パスワード管理ツール Part14

**名無しさん＠お腹いっぱい。** · 2022/08/05(金) 17:23:05.97

パスワード管理ツール（ソフトウェア）について語るスレです。

前スレ
パスワード管理ツール Part13
https://egg.5ch.net/test/read.cgi/software/1652093055/

**名無しさん＠お腹いっぱい。** · 2023/05/27(土) 22:26:08.53

昔のAmazonがそれやってたな

**名無しさん＠お腹いっぱい。** · 2023/05/27(土) 22:33:27.64

登録の時だけ切って、照合の時は活かすんだよな
だから何文字だったのか推測しないといけない

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 12:25:51.55

>>739
昨日My Y!mobileで新規アカウントを作成する際にパスワード長が書いてなかったので24文字のパスワードを登録し完了
ログインしようとしたらできなかったのでヘルプを見たところ8～16文字だったため後ろをカットして再試行したらログインできた

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 12:53:07.47

この人のパスワードはこれ、という風にサーバーのHDDにしまっとくんだよ
そのHDDの領域の割り振りを設計する時に、パスワードは最大16文字とか決めないといけないので、
それ以上の長さを寄越されても記録しとく場所がない

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 14:05:20.36

>>743
何十年前の実装だよ
生パスワードの保管方法じゃんそれ

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 14:10:22.98

1セクターは256バイトで構成されていて、それを何バイトずつどういう用途に割り振るかを最初に設計する
レコード長は一旦決めるともう変えられない

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 14:10:26.85

BASICで組んでた時は
フロッピーのランダムアクセスレコード長設定でフィールドのバイト数で区切ってたよね

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 14:14:12.96

名前もカタカナのみで、濁点はそれで1マス使う
そういうコードで設計すると、それをずっと使うしかない

多分、Yahooのシステムはそんな古い設計のままなんだよ

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 14:35:55.66

>>745
そうじゃなくて、今は（というかずっと以前から）パスワード自体はシステムに保存しないものさ
パスワードはハッシュに変換して（文字数は一定）それを保存する

ログインのときも同じようにハッシュに変換して保存されてるハッシュ値と比較する

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 14:44:43.49

UNIX・Linuxですら当時はDESで暗号化かMD5ハッシュが当たり前だったな

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 14:45:58.02

HDDの領域とか何の冗談だ

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 15:00:44.87

もしYahooが本当にそういうシステムを採用してるなら、パスワードの長さの上限を決める理由が何もない
やっぱやってるんだよ

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 15:56:21.24

Yahooは一応パスワードレス推進派だからまだ許せる
指紋認証でログインきるし

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 16:02:38.79

>>751
yahooに登録されてる個人情報（クレカ番号、住所等）の量に比べたらパスワードの文字数なんて問題にならないよ

大昔にあまり考えず文字数制限無しで受け付けて、先頭16文字までをハッシュするルーチンを使っていたのだろう
それがシステムの中心部に残っているのではないかな

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 16:28:28.99

文字数制限はよいとしても、頭だけ大文字固定とか同じ文字3連はだめとかって制限はやめてほしい

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 16:33:53.53

ついさっきも新しくパスワード作って、
大文字小文字数字記号を混ぜるルールで、
記号なしで自動生成してたのではねられた
'+'を追加したけど、それは記号とはみなされなかった

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 18:46:07.24

パスワードで記号とかローマ字の大文字を入れとかあるけど
大文字とか記号とか入れるのが面倒なんだよな

基本パスワードの欄ってローマ字の小文字か数字しか入れるように設計してない癖に

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 18:50:56.15

あとコピペ禁止にしてある入力フォームは何考えてるのか理解に苦しむ
パスワードを別のテキストに保管することを禁止したいんだろうけど、余計なお世話すぎる

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 19:01:12.79

コピペ禁止と3ミスロックの組合せとか
殆ど嫌がらせだと思うの

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 19:21:26.66

パスワード入力欄がコピペ禁止になっているサイトってパスワードマネージャの存在を知らないセキュリティの知識が乏しい人達によって作られているんじゃないの?
パスワードを適切なハッシュ関数にかけてから保存してないとかいろんな脆弱性をもってそう。

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 19:49:59.02

ハッキングを受けて大量のIDとパスワードが流出とか頻繁にニュースになってるし
ハッシュ後のパスワードなら流出したところで平気だけど、
そうなってないから使い回し禁止のルールができてる訳で
思ってる以上に各企業のweb担当は素人

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 20:33:33.60

PW平文保存は違法にしたらええのにね

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 20:39:19.55

クレカのセキュリティコードは保存禁止なのに、
何故か最初だけ入力してその後は入力を求められない謎

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 20:45:16.66

コード自体は保存しなくても
コードチェックを通過したIDって記録は残せるからかな

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 21:21:21.23

マジでID:rtBAnxmu0って物知らないし頭も悪いな
ハッシュだって漏れたらマズいから使い回しすんなって言われてるんだよ

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 21:48:08.51

普通ハッシュはランダムなsaltやストレッチ使ってるからまず被んないし耐性上げてるんだけどな
そんでも最近はPassGANが現われたから短かいパスワードはレンボーテーブルで突破される

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 21:57:27.87

トリップ破るのにも使える?

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 23:29:28.72

>>762
この前のソースネクストの流出事件だと保存禁止のはずのセキュリティコードも流出してんだよな…

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 23:36:02.54

アキバの大手有名どころの大規模お漏らしで不正利用されたっけな。PC１ｓ（親会社のお漏らし）
幸い、カード会社から利用確認の電話きてすぐ発覚した。登録してなくても保存してたりする会社もあるんだってな
カード一新して登録し直しがすごいめんどくさかったっけ

**名無しさん＠お腹いっぱい。** · 2023/05/29(月) 07:38:06.28

>>765
ID:rtBAnxmu0みたいな奴がいる世の中だもん
どんな馬鹿な実装されてたっておかしくない

>>766
無知で馬鹿なだけでなく想像力までないのかよ救えねーな

**名無しさん＠お腹いっぱい。** · 2023/05/29(月) 10:13:43.28

てかいい加減どこも登録時にパスワード最大値と使える文字を書いてほしいよな
書いてなくても実際に入れてボックスに10文字までしか入らなかったとかならまだしも勝手に切るのやめてほしい
大体63文字とか127文字でやってるけどショボいサイトだと8-16しか入らなったりするし

**名無しさん＠お腹いっぱい。** · 2023/05/29(月) 10:20:40.98

MSとかgoogleとか真っ先にログインする奴は長いとやってられんから短くして2段階にしてるけど

MSとかGoogleアカウントってパスワードレスにしても初期設定で使えるんだっけ？

以前試して通知届かなかったかなんかで詰んでパスワードありに戻してるけど最近は大丈夫？

**名無しさん＠お腹いっぱい。** · 2023/05/29(月) 11:57:12.03

>>767
最近は入力画面が改竄されてセキュリティコードを盗み取るようになってる

**名無しさん＠お腹いっぱい。** · 2023/05/29(月) 19:52:50.07

最大16桁多いよな
せめて最大32桁にしてほしいわ

**名無しさん＠お腹いっぱい。** · 2023/05/29(月) 20:31:29.43

長くしてもそんなに覚えられる訳ないと思ってるんだろうな

**名無しさん＠お腹いっぱい。** · 2023/05/29(月) 20:57:03.47

短かろうが長かろうがどのみち覚えないしな

**名無しさん＠お腹いっぱい。** · 2023/05/29(月) 21:19:05.52

暗記前提という発想がもう時代遅れだしね

**名無しさん＠お腹いっぱい。** · 2023/05/29(月) 21:34:59.83

基本的には手間とセキュリティはトレードオフだけど、
パスワードを覚える手間はセキュリティも下げるだけの徒労

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 15:20:04.33

ツールの引っ越しってどうやるのが一番いい？
Bitwarden使ってるんだけど、もしサービスが終了しちゃったら他のアプリにしなきゃじゃない？
一個ずつ手作業なの？

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 16:23:13.40

有名なツールルならエクスポート/インポートに対応してる

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 16:25:00.70

対応してない所は素直に手動だな。多くてもメモ含め100件程度だからこそコピペで頑張れるが・・・

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 16:27:43.26

form解析とかして正しく入力されるように設定したものがエクスポートできる訳もなく

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 16:52:41.86

Bitwarden,安すぎてこの先のサービス継続に不安なんだが。。。

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 17:00:21.49

ウイルス対策ソフトがOS標準になってわざわざ買わなくなったみたいに、
パスワード管理も最初からあって当たり前になると思うな

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 17:35:22.53

パスワードに対する危機管理より
M$の殿様商売に危険を感じたほうがいいよ

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 17:52:31.38

あんまり群雄割拠されてもな
素人も使うOSはwindowsとmac、プロが使うのはlinuxでいいやん

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 18:01:16.84

>>779
ツールル♪ツルルツールル♪
徹子「今日のお客さまは不正にログインされてしまった長澤○○○さんです」

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 19:00:37.06

>>785
素人もlinux使いまくりじゃん
家のルータにいちいちWindows積むの？

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 19:03:11.45

MicrosoftはEdgeとAuthenticator、AppleならiCloudキーチェーン、GoogleならChromeが標準のパスマネってことになるんかな
もちろん使う使わないは個人の自由として

**名無しさん＠お腹いっぱい。** · 2023/05/31(水) 06:05:28.41

Googleのは他アプリからのインポートに対応してる?
それらしい設定が見当たらなかったんだが

**名無しさん＠お腹いっぱい。** · 2023/05/31(水) 07:16:31.88

実際はどうか知らんが、イメージ的にGoogleのはエクスポートがなさそう

**名無しさん＠お腹いっぱい。** · 2023/05/31(水) 09:19:47.29

>>790
ここは専門板
イメージで書き込むのはいかがなものか
https://passwords.google.com/options?ep=1&pli=1

**名無しさん＠お腹いっぱい。** · 2023/05/31(水) 09:34:13.23

>>791
横からスマンけどここからエクスポートできるの？それらしい項目ないっぽいけど人によるのかな

**名無しさん＠お腹いっぱい。** · 2023/05/31(水) 09:52:11.34

>>792のURLをWindowsPC上のFirefoxやChromeで表示
https://i.imgur.com/tXAFqtQ.png

AndroidのGoogleアプリからだと例えば
自分のアイコン→Googleアカウントを管理→セキュリティタブ→(他サイトへのログインの)パスワードマネージャー→歯車アイコン

**名無しさん＠お腹いっぱい。** · 2023/05/31(水) 10:08:05.37

1日1度何かのバックアップを走らせた時に、Chromeもバックアップできる?

**名無しさん＠お腹いっぱい。** · 2023/05/31(水) 14:22:40.88

>>793
なるほど！スクショありがとうございました。お手間取らせました

**名無しさん＠お腹いっぱい。** · 2023/05/31(水) 15:00:27.07

chrome自動入力から簡単に引っ越せる軽いやつのオススメ教えてください

**名無しさん＠お腹いっぱい。** · 2023/06/01(木) 07:29:37.25

んでGoogleのはインポート機能は無いの?
今2fasだけどアプリに掲載されていないアイコンは英字でしか表示されない
aegisみたいに汎用アイコンがあればいいんだけど
aegisはそもそものアイコンがイマイチだからなぁ

**名無しさん＠お腹いっぱい。** · 2023/06/01(木) 08:11:31.39

>>797
>>793
あるじゃん

**名無しさん＠お腹いっぱい。** · 2023/06/01(木) 09:36:53.30

これパスワード全般だろ?
しかもcsvファイルのみだし
2fasからtotpだけを引き継ぎたいんだ
ポチポチするしかない?

**名無しさん＠お腹いっぱい。** · 2023/06/01(木) 09:47:41.50

どれだけgoogleが親切に作っても不可能じゃないか?

**名無しさん＠お腹いっぱい。** · 2023/06/01(木) 10:07:23.93

スマン
aegisにgoogle向けのエクスポート機能があったわ
けどこれ(google)はアイコン無しなんだな
authyは色んなサイトのアイコンに対応してたからそれに慣れちゃったんだ
大人しく2fas使います(Zaifに対応してくれ…)

**名無しさん＠お腹いっぱい。** · 2023/06/01(木) 17:57:56.20

>>797
2FASはAegisと同様に起動時にすぐ検索できるようになったからアイコンあんまり気にしてないな
Discordでリクエストできるみたいよ
https://i.imgur.com/8xNQ5WK.png

**名無しさん＠お腹いっぱい。** · 2023/06/01(木) 17:59:45.70

2FASは
Android→Googleドライブにバックアップ
iPhone→iCloudにバックアップ
って仕様がイケてない
AndroidとiPhone使ってると手動でしか同期できないじゃん
ブラウザ拡張機能はいい感じ

**名無しさん＠お腹いっぱい。** · 2023/06/03(土) 19:48:39.43

スマホ認証がこれだけ流行ると端末買うときも信頼性を重視しないといけなくなるな
突然壊れたりしない端末というとGalaxy、Pixel、iPhoneくらいか？

**名無しさん＠お腹いっぱい。** · 2023/06/03(土) 19:59:16.01

サブ機体持っとけって流れに成るかもね
認証だけなら世代前のスマホでも問題ないだろうし

**名無しさん＠お腹いっぱい。** · 2023/06/03(土) 20:08:29.21

root化してアプリのデータごと暗号化自動バックアップして端末失っても違う端末で復元できるようにしてるな

**名無しさん＠お腹いっぱい。** · 2023/06/03(土) 20:22:19.55

>>804
Pixelは5aで突然死が発生してGoogleが無償交換対応してるけど、パスキー代わりのスマホがそんなったらしんどいよなぁ

**名無しさん＠お腹いっぱい。** · 2023/06/03(土) 20:41:46.86

PCがメインでスマホはサブだから、スマホが全て失われてもPCでカバーできるけど、
スマホだけが全ての人は何か落とし穴ありそうだな

**名無しさん＠お腹いっぱい。** · 2023/06/03(土) 21:11:02.08

パスキーの仕組みってよくわかんないな
Googleにシークレットモードでログインしようとしたら、登録したはずのパスキー求められなかった

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 02:02:14.93

PCって生体認証のデバイスを別途買わないと生体認証がほぼ標準装備されてないから
ログインする時PCでアクセスして別途スマホで生体認証しないとログインできないじゃないの？パスキー？
つまりPCでも生体認証用のスマホは故障も紛失もできなさそうだけど

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 02:58:43.14

KeePass 2.54 released
https://keepass.info/news/n230603_2.54.html

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 07:55:46.90

>>673
の修正かな

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 08:51:11.00

生体認証は高いセキュリティを実現する為のものではなくて、ものぐさが目的
毎回面倒な認証をしなくてももっと楽な方法は無いかと考えた結果の代物
あれば楽ができるけど、あったからといって安心できるようなものではない

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 09:02:20.37

生体認証は基本変更不可だからパスワード側ではなくID側で使うべきという意見も聞く
まあ一理ある

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 10:15:55.54

>>813
雑なパスワードを組んだり、使い回しをしているような人が対象ならそれなりに有用って感じか
世の中そういう人の方が多いのだろうし

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 10:21:30.50

バズワード数250を超えてるけど全て違うし、年2回は変えてる
コレができるようになったのは管理ツールと生体認証のおかげ

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 16:07:30.93

250ぐらい覚えとけよ

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 21:29:53.65

まじでkeepass流出したら終わるわ・・・
メモ欄とかにすべてが書いてあるしマスターパスワード4桁だから一瞬で解読される

なかなかに恐ろしい

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 22:07:34.40

4桁なら無くても同じじゃ…

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 22:08:42.10

キーファイル使えばいいじゃん

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 23:12:16.02

masuta-pasuwa-donannte ikurademo nagakusureba iijann

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 00:32:01.88

4桁はガバガバ過ぎて草
今すぐ変えろよ

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 02:07:39.86

5keta ni simasita

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 08:01:02.88

数字なら8桁でもすぐ破れる

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 08:11:11.86

よぅ分からんけど何十回もトライアンドエラーしたらアカウント側が一時凍結されないのかしら

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 08:24:12.63

keepassって試行回数でロックとかあったっけ？

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 08:38:47.52

それしてないならマヌケすぎちゃう？アタックされ放題やん

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 08:47:15.33

変換回数があるので1つ試すのに1秒ぐらい掛かるから時間は掛かる

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 08:59:15.55

>>826
その機能はないし意味ないよ
仮にあったとしてもkeepass互換のロック機能のないアプリで
データファイルを総当りでアタックすればいいから

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 09:30:56.24

keepassは鯖型じゃないからね
アカウントって概念がまず無いし

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 09:36:04.56

え、なら818さんの数字4桁も別に問題なくね？

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 10:15:50.93

>>831
強力に暗号化すればファイルが他人の手に渡っても無問題というのがKeepassの考え方の肝なのよ

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 10:39:50.74

鯖とかではなく、この手の暗号・管理ファイルの方で開発者側が特殊な事やって（ adminパスなど）
実は中身こっそりdeveloper側が見られるようなバイパス挙動できてていたみたいな事件ってあります？

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 12:03:47.07

ファイル型に試行回数でロック設定しても
事前にそのファイル複製しておけば意味がなくなるので…

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 12:09:04.71

>>831
サイト側で流出しなくても、PCにマルウェアが入ってきたら簡単に盗まれるぞ

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 12:25:33.46

keepassやkeepassXCはオープンソースプロジェクトだからソースコードを読めばファイルフォーマットが分かるけど
それでもマスターパスワードがわからない限り解読されないように暗号化されるようになってるはず。
それに不特定多数の人からソースコードを読まれるから不備があればすぐに指摘されるよ。

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 12:54:08.29

オープンソースはHeartbleedのように2年放置された例もあったから過信はできないけどね

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 13:11:37.64

お前そんなこといったらクローズドは余計に悲惨だろが

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 14:18:57.68

殺したい相手の名前と殺し方はどれだけ長くても誰でも覚えられるのでマスターパスワードにおすすめ
あるいはアメリカに対する具体的なテロ予告をパスワードにする
流出したらテロ予告になるのでFBIが犯人を捕まえてくれる