パスワード管理ツール Part14

**名無しさん＠お腹いっぱい。** · 2022/08/05(金) 17:23:05.97

パスワード管理ツール（ソフトウェア）について語るスレです。

前スレ
パスワード管理ツール Part13
https://egg.5ch.net/test/read.cgi/software/1652093055/

**名無しさん＠お腹いっぱい。** · 2023/04/12(水) 19:06:47.00

AIによる解読の記事あったな
メールアドレスの使いまわしは大多数がしていることだと思うから
他で流出したアドレスとパスでその人の癖が予測される
特徴のあるワードや奇偶数何桁・使用する記号の頻度やら

**名無しさん＠お腹いっぱい。** · 2023/04/12(水) 19:24:55.87

いまだにパスワードだけで管理しようって話題なのが痛々しいな

**名無しさん＠お腹いっぱい。** · 2023/04/12(水) 20:36:55.20

そうだよな、みんな脳みそにチップ植え込むべきだよな

**名無しさん＠お腹いっぱい。** · 2023/04/12(水) 20:59:11.00

現実はあらゆるサービスでIDとパス必要とされるんだから仕方がないしこれが続くだろう

**名無しさん＠お腹いっぱい。** · 2023/04/12(水) 21:11:45.87

パスキーじゃなくても、これにしろとランダムなパスワード勝手に作ってどこかにメモさせるほうがマシじゃないか？

**名無しさん＠お腹いっぱい。** · 2023/04/12(水) 21:59:05.07

>>506
多要素認証の導入が当たり前になってるのに何言ってんだ？

**名無しさん＠お腹いっぱい。** · 2023/04/12(水) 22:23:36.43

でもサイト側が多要素認証に対応してないとこもまだ多いんだよな…

**名無しさん＠お腹いっぱい。** · 2023/04/12(水) 22:36:56.62

>>507
バックアップコードを表示してログインできなくなったら使ってねっていうサイトはあるけどね。

海外のメジャーなサイトはwebauthnとかtotpに対応してるけど日本のサイトはidとパスワードだけなのがまだ多い。
JRのサイトが最近ログインするときにメールで数字を送るようになったけど、
totp使うことはできないっぽいし。

**名無しさん＠お腹いっぱい。** · 2023/04/12(水) 22:38:36.53

まぁ現実見ろってことだな

**名無しさん＠お腹いっぱい。** · 2023/04/12(水) 23:11:49.16

この流れで誰かパスワード「だけ」で管理しようとしてたか？

**名無しさん＠お腹いっぱい。** · 2023/04/14(金) 03:22:42.19

>>509
楽天市場は今もノーガード戦法だよなあ。

**名無しさん＠お腹いっぱい。** · 2023/04/14(金) 07:05:26.72

パスワード管理ツールの話だし
サイト側に設定するパスワードをどうするかなんか他所でやれよ
道具を活用出来て無さそうなニオイがプンプンするわ

**名無しさん＠お腹いっぱい。** · 2023/04/14(金) 15:11:14.30

大半のパスワードを1分以内にクラッキングできるAI「PassGAN」が登場- GIGAZINE
https://gigazine.net/news/20230412-ai-can-crack-in-1-minuites/

18文字は実質ツール推奨だよな

**名無しさん＠お腹いっぱい。** · 2023/04/14(金) 15:35:50.51

>>515
この表を見る限り1分以内にクラッキングできる"大半のパスワード"を使う人はこのスレにいないでしょうね
https://i.gzn.jp/img/2023/04/12/ai-can-crack-in-1-minuites/04.png

**名無しさん＠お腹いっぱい。** · 2023/04/14(金) 19:23:49.13

未だに英数で10桁までのサイトも結構あるんだよね。大文字加えるぐらいしかできない。

**名無しさん＠お腹いっぱい。** · 2023/04/14(金) 19:40:43.24

>>517
ジャップのサイトって、英数10桁までだったりとか、
使えない記号を勝手に決めたりとかで、
パスワードを自動生成で入力するだけなのに一苦労。
一番腹が立つのは手打ちさせるサイト。頭おかしい。

普通に記号付きのパスワードと二要素アプリに
すればいいのに。

**名無しさん＠お腹いっぱい。** · 2023/04/14(金) 22:31:24.37

ゆうちょの3つに別れた口座番号の入力欄もひどい

**名無しさん＠お腹いっぱい。** · 2023/04/15(土) 00:05:58.20

桁数制限が書いてあるだけマシだぞ
制限あるのに何桁までなのか書いてないサイトとか過去にあったからな
Amazonっていうんだけど

**名無しさん＠お腹いっぱい。** · 2023/04/15(土) 01:23:45.40

パスフレーズはAIにかかれば無力になるだろうね

**名無しさん＠お腹いっぱい。** · 2023/04/15(土) 12:41:40.36

ならないでしょ
辞書攻撃と何が違うって話

**名無しさん＠お腹いっぱい。** · 2023/04/15(土) 13:11:01.72

数ヶ月ごとにパスワード変えろってメールしてくるのもうざい

**名無しさん＠お腹いっぱい。** · 2023/04/15(土) 15:49:22.67

なら
番号順並びの4ケタ8ケタある時は末尾を1個ずら(戻)す、とか

〇 1234 → 12(4→)3

〇 12345678 → 123456(8→)7

他はｱﾙﾌｧﾍﾞｯﾄﾞ込みでないとｽﾊﾟﾑ対策で弾かれる、とかなら

〇 11I7(Iが入ってる)一見すると縦の棒線にしか見えない、とか

〇 999888SE(ｸｸｸﾊﾊﾊ･効果音)

なんかを、今適当に思い付いた

**名無しさん＠お腹いっぱい。** · 2023/04/15(土) 17:30:01.29

下四桁をyymmにするとか。2304

**名無しさん＠お腹いっぱい。** · 2023/04/16(日) 03:12:49.39

KeePassXC Audit Report - KeePassXC
https://keepassxc.org/blog/2023-04-15-audit-report/

**名無しさん＠お腹いっぱい。** · 2023/04/17(月) 12:55:31.39

>>518
これ
コピペできないのうざすぎ
コピペして忘れたとかいうアホが多いのかな

**名無しさん＠お腹いっぱい。** · 2023/04/17(月) 13:00:35.99

同じ数字でも40億桁まで入力できれば32bit程度の強度になるんじゃね

**名無しさん＠お腹いっぱい。** · 2023/04/17(月) 13:56:59.73

入力バッファどのくらい食うのソレｗ

**名無しさん＠お腹いっぱい。** · 2023/04/17(月) 17:30:33.04

>>528
パスワードが違います！
最初からやり直してください！

**名無しさん＠お腹いっぱい。** · 2023/04/17(月) 17:55:07.09

>>520
登録時は平気なのに、再ログインしようとすると実は桁数制限オーバーだか何かでパスワードが通らないサイトもある
パスワードマネージャーを使ってるから、入力ミスではないはずなのに

**名無しさん＠お腹いっぱい。** · 2023/04/17(月) 18:44:02.22

パスワードとはちょっと違うが、佐川急便の1年経ったらアカウント消去はパニクったな

**名無しさん＠お腹いっぱい。** · 2023/04/17(月) 19:20:57.32

パスワードを頭で覚えようとする勢、何なの?
おまえらがあちこちで使い回しするから、
悪用が止まらないんだよ。

ブラウザやアプリに覚えさせる方が安全だ
と気付け。どのみち二要素認証するんだから。

**名無しさん＠お腹いっぱい。** · 2023/04/17(月) 21:32:26.38

結局lastpassのように漏洩したら最後の砦がマスターパスワードだけになるからな
記憶に残せないならどこかに記してそれを管理しなきゃならなくなる

**名無しさん＠お腹いっぱい。** · 2023/04/18(火) 11:11:46.92

>>516
やはり日本語ローマ字読みは防御力高いな

**名無しさん＠お腹いっぱい。** · 2023/04/18(火) 11:28:48.74

アラビア語が最強

**名無しさん＠お腹いっぱい。** · 2023/04/18(火) 12:27:29.69

自分でも判んなくなるなら正解を知ってる奴はこの世に居なくなるな、確かに最強だわｗ

**名無しさん＠お腹いっぱい。** · 2023/04/19(水) 09:32:44.70

俺は日本語と英語を韓国語発音で、さらに短縮してローマ字にしてる

**名無しさん＠お腹いっぱい。** · 2023/04/19(水) 13:27:15.67

>>538
無意味な文字列でも桁数少ないのは

**名無しさん＠お腹いっぱい。** · 2023/04/19(水) 18:24:09.43

「ボクの考えたぱすわーどじぇねれいたぇ」は時間の無駄
破られないパスワードなど無いと思って運用した方が楽だわな

**名無しさん＠お腹いっぱい。** · 2023/04/19(水) 18:42:20.57

銀行が4桁の暗証番号ですむのはカードという鍵が必要だからだしね

**名無しさん＠お腹いっぱい。** · 2023/04/19(水) 19:16:20.02

キーファイル活用してるわ
マスターパスワードあれこれ考えるよりキーファイルを定期的に変更するほうがずっと楽

**名無しさん＠お腹いっぱい。** · 2023/04/19(水) 19:44:53.02

そいやFIDOなハードキー使ってる人いる？使用感はどんな感じ？

**名無しさん＠お腹いっぱい。** · 2023/04/19(水) 22:26:40.37

keepassxcで20文字のパスワードを生成してmy softbankのパスワードを変更。
その後にそのパスワードを使ってログインするとログインできない。
パスワードの後ろ4文字を削除して16文字のパスワードにするとログイン成功。
なんでパスワードを設定するときに16文字までのパスワードしか受け付けませんってエラーをだせないの?

**名無しさん＠お腹いっぱい。** · 2023/04/19(水) 22:51:12.03

逆に良く通ってるのが16文字目までって把握できたな

**名無しさん＠お腹いっぱい。** · 2023/04/19(水) 23:07:10.22

>>544
ソフトバンク大丈夫かよそれ

**名無しさん＠お腹いっぱい。** · 2023/04/19(水) 23:29:16.93

>>545
パスワードの最初の十数文字しか使われないことがあるとこのスレかどこかで見たことあるのと
パスワード変更前は16文字だったので後ろの文字を削りながらパスワードを試したところ
16文字まで減ったところでログインできた。

**名無しさん＠お腹いっぱい。** · 2023/04/20(木) 00:01:48.88

>>541
入力する人も録画してるし
数回失敗したらカードも回収しちゃうしね

**名無しさん＠お腹いっぱい。** · 2023/04/20(木) 00:21:30.74

スマホの指紋認証より4桁のPINの方が安全ってのが解せぬ
PINは端末固有番号と紐付けされてるからって理屈なんでしょ？
いや、端末ごと盗まれたとしたら4桁のPINより指紋の方が強固だと思うんだけど違うのかな？

**名無しさん＠お腹いっぱい。** · 2023/04/20(木) 00:40:34.54

どこから「スマホの指紋認証より4桁のPINの方が安全」って話が出たのか解せぬけど
PINは間違ってる番号は100%ブロックできるけど
生体認証は本人以外を100%はブロックできないって特徴はあるな

ttps://source.android.com/docs/security/biometric/measure?hl=ja

**名無しさん＠お腹いっぱい。** · 2023/04/20(木) 01:19:26.12

>>547
お疲れ

回数制限有ったらと思うとゾッとするお話だね
ユーザーサポートに話だけでも投げといた方が親切かも
いやまあそんなサービスに優しくしてやる筋合いないかも知れんが

**名無しさん＠お腹いっぱい。** · 2023/04/21(金) 15:26:57.78

暗号メールサービスのProtonがエンドツーエンド暗号化されたパスワードマネージャー「Proton Pass」を発表 - GIGAZINE
https://gigazine.net/news/20230421-proton-e2e-encrypted-password-manager-pass/
Protonは「悪意を持った攻撃者がハッキングなどによりパスワードを窃取した場合、基本的にすべてのProtonサービスの高度な暗号化をバイパスできてしまいます。そもそも、パスワードを適切に保護するには暗号化とセキュリティに関する高レベルの能力が必要になります。しかし、それを持ち合わせている組織はほとんどありません。我々はパスワードマネージャーの大規模な侵害によってもたらされるリスクについて常に心配してきましたが、残念なことに、最近のLastPassのハッキングにより危惧は現実のものとなっています」と語り、独自のパスワードマネージャーを立ち上げることに決めた理由を説明しています。

**名無しさん＠お腹いっぱい。** · 2023/04/22(土) 02:30:47.70

>>552
無料で制限なしで使えるならBitwardenのいい対抗になりそうだけど
セーフティーアドレス的な機能も加えるのかな？
基本機能（パスマネ機能）は無料でセーフティーアドレスは有料オプションとかなら自分的にはアリだな

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 09:10:20.80

Google Authenticator now supports Google Account synchronization
https://security.googleblog.com/2023/04/google-authenticator-now-supports.html

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 10:11:52.48

>>554
gj

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 11:26:38.18

Googleがアカウントと紐付け可能になったとITmediaの記事出てきたわ。
Googleアカウント突破されたらアウトでリスクじゃね？マスターパスワードあれば紐づけいらんと思うがどうなんだ。
紙に書いたセキュリティカードと暗号化したマスターパスワードを別々の場所に置いとけばかなり防御力高いと思うけど。

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 11:29:06.99

>>554
やった！

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 12:20:18.61

Googleのアカウントに関連づけたら、Google自体の2段階認証のコードを取り出せなくならないのか？

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 13:08:20.64

アカウント無しでも使えるね
てか肛門みたいなマークになってしまった

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 13:14:04.26

>>558
スマホ紛失するとGoogleの2段階認証のコードは取り出せなくなるから
バックアップコード保存か、2段階認証はSMSにする

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 13:25:40.93

>>560
そのへんの知識のないやつがデッドロック状態になって、クレーム連発しそう。
SMS認証とかより安全だから認証アプリを使ってるのに、本末転倒な使い方になるな。

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 21:04:49.55

twitterでyoutube gmail hacked等のキーワードで検索するとアカウントを悪い人に取られたっていうツイートがたくさんでてくる。
hacker newsでスマホが壊れた等の理由でgoogleにログイン出来なくなったていう記事を以前見たことがある。
googleアカウントをずっと使い続けることができる前提でサービスを使うのはまずいと思う。

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 21:43:18.52

3台の端末にGoogle Authenticatorを入れて自分で冗長化させてる。
アカウントに関連づけずに使えるからこそよいのに。

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 22:27:36.59

>>562
んーそれは極論じゃないかなぁ。あるいは俺が楽観的すぎるのかな？

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 22:29:13.03

>>563
Googleアカウント紐づけなしで使えるってば。

**名無しさん＠お腹いっぱい。** · 2023/04/26(水) 00:03:48.63

同期しない使い方もできるから安心しろ

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 13:45:41.91

Google Authenticatorのバックアップ機能はE2E暗号化されておらず重大なセキュリティリスクにさらされる可能性が高いことが判明
https://gigazine.net/news/20230427-google-authenticator-isnt-e2e-encrypted/

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 15:34:52.83

>>567
何を使うのが正解なんだか
MSで良いのかな

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 16:17:11.26

暗号化されてないと言ってもな
スマホからGoogleのサーバーまでの通信は暗号化されてるわけで
Googleのセキュリティが信頼できないというならクラウド同期なんて最初から使うべきではないよ

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 16:26:50.16

>>567

>2要素認証のQRコードには、ワンタイムパスワード生成用の鍵やシードが含まれていて、もしこの鍵やシードを誰かが入手した場合、同じワンタイムパスワードを生成して2要素認証を突破することができてしまいます。

鍵やシードとやらを第三者が入手できるとしたら具体的にどんなケースなんでしょうか?

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 16:41:59.68

具体的には
ネットやゲームばかりしているニートに腹を立てた親や兄弟による犯行

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 20:16:25.90

つまりアカウント紐づけは使うな。今まで通り使えで解決と理解した。いらん機能

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 20:46:34.37

アカウント紐付けでTwitter使ってた人達悲惨なことになってるもんな

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 21:34:42.78

>>570
例えば2fasのエクスポートしたjsonにはそれがあるよ
まあ言いたいのはgoogle社員とか警察やハッキングで入手されてしまうってことだね

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 22:26:47.76

totpシードよりアカウント乗っ取りしやすいメールをGoogleに任せている人がほとんどじゃないの。気にするほどではないな。

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 23:33:03.37

chromeのパスワードマネージャーを使ってる人が大量にいるからな

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 23:55:53.96

>>569
クリティカルな上方扱う場合は中間者攻撃対策もしとけって話だろ
多重対策は必須

**名無しさん＠お腹いっぱい。** · 2023/04/28(金) 02:16:36.34

やっぱり物理トークンとか物理セキリティキーが一番いいのかね

**名無しさん＠お腹いっぱい。** · 2023/04/28(金) 06:10:34.35

>>578
興味あるけど専用スレってないんかな

**名無しさん＠お腹いっぱい。** · 2023/04/28(金) 07:59:53.19

なんで、Google自体の2要素認証をSMS認証に下げてまで、
認証アプリをアカウントに紐づけたい奴が多いんだ？

**名無しさん＠お腹いっぱい。** · 2023/04/28(金) 08:29:38.71

SMS認証って少し前に無断乗っ取りのニュース無かったっけ？
どこにリスク感じるかはひとによるって事じゃないかな
アカウント紐付けはリスクもあるけど利便性は高いしね
スマホ毎年変える人とかもいるし
たいした手間では無いけど認証アプリの移行だけ流れ違うから手順的に纏めたいって人もいるでしょ

**名無しさん＠お腹いっぱい。** · 2023/04/28(金) 09:23:57.34

TwitterだっけSMS認証を廃止したのは

**名無しさん＠お腹いっぱい。** · 2023/04/28(金) 09:29:44.67

廃止じゃなくて有料化

**名無しさん＠お腹いっぱい。** · 2023/04/28(金) 09:34:29.59

ああ思い出した
業者がSMS通信費をBOTアカウントを使って稼いでいてイーロンがぶちぎれたやつか

**名無しさん＠お腹いっぱい。** · 2023/04/28(金) 19:22:46.90

無料は怖くて使わない。

**名無しさん＠お腹いっぱい。** · 2023/04/28(金) 23:05:53.63

多くの人にとってセキュリティより利便性のほうが重要だから

**名無しさん＠お腹いっぱい。** · 2023/05/02(火) 17:41:07.27

chromeの拡張機能に入れた1passwordってパスワードも2FAも設定できないんですか？

**名無しさん＠お腹いっぱい。** · 2023/05/04(木) 01:20:34.03

あ、パスワードはかかる
信頼されたデバイスやブラウザー拡張機能からログインするときは2FAにできないんですか？

**名無しさん＠お腹いっぱい。** · 2023/05/05(金) 12:39:01.07

Keeを使ってて、openrecのサイトで自動入力させたいけどURLが判らない
どうやったら調べられる?
そもそもポップアップは対応できない?

**名無しさん＠お腹いっぱい。** · 2023/05/05(金) 15:15:11.71

firefox使え

**名無しさん＠お腹いっぱい。** · 2023/05/05(金) 22:16:30.47

結局Authyとビットワーデンが最強だよ。確実に完璧への階段を上っている

**名無しさん＠お腹いっぱい。** · 2023/05/05(金) 22:34:52.82

Authyとビットワーデンはあのやりすぎセキュリティさんのオススメですからね

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 05:46:55.82

嫌な性格してるね

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 10:51:19.79

まぁ身の丈に合ったセキュリティサービスと運用をしてれば問題無いんだけどね
ココの人は身の丈に合ってないのが殆どだろ

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 10:57:27.86

物理セキュリティキーを扱ったスレってどこかにあるかな。

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 13:01:03.54

物理セキュリティキーってなんですか？

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 13:40:11.82

こういうやつー
https://k-tai.watch.impress.co.jp/docs/column/todays_goods/1158600.html

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 13:56:47.96

こんなのあるんだ
盗難と紛失が怖いから自分は絶対使わないだろうな

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 16:28:40.09

盗難紛失があったら無効にすれば済む話だろ
ホンマヤバいな

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 18:37:18.42

セキュリティキーなしでログインできて無効化できたら意味ないやん

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 19:02:34.91

Apple IDはマジで詰むらしいね。その備えなのか作成時には物理セキュリティキーが2つ要求される

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 19:40:52.27

他は知らんけど、yubicoはもしもに備えてスペアキーの用意を推奨してるね