パスワード管理ツール Part14

**名無しさん＠お腹いっぱい。** · 2022/08/05(金) 17:23:05.97

パスワード管理ツール（ソフトウェア）について語るスレです。

前スレ
パスワード管理ツール Part13
https://egg.5ch.net/test/read.cgi/software/1652093055/

**名無しさん＠お腹いっぱい。** · 2023/04/21(金) 15:26:57.78

暗号メールサービスのProtonがエンドツーエンド暗号化されたパスワードマネージャー「Proton Pass」を発表 - GIGAZINE
https://gigazine.net/news/20230421-proton-e2e-encrypted-password-manager-pass/
Protonは「悪意を持った攻撃者がハッキングなどによりパスワードを窃取した場合、基本的にすべてのProtonサービスの高度な暗号化をバイパスできてしまいます。そもそも、パスワードを適切に保護するには暗号化とセキュリティに関する高レベルの能力が必要になります。しかし、それを持ち合わせている組織はほとんどありません。我々はパスワードマネージャーの大規模な侵害によってもたらされるリスクについて常に心配してきましたが、残念なことに、最近のLastPassのハッキングにより危惧は現実のものとなっています」と語り、独自のパスワードマネージャーを立ち上げることに決めた理由を説明しています。

**名無しさん＠お腹いっぱい。** · 2023/04/22(土) 02:30:47.70

>>552
無料で制限なしで使えるならBitwardenのいい対抗になりそうだけど
セーフティーアドレス的な機能も加えるのかな？
基本機能（パスマネ機能）は無料でセーフティーアドレスは有料オプションとかなら自分的にはアリだな

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 09:10:20.80

Google Authenticator now supports Google Account synchronization
https://security.googleblog.com/2023/04/google-authenticator-now-supports.html

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 10:11:52.48

>>554
gj

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 11:26:38.18

Googleがアカウントと紐付け可能になったとITmediaの記事出てきたわ。
Googleアカウント突破されたらアウトでリスクじゃね？マスターパスワードあれば紐づけいらんと思うがどうなんだ。
紙に書いたセキュリティカードと暗号化したマスターパスワードを別々の場所に置いとけばかなり防御力高いと思うけど。

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 11:29:06.99

>>554
やった！

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 12:20:18.61

Googleのアカウントに関連づけたら、Google自体の2段階認証のコードを取り出せなくならないのか？

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 13:08:20.64

アカウント無しでも使えるね
てか肛門みたいなマークになってしまった

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 13:14:04.26

>>558
スマホ紛失するとGoogleの2段階認証のコードは取り出せなくなるから
バックアップコード保存か、2段階認証はSMSにする

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 13:25:40.93

>>560
そのへんの知識のないやつがデッドロック状態になって、クレーム連発しそう。
SMS認証とかより安全だから認証アプリを使ってるのに、本末転倒な使い方になるな。

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 21:04:49.55

twitterでyoutube gmail hacked等のキーワードで検索するとアカウントを悪い人に取られたっていうツイートがたくさんでてくる。
hacker newsでスマホが壊れた等の理由でgoogleにログイン出来なくなったていう記事を以前見たことがある。
googleアカウントをずっと使い続けることができる前提でサービスを使うのはまずいと思う。

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 21:43:18.52

3台の端末にGoogle Authenticatorを入れて自分で冗長化させてる。
アカウントに関連づけずに使えるからこそよいのに。

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 22:27:36.59

>>562
んーそれは極論じゃないかなぁ。あるいは俺が楽観的すぎるのかな？

**名無しさん＠お腹いっぱい。** · 2023/04/25(火) 22:29:13.03

>>563
Googleアカウント紐づけなしで使えるってば。

**名無しさん＠お腹いっぱい。** · 2023/04/26(水) 00:03:48.63

同期しない使い方もできるから安心しろ

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 13:45:41.91

Google Authenticatorのバックアップ機能はE2E暗号化されておらず重大なセキュリティリスクにさらされる可能性が高いことが判明
https://gigazine.net/news/20230427-google-authenticator-isnt-e2e-encrypted/

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 15:34:52.83

>>567
何を使うのが正解なんだか
MSで良いのかな

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 16:17:11.26

暗号化されてないと言ってもな
スマホからGoogleのサーバーまでの通信は暗号化されてるわけで
Googleのセキュリティが信頼できないというならクラウド同期なんて最初から使うべきではないよ

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 16:26:50.16

>>567

>2要素認証のQRコードには、ワンタイムパスワード生成用の鍵やシードが含まれていて、もしこの鍵やシードを誰かが入手した場合、同じワンタイムパスワードを生成して2要素認証を突破することができてしまいます。

鍵やシードとやらを第三者が入手できるとしたら具体的にどんなケースなんでしょうか?

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 16:41:59.68

具体的には
ネットやゲームばかりしているニートに腹を立てた親や兄弟による犯行

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 20:16:25.90

つまりアカウント紐づけは使うな。今まで通り使えで解決と理解した。いらん機能

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 20:46:34.37

アカウント紐付けでTwitter使ってた人達悲惨なことになってるもんな

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 21:34:42.78

>>570
例えば2fasのエクスポートしたjsonにはそれがあるよ
まあ言いたいのはgoogle社員とか警察やハッキングで入手されてしまうってことだね

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 22:26:47.76

totpシードよりアカウント乗っ取りしやすいメールをGoogleに任せている人がほとんどじゃないの。気にするほどではないな。

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 23:33:03.37

chromeのパスワードマネージャーを使ってる人が大量にいるからな

**名無しさん＠お腹いっぱい。** · 2023/04/27(木) 23:55:53.96

>>569
クリティカルな上方扱う場合は中間者攻撃対策もしとけって話だろ
多重対策は必須

**名無しさん＠お腹いっぱい。** · 2023/04/28(金) 02:16:36.34

やっぱり物理トークンとか物理セキリティキーが一番いいのかね

**名無しさん＠お腹いっぱい。** · 2023/04/28(金) 06:10:34.35

>>578
興味あるけど専用スレってないんかな

**名無しさん＠お腹いっぱい。** · 2023/04/28(金) 07:59:53.19

なんで、Google自体の2要素認証をSMS認証に下げてまで、
認証アプリをアカウントに紐づけたい奴が多いんだ？

**名無しさん＠お腹いっぱい。** · 2023/04/28(金) 08:29:38.71

SMS認証って少し前に無断乗っ取りのニュース無かったっけ？
どこにリスク感じるかはひとによるって事じゃないかな
アカウント紐付けはリスクもあるけど利便性は高いしね
スマホ毎年変える人とかもいるし
たいした手間では無いけど認証アプリの移行だけ流れ違うから手順的に纏めたいって人もいるでしょ

**名無しさん＠お腹いっぱい。** · 2023/04/28(金) 09:23:57.34

TwitterだっけSMS認証を廃止したのは

**名無しさん＠お腹いっぱい。** · 2023/04/28(金) 09:29:44.67

廃止じゃなくて有料化

**名無しさん＠お腹いっぱい。** · 2023/04/28(金) 09:34:29.59

ああ思い出した
業者がSMS通信費をBOTアカウントを使って稼いでいてイーロンがぶちぎれたやつか

**名無しさん＠お腹いっぱい。** · 2023/04/28(金) 19:22:46.90

無料は怖くて使わない。

**名無しさん＠お腹いっぱい。** · 2023/04/28(金) 23:05:53.63

多くの人にとってセキュリティより利便性のほうが重要だから

**名無しさん＠お腹いっぱい。** · 2023/05/02(火) 17:41:07.27

chromeの拡張機能に入れた1passwordってパスワードも2FAも設定できないんですか？

**名無しさん＠お腹いっぱい。** · 2023/05/04(木) 01:20:34.03

あ、パスワードはかかる
信頼されたデバイスやブラウザー拡張機能からログインするときは2FAにできないんですか？

**名無しさん＠お腹いっぱい。** · 2023/05/05(金) 12:39:01.07

Keeを使ってて、openrecのサイトで自動入力させたいけどURLが判らない
どうやったら調べられる?
そもそもポップアップは対応できない?

**名無しさん＠お腹いっぱい。** · 2023/05/05(金) 15:15:11.71

firefox使え

**名無しさん＠お腹いっぱい。** · 2023/05/05(金) 22:16:30.47

結局Authyとビットワーデンが最強だよ。確実に完璧への階段を上っている

**名無しさん＠お腹いっぱい。** · 2023/05/05(金) 22:34:52.82

Authyとビットワーデンはあのやりすぎセキュリティさんのオススメですからね

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 05:46:55.82

嫌な性格してるね

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 10:51:19.79

まぁ身の丈に合ったセキュリティサービスと運用をしてれば問題無いんだけどね
ココの人は身の丈に合ってないのが殆どだろ

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 10:57:27.86

物理セキュリティキーを扱ったスレってどこかにあるかな。

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 13:01:03.54

物理セキュリティキーってなんですか？

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 13:40:11.82

こういうやつー
https://k-tai.watch.impress.co.jp/docs/column/todays_goods/1158600.html

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 13:56:47.96

こんなのあるんだ
盗難と紛失が怖いから自分は絶対使わないだろうな

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 16:28:40.09

盗難紛失があったら無効にすれば済む話だろ
ホンマヤバいな

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 18:37:18.42

セキュリティキーなしでログインできて無効化できたら意味ないやん

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 19:02:34.91

Apple IDはマジで詰むらしいね。その備えなのか作成時には物理セキュリティキーが2つ要求される

**名無しさん＠お腹いっぱい。** · 2023/05/06(土) 19:40:52.27

他は知らんけど、yubicoはもしもに備えてスペアキーの用意を推奨してるね

**名無しさん＠お腹いっぱい。** · 2023/05/08(月) 12:58:46.12

キーファイルの入ったUSBメモリでいいんじゃないの

**名無しさん＠お腹いっぱい。** · 2023/05/08(月) 19:38:31.48

>>603
何事も身の丈にあった（仕組みが知解できる範囲で）管理をするのが最適だ

**名無しさん＠お腹いっぱい。** · 2023/05/08(月) 20:10:32.54

いつ落とすか判らないスマホと同列で考えちゃうんだよな

**名無しさん＠お腹いっぱい。** · 2023/05/10(水) 14:25:03.05

スマホは常に持ち歩くし紛失リスクとか機種変での移行失敗リスクとか考えると
物理のセキリティーキーの方がいいかもな
ただ少し値段が高いのとパスキーにしろ二段階認証にしろスマホ前提でスマホ認証がメジャーだから
いつまでサポートされるのかってのもあるのと
物理のセキリティキーはスマホでログインする時が面倒かなってもあるな…

**名無しさん＠お腹いっぱい。** · 2023/05/10(水) 17:50:42.73

スマホのほうが紛失リスク低いと思うんだが
落としても場所わかるし

**名無しさん＠お腹いっぱい。** · 2023/05/10(水) 18:18:15.59

パソコンはそもそも落とさない

**名無しさん＠お腹いっぱい。** · 2023/05/10(水) 18:18:22.89

引きこもり最強

**名無しさん＠お腹いっぱい。** · 2023/05/11(木) 19:19:33.81

デスクトップパソコンは家の外に落とさないだろ

**名無しさん＠お腹いっぱい。** · 2023/05/12(金) 00:20:35.96

ノートPCなら外で紛失する奴いるじゃん

**名無しさん＠お腹いっぱい。** · 2023/05/12(金) 01:04:57.94

その糞PCを窓から投げ捨てろ
この言葉でよくPCが落ちてるよ

**名無しさん＠お腹いっぱい。** · 2023/05/12(金) 09:32:09.94

物理キーをチェーンでつないで末端を体に埋め込めばよし

**名無しさん＠お腹いっぱい。** · 2023/05/12(金) 20:08:42.33

てかNFCかなんかにして手に埋め込んだチップ使わせて欲しいよね

**名無しさん＠お腹いっぱい。** · 2023/05/12(金) 20:16:59.19

そうしたらWhat you areとWhat you areになるわけで多要素の意味なくなるだろ

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 10:14:35.00

虹彩認証はよ

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 10:50:46.47

目を怪我して詰む

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 11:07:31.67

おまえはいつもそうだ
指紋認証で五指を切り落とされたり顔認証で首を切り落とされた後を考えるのは心配性が過ぎる

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 11:31:48.91

言えてる。何でもいいからいちゃもんつけたいだけのやつっているよなぁ。あまねく可能性を満たす必要なんてないのにね

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 11:42:22.84

虹彩でしか認証できなくて、それに全てを託すのはリスクがありすぎる
だから別の手段も用意しておく
で、そっちのセキュリティが低いと全体のセキュリティも低くなる

結局、虹彩は攻撃の困難さではなく手軽さで採用されているに過ぎない

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 11:48:01.36

「結局」の前後で意味が繋がらないのですが。

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 11:52:33.18

最終的には日本だとマイナンバーカードのID認証になりそうw

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 11:53:01.26

ICか

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 12:10:38.85

家の鍵は落としてもどのドアが開くのか判らないので困るだけだけど、
マイナンバーカードは個人情報が全部書いてある

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 12:11:23.24

>>620
他人がいるところでPIN打つ機会を減らせるのでセキュリティはUP

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 12:16:31.33

>>624
考えがおかしいなあ
鍵は知ってる人が拾う可能性があるし状況によっては家の前で落とす

マイナンバーカードの数字は職場にも提出するような大した秘密ではない情報
本当の秘密の情報は暗証番号を入れないと呼び出せない
しかも数回失敗するとロックされてしまう
マイナンバーカード使ったことないのかな？

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 12:35:51.89

>>624
俺のマイナンバーカード見ても父親が誰とかわからないけどどの辺が全部？

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 15:13:04.52

>>620
結局別の手段も考慮するなら
>>617
これの詰むって話は言い掛かりって事だね

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 15:25:25.69

>>628
たしかにロジックがおかしいな
結局、マイナンバーカードも虹彩も逆張りしてるだけか

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 15:59:38.64

他の手段を用意しなければ詰むし、
用意すればセキュリティは下がる
好きな方を選べ

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 16:16:43.61

>>630
他の手段を用意しないで使える虹彩認証は無い

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 17:35:16.22

最強の代替オプションは携帯電話番号みたいに実店舗で本人確認だろうな

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 17:44:20.00

GW前だけどアパートに警察官がやってきて
「GW中の予定を聞かせてもらってもよろしいですか」と
正直に帰省すると答えたんだが後から怖くなってきた

あれは本当に警察官だったのか、空き巣のコスプレじゃなかったのか
警察官を証明するものってなんだろう

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 19:02:19.10

>>633
警察手帳の写真と名前、階級かな

**名無しさん＠お腹いっぱい。** · 2023/05/13(土) 19:53:27.95

偽警官はそのくらい用意してるだろ
その場で電話でもして確認しないと何も判らない

**名無しさん＠お腹いっぱい。** · 2023/05/14(日) 20:28:15.74

最近は会社で使っているパスワードは
数字英大文字小文字記号4種類混合で最低14文字、20文字以上推奨、1～3ヶ月おきに変更
これを5つ覚える必要あり
パスワード管理ソフトなどは禁止でとてもきつい
メモも禁止だけどスマホにメモしている
30秒手を止めたらスクリーンロックでパスワード再入力だし

**名無しさん＠お腹いっぱい。** · 2023/05/14(日) 21:08:21.70

>>635
その分罪も重くなるけどそこまでするってどういう人なんだろう

**名無しさん＠お腹いっぱい。** · 2023/05/14(日) 21:41:42.14

パスワード管理ソフトが禁止というより、フリーソフトは全部禁止だな

**名無しさん＠お腹いっぱい。** · 2023/05/14(日) 21:42:18.90

>>636
どうしてパスワード管理ソフトが禁止されいるんですか?
頻繁にネットに繋げていろんなアプリを動かしているスマホに暗号化せずにメモするより、パスワード管理ソフトを使うほうが安全な気がするけど。

**名無しさん＠お腹いっぱい。** · 2023/05/14(日) 21:49:59.16

PCにログインしないと見れないテキストファイルに書いとけばいいんだよ
ログイン用のだけは暗記してどこにも書かない

**名無しさん＠お腹いっぱい。** · 2023/05/14(日) 23:45:01.15

>>636
今時パスワードを定期変更させる会社なんかないだろ
ぼくのかんがえたしゃないるぅるだろうな

**名無しさん＠お腹いっぱい。** · 2023/05/15(月) 00:20:28.93

会社として決めてなくても、パスワードが3ヶ月で無効になって、
過去5回分のパスワードは記憶しているから同じものは設定できない

**名無しさん＠お腹いっぱい。** · 2023/05/15(月) 00:42:32.89

パスワードを変えるか、会社を変えるか

**名無しさん＠お腹いっぱい。** · 2023/05/15(月) 00:55:26.77

まあ、わざとダミーのパスワード変更を5回やって、同じパスワードを設定し続けてるけどなー

**名無しさん＠お腹いっぱい。** · 2023/05/15(月) 18:10:57.15

KeePassXC 2.7.5 released

**名無しさん＠お腹いっぱい。** · 2023/05/15(月) 21:24:28.93

会社の上の人間は複雑なルールを決めてセキュリティが万全になったと思っているが
現場の人間はパスワードを覚えてられないのでどこかでズルしてしまい
結局セキュリティが低下してしまうというよくあるパターンだね。
パスワード管理ソフトやセキュリティキーなどをうまく使って
簡単だけどセキュリティがバッチリな方法を探すほうがいいんでない?

**名無しさん＠お腹いっぱい。** · 2023/05/15(月) 21:40:08.81

ネット銀行とかもな
あなたは3ヶ月パスワードを変更していませんパスワードを変更しますか?
と頻繁に聞いてくる

あんな乱数みたいなパスワードが突破される訳ないんだよ
定期的に変更するメリットなんか何もない

**名無しさん＠お腹いっぱい。** · 2023/05/16(火) 00:38:15.59

>>647
それとパスワード管理ツールとなんにも関係が無いから他所でやれよ
いい加減しょうも無いことで荒らすなよ

**名無しさん＠お腹いっぱい。** · 2023/05/16(火) 13:45:30.27

パスワードレス認証技術「パスキー」は速い、安全、便利～Googleが新データでアピール
https://forest.watch.impress.co.jp/docs/news/1500861.html

**名無しさん＠お腹いっぱい。** · 2023/05/16(火) 13:57:21.80

そして全てが破られる最悪の事態に

**名無しさん＠お腹いっぱい。** · 2023/05/16(火) 18:18:22.92

>>649
>パスワードによる認証成功率は平均13.8％だったが、

みんな7回に6回はパスワード打ち間違ってたんだ・・・