パスワード管理ツール Part14

**名無しさん＠お腹いっぱい。** · 2022/08/05(金) 17:23:05.97

パスワード管理ツール（ソフトウェア）について語るスレです。

前スレ
パスワード管理ツール Part13
https://egg.5ch.net/test/read.cgi/software/1652093055/

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 20:45:16.66

コード自体は保存しなくても
コードチェックを通過したIDって記録は残せるからかな

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 21:21:21.23

マジでID:rtBAnxmu0って物知らないし頭も悪いな
ハッシュだって漏れたらマズいから使い回しすんなって言われてるんだよ

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 21:48:08.51

普通ハッシュはランダムなsaltやストレッチ使ってるからまず被んないし耐性上げてるんだけどな
そんでも最近はPassGANが現われたから短かいパスワードはレンボーテーブルで突破される

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 21:57:27.87

トリップ破るのにも使える?

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 23:29:28.72

>>762
この前のソースネクストの流出事件だと保存禁止のはずのセキュリティコードも流出してんだよな…

**名無しさん＠お腹いっぱい。** · 2023/05/28(日) 23:36:02.54

アキバの大手有名どころの大規模お漏らしで不正利用されたっけな。PC１ｓ（親会社のお漏らし）
幸い、カード会社から利用確認の電話きてすぐ発覚した。登録してなくても保存してたりする会社もあるんだってな
カード一新して登録し直しがすごいめんどくさかったっけ

**名無しさん＠お腹いっぱい。** · 2023/05/29(月) 07:38:06.28

>>765
ID:rtBAnxmu0みたいな奴がいる世の中だもん
どんな馬鹿な実装されてたっておかしくない

>>766
無知で馬鹿なだけでなく想像力までないのかよ救えねーな

**名無しさん＠お腹いっぱい。** · 2023/05/29(月) 10:13:43.28

てかいい加減どこも登録時にパスワード最大値と使える文字を書いてほしいよな
書いてなくても実際に入れてボックスに10文字までしか入らなかったとかならまだしも勝手に切るのやめてほしい
大体63文字とか127文字でやってるけどショボいサイトだと8-16しか入らなったりするし

**名無しさん＠お腹いっぱい。** · 2023/05/29(月) 10:20:40.98

MSとかgoogleとか真っ先にログインする奴は長いとやってられんから短くして2段階にしてるけど

MSとかGoogleアカウントってパスワードレスにしても初期設定で使えるんだっけ？

以前試して通知届かなかったかなんかで詰んでパスワードありに戻してるけど最近は大丈夫？

**名無しさん＠お腹いっぱい。** · 2023/05/29(月) 11:57:12.03

>>767
最近は入力画面が改竄されてセキュリティコードを盗み取るようになってる

**名無しさん＠お腹いっぱい。** · 2023/05/29(月) 19:52:50.07

最大16桁多いよな
せめて最大32桁にしてほしいわ

**名無しさん＠お腹いっぱい。** · 2023/05/29(月) 20:31:29.43

長くしてもそんなに覚えられる訳ないと思ってるんだろうな

**名無しさん＠お腹いっぱい。** · 2023/05/29(月) 20:57:03.47

短かろうが長かろうがどのみち覚えないしな

**名無しさん＠お腹いっぱい。** · 2023/05/29(月) 21:19:05.52

暗記前提という発想がもう時代遅れだしね

**名無しさん＠お腹いっぱい。** · 2023/05/29(月) 21:34:59.83

基本的には手間とセキュリティはトレードオフだけど、
パスワードを覚える手間はセキュリティも下げるだけの徒労

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 15:20:04.33

ツールの引っ越しってどうやるのが一番いい？
Bitwarden使ってるんだけど、もしサービスが終了しちゃったら他のアプリにしなきゃじゃない？
一個ずつ手作業なの？

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 16:23:13.40

有名なツールルならエクスポート/インポートに対応してる

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 16:25:00.70

対応してない所は素直に手動だな。多くてもメモ含め100件程度だからこそコピペで頑張れるが・・・

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 16:27:43.26

form解析とかして正しく入力されるように設定したものがエクスポートできる訳もなく

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 16:52:41.86

Bitwarden,安すぎてこの先のサービス継続に不安なんだが。。。

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 17:00:21.49

ウイルス対策ソフトがOS標準になってわざわざ買わなくなったみたいに、
パスワード管理も最初からあって当たり前になると思うな

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 17:35:22.53

パスワードに対する危機管理より
M$の殿様商売に危険を感じたほうがいいよ

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 17:52:31.38

あんまり群雄割拠されてもな
素人も使うOSはwindowsとmac、プロが使うのはlinuxでいいやん

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 18:01:16.84

>>779
ツールル♪ツルルツールル♪
徹子「今日のお客さまは不正にログインされてしまった長澤○○○さんです」

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 19:00:37.06

>>785
素人もlinux使いまくりじゃん
家のルータにいちいちWindows積むの？

**名無しさん＠お腹いっぱい。** · 2023/05/30(火) 19:03:11.45

MicrosoftはEdgeとAuthenticator、AppleならiCloudキーチェーン、GoogleならChromeが標準のパスマネってことになるんかな
もちろん使う使わないは個人の自由として

**名無しさん＠お腹いっぱい。** · 2023/05/31(水) 06:05:28.41

Googleのは他アプリからのインポートに対応してる?
それらしい設定が見当たらなかったんだが

**名無しさん＠お腹いっぱい。** · 2023/05/31(水) 07:16:31.88

実際はどうか知らんが、イメージ的にGoogleのはエクスポートがなさそう

**名無しさん＠お腹いっぱい。** · 2023/05/31(水) 09:19:47.29

>>790
ここは専門板
イメージで書き込むのはいかがなものか
https://passwords.google.com/options?ep=1&pli=1

**名無しさん＠お腹いっぱい。** · 2023/05/31(水) 09:34:13.23

>>791
横からスマンけどここからエクスポートできるの？それらしい項目ないっぽいけど人によるのかな

**名無しさん＠お腹いっぱい。** · 2023/05/31(水) 09:52:11.34

>>792のURLをWindowsPC上のFirefoxやChromeで表示
https://i.imgur.com/tXAFqtQ.png

AndroidのGoogleアプリからだと例えば
自分のアイコン→Googleアカウントを管理→セキュリティタブ→(他サイトへのログインの)パスワードマネージャー→歯車アイコン

**名無しさん＠お腹いっぱい。** · 2023/05/31(水) 10:08:05.37

1日1度何かのバックアップを走らせた時に、Chromeもバックアップできる?

**名無しさん＠お腹いっぱい。** · 2023/05/31(水) 14:22:40.88

>>793
なるほど！スクショありがとうございました。お手間取らせました

**名無しさん＠お腹いっぱい。** · 2023/05/31(水) 15:00:27.07

chrome自動入力から簡単に引っ越せる軽いやつのオススメ教えてください

**名無しさん＠お腹いっぱい。** · 2023/06/01(木) 07:29:37.25

んでGoogleのはインポート機能は無いの?
今2fasだけどアプリに掲載されていないアイコンは英字でしか表示されない
aegisみたいに汎用アイコンがあればいいんだけど
aegisはそもそものアイコンがイマイチだからなぁ

**名無しさん＠お腹いっぱい。** · 2023/06/01(木) 08:11:31.39

>>797
>>793
あるじゃん

**名無しさん＠お腹いっぱい。** · 2023/06/01(木) 09:36:53.30

これパスワード全般だろ?
しかもcsvファイルのみだし
2fasからtotpだけを引き継ぎたいんだ
ポチポチするしかない?

**名無しさん＠お腹いっぱい。** · 2023/06/01(木) 09:47:41.50

どれだけgoogleが親切に作っても不可能じゃないか?

**名無しさん＠お腹いっぱい。** · 2023/06/01(木) 10:07:23.93

スマン
aegisにgoogle向けのエクスポート機能があったわ
けどこれ(google)はアイコン無しなんだな
authyは色んなサイトのアイコンに対応してたからそれに慣れちゃったんだ
大人しく2fas使います(Zaifに対応してくれ…)

**名無しさん＠お腹いっぱい。** · 2023/06/01(木) 17:57:56.20

>>797
2FASはAegisと同様に起動時にすぐ検索できるようになったからアイコンあんまり気にしてないな
Discordでリクエストできるみたいよ
https://i.imgur.com/8xNQ5WK.png

**名無しさん＠お腹いっぱい。** · 2023/06/01(木) 17:59:45.70

2FASは
Android→Googleドライブにバックアップ
iPhone→iCloudにバックアップ
って仕様がイケてない
AndroidとiPhone使ってると手動でしか同期できないじゃん
ブラウザ拡張機能はいい感じ

**名無しさん＠お腹いっぱい。** · 2023/06/03(土) 19:48:39.43

スマホ認証がこれだけ流行ると端末買うときも信頼性を重視しないといけなくなるな
突然壊れたりしない端末というとGalaxy、Pixel、iPhoneくらいか？

**名無しさん＠お腹いっぱい。** · 2023/06/03(土) 19:59:16.01

サブ機体持っとけって流れに成るかもね
認証だけなら世代前のスマホでも問題ないだろうし

**名無しさん＠お腹いっぱい。** · 2023/06/03(土) 20:08:29.21

root化してアプリのデータごと暗号化自動バックアップして端末失っても違う端末で復元できるようにしてるな

**名無しさん＠お腹いっぱい。** · 2023/06/03(土) 20:22:19.55

>>804
Pixelは5aで突然死が発生してGoogleが無償交換対応してるけど、パスキー代わりのスマホがそんなったらしんどいよなぁ

**名無しさん＠お腹いっぱい。** · 2023/06/03(土) 20:41:46.86

PCがメインでスマホはサブだから、スマホが全て失われてもPCでカバーできるけど、
スマホだけが全ての人は何か落とし穴ありそうだな

**名無しさん＠お腹いっぱい。** · 2023/06/03(土) 21:11:02.08

パスキーの仕組みってよくわかんないな
Googleにシークレットモードでログインしようとしたら、登録したはずのパスキー求められなかった

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 02:02:14.93

PCって生体認証のデバイスを別途買わないと生体認証がほぼ標準装備されてないから
ログインする時PCでアクセスして別途スマホで生体認証しないとログインできないじゃないの？パスキー？
つまりPCでも生体認証用のスマホは故障も紛失もできなさそうだけど

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 02:58:43.14

KeePass 2.54 released
https://keepass.info/news/n230603_2.54.html

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 07:55:46.90

>>673
の修正かな

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 08:51:11.00

生体認証は高いセキュリティを実現する為のものではなくて、ものぐさが目的
毎回面倒な認証をしなくてももっと楽な方法は無いかと考えた結果の代物
あれば楽ができるけど、あったからといって安心できるようなものではない

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 09:02:20.37

生体認証は基本変更不可だからパスワード側ではなくID側で使うべきという意見も聞く
まあ一理ある

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 10:15:55.54

>>813
雑なパスワードを組んだり、使い回しをしているような人が対象ならそれなりに有用って感じか
世の中そういう人の方が多いのだろうし

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 10:21:30.50

バズワード数250を超えてるけど全て違うし、年2回は変えてる
コレができるようになったのは管理ツールと生体認証のおかげ

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 16:07:30.93

250ぐらい覚えとけよ

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 21:29:53.65

まじでkeepass流出したら終わるわ・・・
メモ欄とかにすべてが書いてあるしマスターパスワード4桁だから一瞬で解読される

なかなかに恐ろしい

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 22:07:34.40

4桁なら無くても同じじゃ…

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 22:08:42.10

キーファイル使えばいいじゃん

**名無しさん＠お腹いっぱい。** · 2023/06/04(日) 23:12:16.02

masuta-pasuwa-donannte ikurademo nagakusureba iijann

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 00:32:01.88

4桁はガバガバ過ぎて草
今すぐ変えろよ

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 02:07:39.86

5keta ni simasita

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 08:01:02.88

数字なら8桁でもすぐ破れる

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 08:11:11.86

よぅ分からんけど何十回もトライアンドエラーしたらアカウント側が一時凍結されないのかしら

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 08:24:12.63

keepassって試行回数でロックとかあったっけ？

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 08:38:47.52

それしてないならマヌケすぎちゃう？アタックされ放題やん

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 08:47:15.33

変換回数があるので1つ試すのに1秒ぐらい掛かるから時間は掛かる

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 08:59:15.55

>>826
その機能はないし意味ないよ
仮にあったとしてもkeepass互換のロック機能のないアプリで
データファイルを総当りでアタックすればいいから

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 09:30:56.24

keepassは鯖型じゃないからね
アカウントって概念がまず無いし

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 09:36:04.56

え、なら818さんの数字4桁も別に問題なくね？

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 10:15:50.93

>>831
強力に暗号化すればファイルが他人の手に渡っても無問題というのがKeepassの考え方の肝なのよ

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 10:39:50.74

鯖とかではなく、この手の暗号・管理ファイルの方で開発者側が特殊な事やって（ adminパスなど）
実は中身こっそりdeveloper側が見られるようなバイパス挙動できてていたみたいな事件ってあります？

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 12:03:47.07

ファイル型に試行回数でロック設定しても
事前にそのファイル複製しておけば意味がなくなるので…

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 12:09:04.71

>>831
サイト側で流出しなくても、PCにマルウェアが入ってきたら簡単に盗まれるぞ

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 12:25:33.46

keepassやkeepassXCはオープンソースプロジェクトだからソースコードを読めばファイルフォーマットが分かるけど
それでもマスターパスワードがわからない限り解読されないように暗号化されるようになってるはず。
それに不特定多数の人からソースコードを読まれるから不備があればすぐに指摘されるよ。

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 12:54:08.29

オープンソースはHeartbleedのように2年放置された例もあったから過信はできないけどね

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 13:11:37.64

お前そんなこといったらクローズドは余計に悲惨だろが

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 14:18:57.68

殺したい相手の名前と殺し方はどれだけ長くても誰でも覚えられるのでマスターパスワードにおすすめ
あるいはアメリカに対する具体的なテロ予告をパスワードにする
流出したらテロ予告になるのでFBIが犯人を捕まえてくれる

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 14:20:23.71

キーファイル形式だとネットに公開されてるハッシュが変わらないものにしないとファイルぶっ壊れた時点で詰む

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 17:52:30.21

キーファイルってソフトで前回の記憶してるんだったらマルウェアからしたら分かるもんじゃないの

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 18:38:57.36

それ以外もわかるよ

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 18:41:03.00

前回の記憶なんてしないけどな

**名無しさん＠お腹いっぱい。** · 2023/06/05(月) 22:52:30.75

keepassが必要としてるのは起動する時の認証だから
起動するショートカットファイル作って
ショートカットファイルの暗号化をどうするか考えたらいいんじゃ

**名無しさん＠お腹いっぱい。** · 2023/06/08(木) 01:03:17.22

(*´ﾟДﾟ)ｙ━･~　ﾌﾟﾊｧ

**名無しさん＠お腹いっぱい。** · 2023/06/08(木) 04:53:31.27

>>844
>起動するショートカットファイル作って

マルウェアが入ってるならそのファイルを作るときの作業も監視してるので
意味ないと思う

**名無しさん＠お腹いっぱい。** · 2023/06/08(木) 07:20:09.16

おまいらはマルウェアが動いているPCでもパスワードが漏洩せずに使える方法があると思っているの?

**名無しさん＠お腹いっぱい。** · 2023/06/08(木) 09:27:21.49

そんな事言いだしたら
新しいドライブに引っ越しする時マルウェア入ってるかもしれないからクリーンインストールしろよってことになるじゃん

**名無しさん＠お腹いっぱい。** · 2023/06/08(木) 10:10:54.67

ならんやろ

**名無しさん＠お腹いっぱい。** · 2023/06/08(木) 21:28:27.37

マルウェアが入ってないなら4桁の数字でいいや

**名無しさん＠お腹いっぱい。** · 2023/06/08(木) 21:39:38.13

マルウェアが入ってたら何してもアウト

**名無しさん＠お腹いっぱい。** · 2023/06/08(木) 21:39:54.36

マルウェアの検出はみなさん何を使ってます？

**名無しさん＠お腹いっぱい。** · 2023/06/08(木) 22:28:05.58

>>852
ソースコード確認

**名無しさん＠お腹いっぱい。** · 2023/06/09(金) 07:55:18.75

マルウェアが堂々とOSSに含まれたまま配布って事件あったな
OSSは多くの目に晒されるから～って安全性の根拠、
実際は多くの節穴に晒されてるだけだった

**名無しさん＠お腹いっぱい。** · 2023/06/09(金) 08:12:58.91

ちゃんと発覚しとるがな

**名無しさん＠お腹いっぱい。** · 2023/06/09(金) 20:12:50.60

>>838
クローズドソースはリバースエンジニアリングしないと脆弱性を見つけられないというデカいメリットがあるからなあ。
オープンソースは良くも悪くも手の内を全て明かしているようなものなので……

**名無しさん＠お腹いっぱい。** · 2023/06/09(金) 20:21:34.28

クローズドソースは信用する必要があるからオープンソースは必要ないけど

**名無しさん＠お腹いっぱい。** · 2023/06/09(金) 22:43:18.91

>>857
オープンソースだからといって安心してる阿呆もいるんだな

**名無しさん＠お腹いっぱい。** · 2023/06/09(金) 23:47:44.26

>>858
曲解しすぎ

**名無しさん＠お腹いっぱい。** · 2023/06/09(金) 23:54:37.56

悪意が無いと仮定すれば、どれだけレビューやテストにコストをかけられるかだから、
オープンソースだからというのは決定的な要件にはならない
どうやって作ってもバグる時はバグる

**名無しさん＠お腹いっぱい。** · 2023/06/13(火) 08:56:50.19

ブラウザからパスワードの入力画面がポップアップすることってよくあると思うけど、
keepassってポップアップを認識できない?

**名無しさん＠お腹いっぱい。** · 2023/06/13(火) 09:13:34.01

ポップアップ以前にkeepass本家はブラウザ入力補助機能なんて付いてないぞ
拡張か派生の話だと思うけどどれのことだかちゃんと名称書いてくれ