パスワード管理ツール Part14

**名無しさん＠お腹いっぱい。** · 2022/08/05(金) 17:23:05.97

パスワード管理ツール（ソフトウェア）について語るスレです。

前スレ
パスワード管理ツール Part13
https://egg.5ch.net/test/read.cgi/software/1652093055/

**名無しさん＠お腹いっぱい。** · 2023/05/17(水) 21:42:08.38

>>651
フォントが悪い
1,l,I,|　←これ誰も見分けつけられない

**名無しさん＠お腹いっぱい。** · 2023/05/17(水) 21:50:45.48

お札のアルファベットはIとOを使っていない

別にこんなもん間違っても誰も困らないけど

**名無しさん＠お腹いっぱい。** · 2023/05/18(木) 07:17:05.54

>>652
パスワードを見て手で打ち込むという行動がすごい

**名無しさん＠お腹いっぱい。** · 2023/05/18(木) 07:45:13.99

このスレのクオリティの低さを物語ってる

**名無しさん＠お腹いっぱい。** · 2023/05/18(木) 07:47:41.19

>>652
数字のイチ、小文字のエル、大文字のアイ、記号は名前がわからん

源暎モノコード最高

**名無しさん＠お腹いっぱい。** · 2023/05/18(木) 09:28:36.38

>>656
記号の読み方
https://www602.math.ryukoku.ac.jp/Prog1/charnames.html

記号/符号の種類・名称・読み方ｰ約物など
https://www.benricho.org/symbol/kigou_01.html

**名無しさん＠お腹いっぱい。** · 2023/05/18(木) 09:40:46.78

記号の縦棒、パイプと読んでたけど日本語でも英語でも違ってたっぽい。はずかしい、、、むかーし誰かに教わったんだが騙されたかなｗ

**名無しさん＠お腹いっぱい。** · 2023/05/18(木) 10:14:42.65

シェルに使う記号の意味としてはパイプだから間違いではないんじゃない

**名無しさん＠お腹いっぱい。** · 2023/05/18(木) 10:17:17.06

**名無しさん＠お腹いっぱい。** · 2023/05/18(木) 10:26:09.93

UDデジタル教科書体好きなんだけど 1Il 0Oあたりの見分け全くつかなくて困る

**名無しさん＠お腹いっぱい。** · 2023/05/18(木) 10:39:35.75

見分ける必要がある時はconsolas
普段は文脈で判断できるのでMeiryoKe

**名無しさん＠お腹いっぱい。** · 2023/05/18(木) 12:24:38.82

>>654
データ漏洩を防ぐには紙に印刷しておくのが最強だからな

**名無しさん＠お腹いっぱい。** · 2023/05/18(木) 12:33:44.80

紙は取られたり盗み見られたりするだろ
管理ツールの中だけ入れて、見るには脳内にしか無いパスワードを使うのが最強

**名無しさん＠お腹いっぱい。** · 2023/05/18(木) 12:46:34.96

脳内最強はよっぽど記憶力が優れてるんじゃなければ
桁数が少なくなったり使い回し（ベース＋前後に数文字パターンも含む）になって
結局ツールや紙を使うよりよっぽど脆弱になるだけだと思うなー

**名無しさん＠お腹いっぱい。** · 2023/05/18(木) 13:06:26.22

覚えるのは1つだから使いまわしとか関係ない
ネット上に置く訳でもないから家族や同僚に総当りされてもたかが知れてる
数字や記号も含めたランダムの8文字程度で十分
この一つだけを根性で覚えて絶対に誰にも明かさないしどこにも記録しない

**名無しさん＠お腹いっぱい。** · 2023/05/18(木) 14:01:11.44

>>659-660
！
たしかにシステムやってる人に教わったわ。AまたはBみたいな話の流れで。ありがとー

**名無しさん＠お腹いっぱい。** · 2023/05/19(金) 15:37:11.69

B8 GC( q9 QOo0 I1l ir mn Ss Uuv Ww Xx Zz
並べると見分けつくけど小さい画面でランダム英数字表示されると見分けるのが難しくなる

**名無しさん＠お腹いっぱい。** · 2023/05/19(金) 15:41:24.75

ランダム生成したパスワードをプリントアウトして現場に持っていって、
全然通らないから諦める、という目に実際に遭遇した

別に文字の種類を混ぜる必要は無いんだよな
長ささえ長くすれば十分なので、英小文字のみ20文字とかでもいい
入力しやすく間違いにくく強度もある

**名無しさん＠お腹いっぱい。** · 2023/05/19(金) 15:50:00.90

セキュリティが落ちるものの、パスワード自動生成でよく似た文字は除外というオプション設定はあるね

**名無しさん＠お腹いっぱい。** · 2023/05/19(金) 17:56:58.81

数字も混ぜなきゃいかんとか糞ルール押し付けてくるサービスもあるしな

**名無しさん＠お腹いっぱい。** · 2023/05/19(金) 18:08:44.13

3種類全部混ぜてないと通らないんだよな

あれは、お前らアルファベットはどうせ何かの単語だろという前提がある
単語だけの組み合わせは恐ろしくセキュリティが下がるので、その対策に過ぎない

**名無しさん＠お腹いっぱい。** · 2023/05/19(金) 19:18:35.47

フリーのパスワード管理ツール「KeePass」に脆弱性、マスターパスワードを復元される
https://forest.watch.impress.co.jp/docs/news/1501981.html

>この問題は、6月初旬にリリース予定の「KeePass 2.54」で修正される見込み。

**名無しさん＠お腹いっぱい。** · 2023/05/19(金) 19:28:01.89

>>673
これも忘れないで下さい

> 　概念実証ツールの作者によると、本脆弱性は少なくとも以下のアプリには影響しない。

KeePassXC
Strongbox
KeePass 1.X

**名無しさん＠お腹いっぱい。** · 2023/05/19(金) 20:44:43.89

>>673
キーファイル貫通するんか・・・・・

**名無しさん＠お腹いっぱい。** · 2023/05/19(金) 21:05:03.80

キーファイルなんか何に使うんだろと思ったけど、こういう時には強いな

**名無しさん＠お腹いっぱい。** · 2023/05/19(金) 21:30:31.25

テキストボックス由来なのか
アプリのコントロール依存で起こってしまうものまで拾われると厳しいな

**名無しさん＠お腹いっぱい。** · 2023/05/19(金) 22:18:55.23

パスワード解除済のPCを使える状態なんだから、
ハッキングするまでもなく侵入し放題だけどな

**名無しさん＠お腹いっぱい。** · 2023/05/20(土) 09:50:33.94

本家一筋で使ってきたが一時的に他の使ってみたほうが良いのか

**名無しさん＠お腹いっぱい。** · 2023/05/20(土) 10:03:03.36

本家kwsk

**名無しさん＠お腹いっぱい。** · 2023/05/20(土) 12:07:31.84

本家wvwv

**名無しさん＠お腹いっぱい。** · 2023/05/20(土) 13:51:57.62

6月まで誰もオレのPCのメモリを解析できないように対策するぞー
まずは家のキーからかなw

**名無しさん＠お腹いっぱい。** · 2023/05/20(土) 15:26:48.39

https://jetstream.bz/archives/171463

**名無しさん＠お腹いっぱい。** · 2023/05/20(土) 19:40:08.23

最近、やたらとパスキー、パスキーって言ってる割に全然普及してないし
GoogleやMSなどのOSメーカーがパスキーを云々って言ってるけど
少ないパスキーの記事ってほとんどがGoogleでMSのパスキーについてふれてるの皆無だし
パスキーもようわからんな

**名無しさん＠お腹いっぱい。** · 2023/05/20(土) 20:07:44.11

利便性とセキュリティは背反する

便利だよと宣伝してたら危ないよと言ってるのと同じ

**名無しさん＠お腹いっぱい。** · 2023/05/20(土) 20:19:49.94

グーグルアカウントさえパスキー対応したらOAuthでログインできるサイトばかりだし良いのでは

**名無しさん＠お腹いっぱい。** · 2023/05/20(土) 23:49:32.31

>>685
あなたは紙に書いて保管して手で入力してるの？

**名無しさん＠お腹いっぱい。** · 2023/05/21(日) 00:10:35.58

そうだね
紙に書くのが恐らく最強
それは面倒だし間違うので、管理ソフトに頼る
そうやって楽になった分だけセキュリティは失われていく

**名無しさん＠お腹いっぱい。** · 2023/05/21(日) 01:28:01.67

紙は警察に押収されたらアウトやぞ

**名無しさん＠お腹いっぱい。** · 2023/05/21(日) 01:36:46.62

とりあえず
KeePassXCPortableに逃げた
本家が塞いだらまた考えよう

**名無しさん＠お腹いっぱい。** · 2023/05/21(日) 05:42:49.18

>>689
バカ

**名無しさん＠お腹いっぱい。** · 2023/05/21(日) 09:41:04.91

>>673
PCのメモリを覗ける状態なら、キーロガーでも入れた方が早そうだが

**名無しさん＠お腹いっぱい。** · 2023/05/21(日) 10:04:05.26

元々キーロガーに対して脆弱で、さらに脆弱性が見つかった
キーロガーなんか絶対仕掛けられません、という前提でのセキュリティなので、
あんまり意味がない

**名無しさん＠お腹いっぱい。** · 2023/05/21(日) 10:24:22.36

悪い奴がキーロガーをインストールすることができたってことは
そいつは悪いことをするどんなプログラムでもインストールできるってことだ。
クリップボード、デスクトップ画面、ストレージの中身、ネットで通信している内容、usbケーブルでやりとりしているデータ、ノートpcについているwebカメラの映像などなども盗み見られる可能性が高い。
なのでキーロガーやマルウェアを仕掛けられてもセキュリティを保つことは不可能だと思う。

**名無しさん＠お腹いっぱい。** · 2023/05/21(日) 10:38:25.23

**名無しさん＠お腹いっぱい。** · 2023/05/21(日) 10:55:16.59

キーロガーは物理的に仕込むことも可能だから単純な比較はできない

**名無しさん＠お腹いっぱい。** · 2023/05/21(日) 11:09:28.80

部屋に侵入するとか、最初から部屋にいる人に対するセキュリティが必要なら、
通常の管理ツールでは役に立たない
だから、そんな特殊例は除外して考える
>>673の脆弱性はそういう特殊例に含まれるので、問題にする意味がない

**名無しさん＠お腹いっぱい。** · 2023/05/21(日) 16:52:44.00

ぶっちゃけそこまで気にするのならパスワード管理ツールに頼るなって事だわな

どんだけツール側が配慮してもPC本体やOS側、置き場所のセキュリティが物理的にザルならどうしようもないわけで

**名無しさん＠お腹いっぱい。** · 2023/05/21(日) 17:41:11.82

パスキーって利便性と堅牢性を両立して理想的と言われてるけど、PCからアクセスするときは結局スマホが必要なんだね。手間は二要素認証と変わらん。

**名無しさん＠お腹いっぱい。** · 2023/05/21(日) 17:59:15.26

スマホが必要かどうかは提供もと次第じゃないん？

**名無しさん＠お腹いっぱい。** · 2023/05/21(日) 18:10:51.99

Windows Helloもパスキーじゃないの？

**名無しさん＠お腹いっぱい。** · 2023/05/21(日) 19:59:48.68

パスキー
https://pbs.twimg.com/profile_images/1565865934233153537/Rr_kQSSA_400x400.jpg

**名無しさん＠お腹いっぱい。** · 2023/05/21(日) 20:04:18.63

それはハスキーや

**名無しさん＠お腹いっぱい。** · 2023/05/22(月) 11:19:38.45

スマホはいきなり壊れるのが怖い
だったら作りが単純な物理キーのほうがまだ安心できる

**名無しさん＠お腹いっぱい。** · 2023/05/22(月) 11:59:30.13

10台以上使ってきたけど1つも壊れたことないなスマホ
どうしたら壊れるんだろう

**名無しさん＠お腹いっぱい。** · 2023/05/22(月) 12:32:52.26

紛失した人も落下で壊した人も知ってる

**名無しさん＠お腹いっぱい。** · 2023/05/22(月) 13:59:28.25

パスワード管理ツールだろうがスマホだろうが破損紛失等の
トラブルが発生しないよう予防し、それでも発生した時の対策を
講じておくのが大事

**名無しさん＠お腹いっぱい。** · 2023/05/22(月) 14:05:09.99

一度避難訓練しとくといいよ

Google認証システムで2要素認証にしていて、
それを失った時に、また2要素認証を復旧できるか、とか
実は潜在的に詰んでる人が多い

**名無しさん＠お腹いっぱい。** · 2023/05/22(月) 16:51:01.33

一度だけスマホが文鎮化したことあるけど、問題になったのはTwitterの2要素認証だけだったわ
他にも2要素認証設定してるサービスはあるけどTwitter以外は特に手間もなく復旧できた

**名無しさん＠お腹いっぱい。** · 2023/05/22(月) 19:59:48.61

一応火事になってすべてを失っても記憶してるパスワードと電話番号で重要データは復旧できるようにしてある
動画とかはハードディスクとともに失われるけど

**名無しさん＠お腹いっぱい。** · 2023/05/22(月) 20:06:20.10

パスワードはEvernoteに、たぬき言葉でメモしてるわ。気休めに暗号化してるけどあんまし気にしてない。

**名無しさん＠お腹いっぱい。** · 2023/05/23(火) 02:24:24.67

HDDはpCloudにe2e暗号化してバックアップしてるわ
生涯プランの2TBで400ドル位だったからバックアップ用HDDの保守とか考えたら安いはず

**名無しさん＠お腹いっぱい。** · 2023/05/23(火) 09:00:00.24

>>710
火事の時に記憶を失わないといいな

**名無しさん＠お腹いっぱい。** · 2023/05/23(火) 09:02:09.02

「消防車　呼び方」

**名無しさん＠お腹いっぱい。** · 2023/05/23(火) 09:13:59.40

これ無くなったら嫌だな、というデータをクラウドに置いてるけど、
200GB置いてて月に$1.25かかってる

**名無しさん＠お腹いっぱい。** · 2023/05/23(火) 15:23:34.20

俺も200GBくらいに厳選してM365サブスクについてくるOneDriveの1TBに暗号化してアップロードしてる
何かあってもスマホと記憶さえ無事であれば復旧できる

**名無しさん＠お腹いっぱい。** · 2023/05/23(火) 15:26:27.88

災害時を想定して、PCもスマホも携帯も全て失っても復旧できないと

**名無しさん＠お腹いっぱい。** · 2023/05/23(火) 20:39:30.80

>>716
どうやって暗号化してる？

**名無しさん＠お腹いっぱい。** · 2023/05/24(水) 00:02:26.28

あんごう化
https://pbs.twimg.com/media/B-DHWRlCMAAVL6f.jpg

**名無しさん＠お腹いっぱい。** · 2023/05/24(水) 00:04:03.44

ネイティブｗ

**名無しさん＠お腹いっぱい。** · 2023/05/24(水) 00:04:58.30

うばんぷ何

**名無しさん＠お腹いっぱい。** · 2023/05/24(水) 06:05:40.01

>>718
rcloneとか

**名無しさん＠お腹いっぱい。** · 2023/05/24(水) 15:49:11.41

https://www.google.com/url?sa=i&url=https%3A%2F%2Fwww.zukan-bouz.com%2Fsyu%2F%25E3%2582%25A2%25E3%2583%25B3%25E3%2582%25B3%25E3%2582%25A6&psig=AOvVaw1OqHttMf8ZxrI4vbE0dgVC&ust=1684997299620000&source=images&cd=vfe&ved=0CBEQjRxqFwoTCKDw5Zyujf8CFQAAAAAdAAAAABAG

**名無しさん＠お腹いっぱい。** · 2023/05/24(水) 20:00:33.88

銀行カードの暗証番号をどこに控えておけばよいやら
スマホが壊れてしまった

**名無しさん＠お腹いっぱい。** · 2023/05/24(水) 20:15:39.52

スマホが壊れると、LINEしか知らない相手を簡単に見失う

以前は携帯が壊れて電話番号が携帯にしか入ってない、が定番だったけど、
今はもう電話番号なんか知らない人しかいない

**名無しさん＠お腹いっぱい。** · 2023/05/24(水) 20:32:32.60

4桁くらい覚えろとかバックアップしないのかよとか

**名無しさん＠お腹いっぱい。** · 2023/05/24(水) 20:38:39.43

>>724
>>24

**名無しさん＠お腹いっぱい。** · 2023/05/24(水) 23:46:11.94

しかし何年経っても同じ話題であんたら全然進歩しないなぁ

**名無しさん＠お腹いっぱい。** · 2023/05/25(木) 01:00:31.46

そうかなあ？
言ってる事は同じでも前提が変わってて
意味合いが違ってるとおもうけどな

https://gigazine.net/news/20230523-expose-smartphone-fingerprint-bruteprint/
指紋認証も前提が変わってくるかも
まだ全然使えない技術ぽいけど

**名無しさん＠お腹いっぱい。** · 2023/05/25(木) 01:05:50.70

手軽な方法は絶対落とし穴があるんだって
強いセキュリティは必ずめんどくさい
逆は必ずしも成り立たないけど

**名無しさん＠お腹いっぱい。** · 2023/05/25(木) 10:04:41.51

>>728
お前は退化してるぞ？

**名無しさん＠お腹いっぱい。** · 2023/05/27(土) 13:46:32.87

>>717
オンラインストレージ1に重要ファイルと各種サービスへのアクセスパスを保存したパスワードファイル、オンラインストレージ2にKeepassのパスワードファイル、パスファイルの内容は1へアクセスするためのIDとパスだけ
覚えておくのは2にログインするためのIDとパス、Keepassのマスターパス
災害でゼロになったら端末用意してKeepassポータブルをダウンロード、2にログインして、1からファイル取り出し復旧
2にログインするためのIDとパスは、有名ドラマと出演者の名前を組み合わせたものにすると覚えやすい
2にアクセスされてもKeepassのマスターパスがわからないならアタックできない、マスターパスが割れても1のIDとパスを変えてしまえばログインできない

**名無しさん＠お腹いっぱい。** · 2023/05/27(土) 13:50:21.68

スマホ認証形式だと災害で端末失うとなにもできなくなるが
銀行ですらスマホ認証を強要してくる時代になったからな
せめてYubikeyとかの携帯しやすいデバイスも許可してくれよ

**名無しさん＠お腹いっぱい。** · 2023/05/27(土) 14:17:20.41

災害時は特例で代替手段が提供されるんちゃう？

**名無しさん＠お腹いっぱい。** · 2023/05/27(土) 14:39:41.40

>>733
仮に紛失したとしてもインフラさえ生きてたら
新たに買えば復旧できるな
インフラが死んでるような状況で認証が必要な事柄が何か洗い出せよ

何にも出来ないと言うことを前提にしたらそりゃなんにもできないわ

**名無しさん＠お腹いっぱい。** · 2023/05/27(土) 14:45:41.80

アタックへの強さと災害への対策を同時にやるのは難しいかもしれない
何なら復旧の為に最初にアクセスする場所のパスワードは財布に入れてある
普段使わないパスワードは忘れる
だからといって普段のパスワードと共通にすると使い回しになる

**名無しさん＠お腹いっぱい。** · 2023/05/27(土) 16:53:54.15

「辞書に載っている単語を含めてはいけない」「120日ごとに新しくパスワードを設定すること」などバカげたパスワードのルールを持つサイトを集めた「Dumb Password Rules」
https://gigazine.net/news/20230527-dumb-password-rules/

日本のサイトって割と条件に当て嵌まりそうではある

**名無しさん＠お腹いっぱい。** · 2023/05/27(土) 17:02:30.05

長すぎるという理由で蹴ってくるところは意味判らんな

**名無しさん＠お腹いっぱい。** · 2023/05/27(土) 22:20:25.96

文字数が書いてなくて生成文字列突っ込んだら自動で末尾切ってくるサイトとか有るんだっけ
せめて説明してくれと

**名無しさん＠お腹いっぱい。** · 2023/05/27(土) 22:26:08.53

昔のAmazonがそれやってたな

**名無しさん＠お腹いっぱい。** · 2023/05/27(土) 22:33:27.64

登録の時だけ切って、照合の時は活かすんだよな
だから何文字だったのか推測しないといけない

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 12:25:51.55

>>739
昨日My Y!mobileで新規アカウントを作成する際にパスワード長が書いてなかったので24文字のパスワードを登録し完了
ログインしようとしたらできなかったのでヘルプを見たところ8～16文字だったため後ろをカットして再試行したらログインできた

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 12:53:07.47

この人のパスワードはこれ、という風にサーバーのHDDにしまっとくんだよ
そのHDDの領域の割り振りを設計する時に、パスワードは最大16文字とか決めないといけないので、
それ以上の長さを寄越されても記録しとく場所がない

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 14:05:20.36

>>743
何十年前の実装だよ
生パスワードの保管方法じゃんそれ

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 14:10:22.98

1セクターは256バイトで構成されていて、それを何バイトずつどういう用途に割り振るかを最初に設計する
レコード長は一旦決めるともう変えられない

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 14:10:26.85

BASICで組んでた時は
フロッピーのランダムアクセスレコード長設定でフィールドのバイト数で区切ってたよね

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 14:14:12.96

名前もカタカナのみで、濁点はそれで1マス使う
そういうコードで設計すると、それをずっと使うしかない

多分、Yahooのシステムはそんな古い設計のままなんだよ

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 14:35:55.66

>>745
そうじゃなくて、今は（というかずっと以前から）パスワード自体はシステムに保存しないものさ
パスワードはハッシュに変換して（文字数は一定）それを保存する

ログインのときも同じようにハッシュに変換して保存されてるハッシュ値と比較する

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 14:44:43.49

UNIX・Linuxですら当時はDESで暗号化かMD5ハッシュが当たり前だったな

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 14:45:58.02

HDDの領域とか何の冗談だ

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 15:00:44.87

もしYahooが本当にそういうシステムを採用してるなら、パスワードの長さの上限を決める理由が何もない
やっぱやってるんだよ