにセキュリティ的には一番安全だからな

なぜ安全なのか？

と考えてみましたが、ローカルが乗っ取られたらどうせリモートも乗っ取られるから……？

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 16:00:02.90

情弱包茎の嵐（笑）

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 16:27:54.77

もうね、ヘタな考え休むに似たりとはこの事。
中途半端な理解しかない奴は、信頼できるプロの言う通りやってろ。
考えなくていいわ。

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 16:35:26.00

と知ったかぶりかますアホ

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 16:38:55.62

頭痛くなってきた

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 18:25:26.07

「オレ気づいちゃったんだよね。
テキストファイルを暗号化すればパスワードマネージャーとおなじだって（ドヤッ）」

「オレまた気づいちゃったんだよね。
2FAはパスワード管理にだけ使えば十分だって（ドヤッ）」

「最後にオレ究極の考えに達しちゃったんだよね。
クラッカーの考えの斜め上を行く対策があれば、最初から勝負にならない。
オレの独創的な対策は破られる事はないんだって（ドヤッ）」

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 19:00:37.24

>>213
1Passwordの中の人間と会話したことあるけど、たぶん外に投げずに中の人間が機械翻訳でやりくりしてる
日本語で帰ってきたメールが機械翻訳だったから

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 19:01:27.77

> 指紋認証は1万人に1人の頻度で他人でも通り抜けてしまうらしいので、
> 4桁の数字をマスターパスワード代わりに使っている状態ですね。

1人の人間が1万個の指紋を試せるわけではないので、
パスワードを1万回試すのとは強度が違う。

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 19:42:12.77

>>222
クラッキングするとき本当の指紋は要らないんじゃないですか？

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 19:42:37.86

>>221
サポートは確かに中の人が翻訳サイトでやってるっぽい。
ヘルプやFAQも基本的には英語だし、初心者にはちょっと推奨できない。

UIのほうは、バージョンアップ履歴に
Updated translations from our Crowdin translators.
などとあるから、Crowdinというサイトを使っているんだろうか。

でも、アドレスを住所としたり、メニューがぶれていたり、
日本語の表記をちゃんと検証できる体制がないんだろうなと思わせる。

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 20:15:03.75

雑魚共もう少し役に立つこと書けよ

**名無しさん＠お腹いっぱい。** · 2020/05/04(月) 21:55:10.24

ずいぶん荒れてきたなー！
昨日のアホが根に持ってスレに棲み着いてるし、テキストファイル云々の素人はご高説を垂れるし、よっぽど暇なんだな
お前らなんかわざわざクラッカーが狙う価値もねーわ（笑）

**名無しさん＠お腹いっぱい。** · 2020/05/05(火) 01:40:31.11

KeePassXC-Browserのカスタムフィールドでチェックボックスが無視されるけどどうにかならんかな

**名無しさん＠お腹いっぱい。** · 2020/05/05(火) 08:46:15.73

でもでもだっての人が誰と戦っているのか知りたい。もしかして名のあるテロリスト？
クラウドに暗号化ファイル置く人は、ストレッチ数を設定出来る実装を使ったら安心では？

**名無しさん＠お腹いっぱい。** · 2020/05/05(火) 10:08:07.58

ここはパスワード管理ツールのスレであって
何があっても絶対破られない完璧なセキュリティ運用を模索するスレではないからなあ
まあそもそもツール使わないでテキスト暗号化運用の段階でスレチだったわけだが

堅牢性と利便性のバランスを語る議論なら個人的には興味あったんだがな

**名無しさん＠お腹いっぱい。** · 2020/05/05(火) 10:15:22.39

次はエクセルを暗号化すればOKじゃね?の話題です。

**名無しさん＠お腹いっぱい。** · 2020/05/05(火) 10:45:48.32

完璧なセキュリティなんて人間には無理よな
守る側も破る側もみんな考えることは同じなんだから
考えすぎない方がいい

**名無しさん＠お腹いっぱい。** · 2020/05/05(火) 10:55:40.73

そして物理メモ帳に回帰する

**名無しさん＠お腹いっぱい。** · 2020/05/05(火) 11:56:00.25

PWマネージャ→スーパーハカー
物理メモ帳→泥棒・火事
自力記憶→拷問

一体どうすればいいんだ

**名無しさん＠お腹いっぱい。** · 2020/05/05(火) 12:05:28.86

>>233
足の裏に油性ペンで書いておく
ち○こでも可

**名無しさん＠お腹いっぱい。** · 2020/05/05(火) 12:06:33.45

>>229
なんの役にも立たん書き込みだな

**名無しさん＠お腹いっぱい。** · 2020/05/05(火) 12:25:15.41

専門家の言う通りやっておけ。
独自対策とかクソ。
秘密のやり方なら大丈夫って考えは悉く失敗してきた。
方法はバレバレだって前提で対策するのが当たり前。
独自って事は誰も検証してない。
アホみたいな穴があったりするし、
実際のところ他人が想像もつかないような独創的なものをオマエラが思いつくわけないだろ。
単純なものならすぐに悟られるし、複雑なら自分でも忘れてしまうからメモや何かの痕跡を残しちまう。

**名無しさん＠お腹いっぱい。** · 2020/05/05(火) 12:29:05.36

なんで糞スレ化が著しい

**名無しさん＠お腹いっぱい。** · 2020/05/05(火) 13:39:50.00

>>233
拷問までされるようならどのみち手遅れだろｗｗｗどこの国のスパイだよｗｗｗ

**名無しさん＠お腹いっぱい。** · 2020/05/05(火) 13:42:25.74

各国のVIP達が集まり悩むスレ

**名無しさん＠お腹いっぱい。** · 2020/05/05(火) 13:55:46.80

いつの間にか高貴なスレになったな
下級国民だから恥ずかしいわ

**名無しさん＠お腹いっぱい。** · 2020/05/05(火) 17:46:03.23

1password3年版買ったよ！
FIDO使えると思って買ったのに企業向けじゃないと使えないのね
トレンドマイクロ気になってるんだけどどうなんだろう

**名無しさん＠お腹いっぱい。** · 2020/05/06(水) 01:25:27.12

めちゃめちゃスレ加速してたからびっくりした
何があったの
さかのぼって見てみるわ

**名無しさん＠お腹いっぱい。** · 2020/05/06(水) 09:00:26.37

何もない
お馬鹿が持論を展開してただけ

**名無しさん＠お腹いっぱい。** · 2020/05/06(水) 13:21:30.84

1台のスマホにパスワード管理アプリとTOTPアプリを入れてる状態って、
結局はパスワード管理アプリにTOTPの管理もさせるのと同じ？

**名無しさん＠お腹いっぱい。** · 2020/05/06(水) 21:51:46.15

>>244
アプリが分離しているっていう点で全く違う
情報預けるクラウドがアプリごとに異なるので、一つのアプリの場合だと
クラウドから漏洩した場合にログオン可能な状態で漏洩することになる

スマホそのものを紛失したり、スマホアプリのバックアップをしている
AppleやGoogleのアカウントに侵入された場合のリスクだけを見ると
変わらないように見えるのかもしれない

**名無しさん＠お腹いっぱい。** · 2020/05/07(木) 23:37:05.11

KeePass 2.45 released - KeePass
https://keepass.info/news/n200507_2.45.html

**名無しさん＠お腹いっぱい。** · 2020/05/08(金) 01:47:48.75

>>245
たしかに、アプリのサーバー自体から漏洩したときのためには、
アプリを別々にしておくメリットはありましたね。
スマホを盗まれてロックを解除されたら、分けた意味がなくなってしまうけど。

**名無しさん＠お腹いっぱい。** · 2020/05/08(金) 09:07:40.02

スマホ盗まれたとしてもアプリのパスワードをそれぞれ別のものできるぶん強度は上がるしな

**名無しさん＠お腹いっぱい。** · 2020/05/08(金) 09:24:08.47

スマホのアプリでの暗号化って簡単に破られるものなのかな？
簡単だったらいくらパスワードかけても意味ない気がしてしまう。

**名無しさん＠お腹いっぱい。** · 2020/05/08(金) 11:41:28.65

>>248
とはいえ、指紋認証を使ってるから、
ひとつの指紋を突破されたら両方見れてしまうだろうな

**名無しさん＠お腹いっぱい。** · 2020/05/08(金) 13:43:01.47

その辺は運用上の話なので機能としてのセキュリティの低さとは別なのでは
ユーザーがその気になればセキュリティ完全無視のノーガード運用も可能だしね

**名無しさん＠お腹いっぱい。** · 2020/05/08(金) 20:35:51.54

結局どこ買えばいいのか（笑）

**名無しさん＠お腹いっぱい。** · 2020/05/08(金) 20:38:18.19

会社を買うのか(笑)

**名無しさん＠お腹いっぱい。** · 2020/05/08(金) 20:48:52.13

自分で運用しろ
問題があれば自分で一つずつ潰していけばいい

**名無しさん＠お腹いっぱい。** · 2020/05/08(金) 22:25:41.96

>>254
こういう屑が一番役に立たん

**名無しさん＠お腹いっぱい。** · 2020/05/09(土) 15:10:23.66

KeePass系のソフトでiOSだとMiniKeePassを使っていたんだが
メンテされなくなっちゃうらしいので代替を探してる
おすすめある？

**名無しさん＠お腹いっぱい。** · 2020/05/09(土) 15:28:21.11

>>256
>>101

**名無しさん＠お腹いっぱい。** · 2020/05/10(日) 02:00:11.34

>>257
案内助かる試してみる

**名無しさん＠お腹いっぱい。** · 2020/05/10(日) 03:18:20.28

iosのキーチェーン情報を抜くマルウェアがあったらしいけど、keepasiumとか自動入力する系を利用してるとこれにデータ抜かれる？

**名無しさん＠お腹いっぱい。** · 2020/05/10(日) 05:56:11.95

あーあ

**名無しさん＠お腹いっぱい。** · 2020/05/10(日) 16:20:12.20

解析しづらいと思って全角カタカナを使ってるけどパスワードって2バイト文字は弊害が出る?

**名無しさん＠お腹いっぱい。** · 2020/05/10(日) 20:29:41.10

2バイトとは限らんと思うが、エンコーディングが固定できるならいいんじゃね？

**名無しさん＠お腹いっぱい。** · 2020/05/11(月) 13:06:09.43

Google Authenticatorがやっと端末間の移行に対応したのか
端末買い換えたとき2FA再設定するのがめんどかったから嬉しい

**名無しさん＠お腹いっぱい。** · 2020/05/11(月) 15:44:03.18

マスターパスは日本語で覚えやすい単語で文章にしてるけど→略語→某国語で表記→英語で表記→記号混ぜてる
まぁPC乗っ取られたら関係ないけど辞書攻撃対策にはなるかなと思って

**名無しさん＠お腹いっぱい。** · 2020/05/11(月) 16:08:11.75

>>264
英語で表記ってのは、日本語の文章に含まれる外来語を英語の綴りにしてるってこと？

**名無しさん＠お腹いっぱい。** · 2020/05/11(月) 16:29:02.38

>>264
自分の場合はPCとAndroidでKeepassだけど
サイトのパスワードと違ってマスターパスワードはネットから辞書攻撃されるものじゃないから覚えやすいフレーズで20文字くらいの英数記号にしてるな
もちろん端末乗っ取りは想定外で

**名無しさん＠お腹いっぱい。** · 2020/05/11(月) 16:35:37.92

>>263
これは朗報やね

**名無しさん＠お腹いっぱい。** · 2020/05/12(火) 07:18:04.73

>>263
QRでエクスポートみたいだけどこれスクショとってgoogleドライブあたりに置いとけばバックアップにもなりそう？

**名無しさん＠お腹いっぱい。** · 2020/05/12(火) 11:32:01.20

>>263
https://japan.zdnet.com/article/35153534/

Authyに乗り換えたけど、
どっちの方が安全かな？

**名無しさん＠お腹いっぱい。** · 2020/05/12(火) 11:35:43.45

対応サイトとIDとパスワードを管理分けてしまうという手もあるな。

**名無しさん＠お腹いっぱい。** · 2020/05/12(火) 14:49:51.54

Microsoft Authenticatorでよくね
Google Authenticatorがエクスポートに対応したらしいからそれでもいいけど
わざわざサードパーティ使う意味が分からん
何か他にはない便利な機能があるのかね

**名無しさん＠お腹いっぱい。** · 2020/05/12(火) 14:55:44.55

>>271
移行の話が出たからバックアップ/移行機能があるAuthyの話が出たのだろうね
運用中における表示された8桁番号を転記するっていう基本機能が大きく変わったりしないのであれば大手のアプリで良い気もする

**名無しさん＠お腹いっぱい。** · 2020/05/12(火) 15:17:08.74

>>271
Authyの利点はPCとスマホ対応、複数端末で同時利用可
スマホ紛失か初期化しても端末間の移行可

欠点はUI英語で携帯電話番号必須

**名無しさん＠お腹いっぱい。** · 2020/05/12(火) 17:09:21.73

Authy側の主張
ttps://authy.com/blog/authy-vs-google-authenticator/

いろいろ書いてあるけど意味があるのは>>273やね

**名無しさん＠お腹いっぱい。** · 2020/05/12(火) 17:26:29.65

>>273
そんな程度なら他の管理ソフトと同じでしょう？

**名無しさん＠お腹いっぱい。** · 2020/05/12(火) 17:33:45.27

スマホの初期化しても移行可能というのは
つまりIDパスワード認証で復元できるってことか
あ、あとはSMSとかか
それはセキュリティ的にどうなん？
SMSの乗っ取りなんて割と簡単らしいって聞くけど...

それにどうせアカウント作るなら
わざわざアプリを分けなくてもパスマネ内蔵のTOTPでいいじゃん
PCスマホ同時利用もバックアップも一度に解決できるよ

**名無しさん＠お腹いっぱい。** · 2020/05/12(火) 18:05:16.71

ここまで書いて分からない人は
分からないままでいいのでは

**名無しさん＠お腹いっぱい。** · 2020/05/12(火) 18:09:59.33

>>271
Microsoftのやつは、iOSとAndroidの間では移行できないんじゃなかったか？

**名無しさん＠お腹いっぱい。** · 2020/05/12(火) 20:32:24.98

webauthn早く広まれ

**名無しさん＠お腹いっぱい。** · 2020/05/12(火) 20:53:36.16

>>278
それだ
確かにOS跨ぐのは無理っぽいね

**名無しさん＠お腹いっぱい。** · 2020/05/12(火) 21:30:27.76

>>263
それってLastpass Authenticator(ながっ)みたいにアカウント登録すれば自動的に新端末に反映するようになったってこと？
なら全部Googleに任せちゃってもいいかなぁ。

**名無しさん＠お腹いっぱい。** · 2020/05/12(火) 21:31:29.41

>>272
8桁じゃなくて6桁だね
こういう間違いをしながら偉そうなことを言って我ながら恥ずかしいw

**名無しさん＠お腹いっぱい。** · 2020/05/13(水) 10:19:40.07

>>280
そう考えると、Authyが一番管理しやすいように思えるけど、なにかデメリットはあるのかな

**名無しさん＠お腹いっぱい。** · 2020/05/13(水) 18:35:21.10

PCとスマホでニ段階認証が同じってのは、便利に思えて危険なのではないの
特定の単一デバイスで照合するのが前提の仕組みでしょ？　端末失くしたときに不都合って言うけど、そういうときのためにリカバリーコードがあるわけで、本末転倒な気がする

**名無しさん＠お腹いっぱい。** · 2020/05/13(水) 19:05:40.95

認証要素を増やすことと
漏洩対策は本末の関係じゃなくて別の話でしょ
トレードオフではある

**名無しさん＠お腹いっぱい。** · 2020/05/13(水) 19:15:02.76

死体をバラバラにして捨てるほど発覚する可能性が高くなる
みたいな話は聞いたことあるけど。

**名無しさん＠お腹いっぱい。** · 2020/05/13(水) 19:30:11.99

TOTPはseedさえ指定すればいくらでもトークン計算できるんだし
pinのように完全に端末紐づけのローカルパスと同じに捉えるようなもんでもないと思うんだが

**名無しさん＠お腹いっぱい。** · 2020/05/13(水) 19:44:48.55

馬鹿ばかり

**名無しさん＠お腹いっぱい。** · 2020/05/13(水) 22:20:04.73

なぜそこでバカばっかと言えないのか

**名無しさん＠お腹いっぱい。** · 2020/05/14(木) 08:09:10.96

初歩的な質問でスミマセン
KeePassXCには個別エントリーのエクスポート機能は無いんですかね?

**名無しさん＠お腹いっぱい。** · 2020/05/14(木) 13:34:57.89

バカバカまんこ！

**名無しさん＠お腹いっぱい。** · 2020/05/14(木) 14:54:43.52

ガバガバ

**名無しさん＠お腹いっぱい。** · 2020/05/18(月) 16:14:46.61

ついに10年以上使い続けたロボフォームアンインストールしたわ
KeepassXC最高だな
垢強制するゴミになったときにもっとはやく乗り換えるべきだった

**名無しさん＠お腹いっぱい。** · 2020/05/18(月) 21:35:15.91

いまだにIDMを使ってる俺もいい加減何かに乗り換えるべきか

**名無しさん＠お腹いっぱい。** · 2020/05/18(月) 21:48:53.93

チャンと紙に書いて貼っておけw

**名無しさん＠お腹いっぱい。** · 2020/05/19(火) 07:48:09.99

精度の高い生体認証が出てきてパスワードから解放される日が早く来て欲しいわ…

**名無しさん＠お腹いっぱい。** · 2020/05/19(火) 13:05:41.37

俺は手が荒れず指紋が消えないアルコール消毒が普及して欲しい

**名無しさん＠お腹いっぱい。** · 2020/05/19(火) 19:39:42.49

パスワードを置き換えるためには
指紋の更新ができるようにならないとな

**名無しさん＠お腹いっぱい。** · 2020/05/19(火) 22:48:10.59

なんでスマホの指紋認証すぐ使えなくなってしまうん…

**名無しさん＠お腹いっぱい。** · 2020/05/19(火) 23:47:58.72

>>299
通常時の指と、風呂上がってしばらくしてからの指と、乾燥してカサカサの時の指をみんな登録しておくといいぞ
これで認証エラーほぼ無くなった

**名無しさん＠お腹いっぱい。** · 2020/05/20(水) 01:11:54.38

ちょっとお前を見直したわ

**名無しさん＠お腹いっぱい。** · 2020/05/20(水) 09:54:28.55

指が湿ってる体質だからどうやっても認識しないわ

**名無しさん＠お腹いっぱい。** · 2020/05/20(水) 12:05:06.15

人によってはそんなもんなのか
4年前に設定したまま、認証できなかったことないな

**名無しさん＠お腹いっぱい。** · 2020/05/20(水) 14:16:33.22

自律神経バグってるから基本湿ってるけど
Touch IDの成功率は大体10%くらいだよ
はっきり言って全く使い物にならない
少数派なのは自覚してる

**名無しさん＠お腹いっぱい。** · 2020/05/21(木) 18:02:57.86

冬とか手袋してても解除できないし手袋にも対応して欲しいよね

**名無しさん＠お腹いっぱい。** · 2020/05/28(木) 18:07:34.60

少し前に定期的なパスワード変更不要！って総務省の方針転換あったけど、ここの住人はもう変えてない？

**名無しさん＠お腹いっぱい。** · 2020/05/28(木) 18:23:06.94

それはあれだね、サイトによるかなパスワードを変えろ、変えろ煩い所はしゃーないから変えたり
この間とあるサイトのパスワードを変えたらパスワードは数字、ローマ字の小文字と大文字を入れろとか言われてめちゃくちゃ面倒になってた…
普段、パスワードに大文字なんて入れねーし……一々大文字とかだるいやろ

まあ最近はパスワードは長さであまり無意味な長い文字だと忘れるだろうから
パスフレーズ、短い文章をパスワードにしろみたいな事言ってな……

**名無しさん＠お腹いっぱい。** · 2020/05/28(木) 18:47:35.73

Enpass
Sinew Software Systems が Enpass Technologies Inc.に
法人的な住所がインドからアメリカに

**名無しさん＠お腹いっぱい。** · 2020/05/28(木) 19:08:35.67

もうどころか、定期的に変えようと思ったことはない。
変えたくなったときだけ変える。