パスワード管理ツール Part15

**名無しさん＠お腹いっぱい。** · 2023/08/19(土) 18:05:02.94

パスワード管理ツール（ソフトウェア）について語るスレです。

前スレ
パスワード管理ツール Part14
https://egg.5ch.net/test/read.cgi/software/1659687785/

**名無しさん＠お腹いっぱい。** · 2023/10/19(木) 14:38:32.37

「Amazon」でパスワードレス認証「パスキー」が利用可能に～顔や指紋で簡単ログイン - 窓の杜
https://forest.watch.impress.co.jp/docs/news/1540281.html

**名無しさん＠お腹いっぱい。** · 2023/10/19(木) 16:50:09.40

パスキーってGoogleアカウントかマイクロソフトアカウントのどっちかで作成するのか？

**名無しさん＠お腹いっぱい。** · 2023/10/19(木) 18:56:19.74

普通にAmazonちゃう？

**名無しさん＠お腹いっぱい。** · 2023/10/19(木) 22:03:08.95

それは鍵の保存先であり、Microsoftアカウントへの保存は未対応

現状異なるOS間でパスキー使い回せるのは1password一択だから1password使ってない人はOS毎(Windowsは端末毎)に作成する必要があるのが残念なところだが

**名無しさん＠お腹いっぱい。** · 2023/10/20(金) 00:40:06.58

異OS対応、KDDIでトライアル？してなかったっけ

**名無しさん＠お腹いっぱい。** · 2023/10/20(金) 08:26:57.00

>顔や指紋で簡単ログイン

パスワードよりパスキーの方がブルートフォース耐性が高いから安全ログインっていうなら分かるが
複数デバイスの同期の大変さとか
カメラか指紋センサーをわざわざ使わないといけないのを簡単ログインって言われるとちょっとな

**名無しさん＠お腹いっぱい。** · 2023/10/20(金) 10:57:43.10

馬鹿と鋏は使いよう

**名無しさん＠お腹いっぱい。** · 2023/10/20(金) 13:29:59.85

パスワード管理アプリ「KeePass」の偽サイトがGoogle広告によって検索結果のトップに表示される事態が発生

**名無しさん＠お腹いっぱい。** · 2023/10/20(金) 13:30:10.83

パスワード管理アプリ「KeePass」の偽サイトがGoogle広告によって検索結果のトップに表示される事態が発生

**名無しさん＠お腹いっぱい。** · 2023/10/20(金) 13:30:44.20

パスワード管理アプリ「KeePass」の偽サイトがGoogle広告によって検索結果のトップに表示される事態が発生
https://gigazine.net/news/20231020-malvertising-attack-punycode-keepass/

**名無しさん＠お腹いっぱい。** · 2023/10/20(金) 14:53:20.90

>>227
絶対に騙されそうだな
で、具体的にどんな悪影響があるんだろ

**名無しさん＠お腹いっぱい。** · 2023/10/20(金) 19:02:33.43

>>228
？

**名無しさん＠お腹いっぱい。** · 2023/10/20(金) 19:15:46.43

>>228

>この偽サイトからKeePassをダウンロードしようとすると、デジタル署名されたマルウェアのインストーラーをダウンロードしてしまいます。

だそうだ

**名無しさん＠お腹いっぱい。** · 2023/10/20(金) 19:51:28.39

>>230
なるほど
・このスレなどでKeePassの存在を知る
・ググってみると(ニセサイトが)ヒットする
・ダウンロードすると無事マルウェアがインストールされる
ということか

既存ユーザはソフトからサイトに行くことが多そうだけど
新参は気を付けた方が良さそうだね
新参なら気を付けようが無いかw

**名無しさん＠お腹いっぱい。** · 2023/10/20(金) 21:56:18.40

ぐぐると危険な偽サイトに引っかかる可能性があるわけか。
それじゃお前らが真のkeepassサイトのURLを張って初心者達を正しい道へと導かなきゃいけないな。
https://github.com/keepassxreboot/keepassxc

**名無しさん＠お腹いっぱい。** · 2023/10/20(金) 22:50:24.46

KeePass Password Safe
https://keepass.info/

**名無しさん＠お腹いっぱい。** · 2023/10/20(金) 23:08:31.08

匿名掲示板に貼られたURLを何の疑いもなくホイホイクリックするのもネットリテラシー低過ぎだから注意な

**名無しさん＠お腹いっぱい。** · 2023/10/21(土) 02:01:32.22

ほんとGoogleってクソだよな
なんで堂々と詐欺サイト拡散してお咎めなしなんだよ
EUに潰されろ

**名無しさん＠お腹いっぱい。** · 2023/10/21(土) 02:27:40.76

これやべーな
Googleの検索トップに来てたら自分も騙されそう

**名無しさん＠お腹いっぱい。** · 2023/10/21(土) 07:56:08.45

今開いてみたけどトップはkeepass.infoだったな
通報されて消えたか？

**名無しさん＠お腹いっぱい。** · 2023/10/21(土) 09:22:57.40

＼　広告　／　嫌いが高じて回避できた可能性がある

**名無しさん＠お腹いっぱい。** · 2023/10/21(土) 09:47:34.73

パスワード管理アプリスレの住民が検索結果のスポンサー欄をクリックするとは思えないんだが。

**名無しさん＠お腹いっぱい。** · 2023/10/21(土) 17:43:57.61

まあ何事も最初はググってページに飛ぶから
その偽ウィルスサイトが上位に来ている以上
間違うリスクってのは低くないよな

**名無しさん＠お腹いっぱい。** · 2023/10/21(土) 18:15:02.72

正 keepass.info
偽 ķeepass.info

ぱっと見騙される人がいるだろうね

**名無しさん＠お腹いっぱい。** · 2023/10/21(土) 18:31:20.00

そんな文字あるんだ

**名無しさん＠お腹いっぱい。** · 2023/10/21(土) 18:52:34.75

>>241
それはぱっと見わからんな

**名無しさん＠お腹いっぱい。** · 2023/10/21(土) 19:15:44.71

ブラウザやOSのセキリュティでちゃんと防げるといいんだが

**名無しさん＠お腹いっぱい。** · 2023/10/21(土) 19:30:37.51

ひええ…、これはわからんわ
かまされたら確実に騙される自信あるで

**名無しさん＠お腹いっぱい。** · 2023/10/21(土) 19:35:33.80

>>228に戻る

**名無しさん＠お腹いっぱい。** · 2023/10/21(土) 19:44:51.15

ダウンロードしたアプリはVirusTotalのスキャニングくらいかけようか。
完璧とはいわんけど、しないよりはまし。

**名無しさん＠お腹いっぱい。** · 2023/10/22(日) 01:13:14.60

>>241の偽の方にアクセスしようとしたら
ブラウザに「この先のサイトには有害なプログラムがあります」とブロックされた

**名無しさん＠お腹いっぱい。** · 2023/10/22(日) 07:57:01.26

今の世の中何処でウィルス系に誘導されるかわかったもんじゃないしな
過去にはBUFFALOのルーターのファームウェアファイルが偽物にすり替えられたんだっけ？
あっちはやらしかしが公式な分タチが悪いな・・・

**名無しさん＠お腹いっぱい。** · 2023/10/22(日) 11:50:10.47

一番の問題はGoogle側の広告に対する考査がザルだったことよね

**名無しさん＠お腹いっぱい。** · 2023/10/22(日) 20:03:57.23

Google Playもザルだしね

**名無しさん＠お腹いっぱい。** · 2023/10/23(月) 11:58:53.01

YouTubeも、広告ブロックを禁止して違法動画を垂れ流してるし

**名無しさん＠お腹いっぱい。** · 2023/10/24(火) 10:58:14.11

やっぱりLastPass一択だな
LastPassAuthenticatorも使いやすいし

**名無しさん＠お腹いっぱい。** · 2023/10/24(火) 10:59:03.55

LastPassAuthenticatorの代わりになる奴あるん？

**名無しさん＠お腹いっぱい。** · 2023/10/24(火) 15:45:33.19

パスワード管理アプリ「1Password」の開発企業で「不審なアクティビティ」が検出される
https://gigazine.net/news/20231024-1password-okta-incident/

**名無しさん＠お腹いっぱい。** · 2023/10/24(火) 15:47:23.93

LastPassは無いな>>56

**名無しさん＠お腹いっぱい。** · 2023/10/24(火) 17:56:31.08

情報流出しまくってるもんな…

**名無しさん＠お腹いっぱい。** · 2023/10/24(火) 19:19:42.36

KeePassでいいじゃん
デカモニター爺さんくらいでしょ不満なの

**名無しさん＠お腹いっぱい。** · 2023/10/24(火) 21:44:18.08

↑いまだにWinNT使ってそう(笑)

**名無しさん＠お腹いっぱい。** · 2023/10/24(火) 22:10:25.14

釣れるの早すぎて草

**名無しさん＠お腹いっぱい。** · 2023/10/24(火) 23:29:59.15

>>121
2018年時点で存在したアカウントでは12文字以上に変更する必要がなかった
イテレーション数も5000のまま使えてたらしい
https://krebsonsecurity.com/2023/09/experts-fear-crooks-are-cracking-keys-stolen-in-lastpass-breach/

**名無しさん＠お腹いっぱい。** · 2023/10/25(水) 12:17:53.29

>>256
ブルートフォースに突破されるような文字数のマスターパスワード使ってるからだろ
オレは20桁以上3ヶ月で更新してる
覚えてないけど

**名無しさん＠お腹いっぱい。** · 2023/10/25(水) 12:35:00.92

>>262
3ヶ月で更新するメリットってある？

**名無しさん＠お腹いっぱい。** · 2023/10/25(水) 12:50:52.54

頻繁な更新は～って話があって逆効果かも知れないけど
パスワード管理は好き好きだと思う

**名無しさん＠お腹いっぱい。** · 2023/10/25(水) 12:58:00.60

ブルートフォースなんて実際にできるもんなんですかね?
雑なサイトもあるのかもしれないが
総当たりで試行できる回数なんてたかがしれているような

**名無しさん＠お腹いっぱい。** · 2023/10/25(水) 13:11:16.00

>>263
20桁以上でも時間が経てば突破されるリスクはあるからな

**名無しさん＠お腹いっぱい。** · 2023/10/25(水) 13:14:28.60

>>264
更新時の操作をハッキングする手口は高度な技術レベルが必要
それを使ってまでしても盗み出したいものがしまってなければやらないよね

**名無しさん＠お腹いっぱい。** · 2023/10/25(水) 13:16:32.56

学生時代、クラックツールを作ってその中にトロイ忍ばせて遊んでた懐かしい思い出

**名無しさん＠お腹いっぱい。** · 2023/10/25(水) 14:05:26.69

>>265
Web画面でやるわけじゃなくて
たいていはサーバーにあるパスワードのデータ（全員分のハッシュされたパスワードのリスト）が盗まれて
そのリストに対してブルートフォースアタックするのさ

**名無しさん＠お腹いっぱい。** · 2023/10/25(水) 14:26:04.29

>>269
総当たりで試行し生成されたパターンがそのハッシュと一致するまでやるということかな?
なるほど

リストが盗まれやすいかどうかという点ではユーザ側で気を付ける話じゃないね

**名無しさん＠お腹いっぱい。** · 2023/10/25(水) 16:47:48.02

>>266
総当たり攻撃なら、途中でパスワードを変えても確率は変わらないと思うのだけど

**名無しさん＠お腹いっぱい。** · 2023/10/25(水) 16:53:48.33

リバースブルートフォース攻撃で試行回数制限回避

**名無しさん＠お腹いっぱい。** · 2023/10/25(水) 18:42:45.23

一周まわって神頼みでバレない・漏れないことを祈るに落ち着きそうｗ

**名無しさん＠お腹いっぱい。** · 2023/10/25(水) 19:16:37.51

そこで認知症予防の5chですよ

**名無しさん＠お腹いっぱい。** · 2023/10/25(水) 19:20:22.41

プラモ作ってる方がよっぽど認知症予防になるだろ

**名無しさん＠お腹いっぱい。** · 2023/10/25(水) 19:44:43.32

>>271
>>269みたいな流出したパスワードファイルは永久にアングラで流通し続ける
流出当初は十分に長くて安全なパスワードでもコンピュータが高性能になれば解けるようになる
定期的に変えてれば、そうなった頃には違うパスワードを使ってるので安全

**名無しさん＠お腹いっぱい。** · 2023/10/26(木) 10:05:57.70

変えたほうがいいの変えなくてもいいのどっちなんだいっ！？
変ーえー

ないッ！ﾔｰ！！！

**名無しさん＠お腹いっぱい。** · 2023/10/26(木) 13:47:24.20

>>277
>>276
みたいな考え方もあるし

総務省の見解だと
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/business/business_staff_01.html
利用するサービスによっては、パスワードを定期的に変更することを求められることもありますが、実際にパスワードを破られアカウントが乗っ取られたり、サービス側から流出した事実がなければ、パスワードを変更する必要はありません。

てのもある
米国の国立標準技術研究所だかの研究結果受けての見解だけど
パスワード管理ソフト使ってると変更に伴うデメリットは無視できそうな話だから変更しまくるのもありっちゃあり
好き好き

**名無しさん＠お腹いっぱい。** · 2023/10/26(木) 13:57:20.46

ハッシュされたパスワードファイルの流出をどこまで視野に入れるかどうかだね

管理がずさんそうな所だけパスワード変更運用をするというのもありかもしれないが
それを適確に絞り込めるのかどうかでまた悩むことになりそうw

**名無しさん＠お腹いっぱい。** · 2023/10/26(木) 15:05:33.87

数年後に、実は流出してましたっていうのもあるよね

**名無しさん＠お腹いっぱい。** · 2023/10/26(木) 19:19:37.29

まぁサイト側から●●日以上変更されてません！と警告出されたら
うっせぇわと思いつつ変えてます

**名無しさん＠お腹いっぱい。** · 2023/10/26(木) 19:27:58.79

半年前の記事
AIによるパスワードの解析時間をセキュリティ会社が公開。8桁なら7時間以内に解析完了
https://pc.watch.impress.co.jp/docs/news/1492292.html

15文字以上なら有意な時間での解析は不可能で数年前にハッシュが流出してても問題無さげ
パスワードの変更もお勧めされてるが情報元を見ても理由が？だけどね

**名無しさん＠お腹いっぱい。** · 2023/10/26(木) 19:32:24.92

>>281
ウチの会社はいつパスワードファイルが流出するかわからないので…
が省略されているものと想定し従うことにします

**名無しさん＠お腹いっぱい。** · 2023/10/27(金) 20:59:10.19

>>283
難読すぎる

**名無しさん＠お腹いっぱい。** · 2023/10/27(金) 21:28:53.52

5Gの思考盗聴でイルミナティに流出してるかもしれない

**名無しさん＠お腹いっぱい。** · 2023/10/29(日) 20:01:26.25

>>282
それって解析開始からの時間だけど
すでに何文字目までかは知らんけどデータベース有ると考えてる
データベースにあれば解析ではなく検索で出てくることになる

釣られないことと狙われないことが重要
メアドやアカウントに誕生日入れるような人は狙われるんじゃね
パスにも何らかの馴染みの数字使いそう

**名無しさん＠お腹いっぱい。** · 2023/10/29(日) 20:37:49.66

>>286
えええ、、、
もう少し勉強した方がいいと思うマジで

**名無しさん＠お腹いっぱい。** · 2023/10/30(月) 00:04:50.87

>>287
全然おかしくないし当然やってると思うぞ

あるハッシュ値についてそのもとになった文字列(＝パスワード）を探そうという時
パスワードをA B C…などと順に仮定して計算したハッシュ値を比較していくよりも
短い文字列やパスワードとして良く使われる文字列すべてのハッシュ値をあらかじめ計算してデータベース化しておき
そこから検索するほうが遥かに早い

**名無しさん＠お腹いっぱい。** · 2023/10/30(月) 00:18:33.25

というのがレインボーテーブル攻撃で
ソルトやストレッチングで対策された

**名無しさん＠お腹いっぱい。** · 2023/10/30(月) 02:56:24.81

「何文字までかは知らんけどデータベース有る」
だったらレインボーテーブルのことだけど
「何文字目までかは知らんけどデータベース有る」
って言ってるから
ソルトやストレッチングも突破できると勘違いしてるだろ

**名無しさん＠お腹いっぱい。** · 2023/10/31(火) 21:51:14.93

でもマスターパスワードはどえらいもんを設定しませんよね

**名無しさん＠お腹いっぱい。** · 2023/11/01(水) 01:06:39.94

>>291
パスワードアプリ入ってる端末
今はスマホもPCも指紋なきゃ開かないから
マスターパスもうちょっと入れやすい方が楽かなーと悩む

**名無しさん＠お腹いっぱい。** · 2023/11/01(水) 09:17:54.54

もはやKeePassDXで指紋認証使ってる

**名無しさん＠お腹いっぱい。** · 2023/11/01(水) 14:56:19.81

指紋認証ずっと使ってるけどマスターパスワード忘れそうでこわい

**名無しさん＠お腹いっぱい。** · 2023/11/01(水) 15:51:17.16

うっかりオキシクリーン溶かしたお湯に人差し指入れてつんつんしたら、めちゃくちゃ荒れて指紋認証通らなくなった

治るまで2週間ぐらいかかって不便だったわ

っぱ顔認証よ

**名無しさん＠お腹いっぱい。** · 2023/11/01(水) 16:11:36.02

手指なんて10本前後あるのだから複数登録しとけばいいのよ

**名無しさん＠お腹いっぱい。** · 2023/11/01(水) 20:26:11.04

Proton Pass使ってる方いますか？

**名無しさん＠お腹いっぱい。** · 2023/11/02(木) 18:00:14.13

顔認証なぁ
マイナカードのそれはかなりザルに設定されてるとか
スマホはそこまで落ちてはないんだろうけど

**名無しさん＠お腹いっぱい。** · 2023/11/02(木) 20:25:13.63

10月中にbitwardenがパスキー対応するって発表してたから期待したけどブラウザ拡張だけでモバイル未対応だった
デバイス間共有したいからbitwarden使ってるのに片手落ちすぎる

**名無しさん＠お腹いっぱい。** · 2023/11/02(木) 22:45:26.20

とあるクラウドシステムの管理コンソールのパスワードが60文字まで可、だったので試しに40文字で設定したらログインできなくなった。
htmlのソースを見たら、設定するときは入力できるが、ログイン画面は最大32文字で制限がかかっていた。
サポートに問い合わせしたら1か月後に修正された。
これまで何年も33文字以上のパスワードを設定したユーザーはいなかったのだろう。

**名無しさん＠お腹いっぱい。** · 2023/11/02(木) 22:57:26.79

まぁ、40桁とかツールないと覚えらんないしなw

**名無しさん＠お腹いっぱい。** · 2023/11/02(木) 23:39:21.71

昔8文字を超えるパスワードを設定すると
ログインする場所によって先頭8文字でないとログインできないところと
全部でないとログインできないところが混在して
大変になったことがあったな

**名無しさん＠お腹いっぱい。** · 2023/11/03(金) 01:09:42.89

今は使われてないと思うが、昔のUNIXだとパスワードの保存にDESを使ってたから
何文字入れても 8文字で切られてたな

**名無しさん＠お腹いっぱい。** · 2023/11/03(金) 01:12:29.72

今でもそんなところがゴロゴロしてる
文字数上限5000兆文字にしろとは言わないからせめて64文字くらいまでは受け入れて上限も明示してくれとは思う

**名無しさん＠お腹いっぱい。** · 2023/11/03(金) 01:36:15.25

仮にパスワードの上限を256文字にしても現代のインターネットなら大した通信料にはならないだろうし。
普通はパスワード自体はデータベースに保存せずにハッシュを保存するから64文字だろうが256文字だろうがデータベースに書き込む容量は変わらない。
たぶんシステムを開発している人はパスワードマネージャーのことを知らなくて、どうせ20文字以上のパスワードを使う人はいないだろうと思って短めに設定してるんじゃないか?
もしくはパスワードの上限を64文字にするとシステムをテストするときに64文字以下のいろんな長さのパスワードでテストしなくちゃいけなくなるから、手間を省くために上限を短くしているのでは。

**名無しさん＠お腹いっぱい。** · 2023/11/03(金) 06:43:08.68

単なる仕様の確認漏れや不整合だろ考えすぎだよ

**名無しさん＠お腹いっぱい。** · 2023/11/03(金) 07:58:13.87

ようするに8桁以上は実用性ないよな

**名無しさん＠お腹いっぱい。** · 2023/11/03(金) 08:59:48.31

文字数の上限を明示してくれ、に同意
せめて、上限を超えていたらエラーを出してくれ

**名無しさん＠お腹いっぱい。** · 2023/11/03(金) 09:22:47.48

全サービス2FAを希望します
次回以降この端末では～前提で

**名無しさん＠お腹いっぱい。** · 2023/11/03(金) 14:15:07.68

上限6文字を明示されても困るけどな
(銀行で実在する)

**名無しさん＠お腹いっぱい。** · 2023/11/03(金) 21:45:17.44

Sticky PasswordプレミアムLifetime　85%Off　$29.97
https://jp.colormango.com/product/sticky-password-premium_103255.html
ここから本家に飛ぶとブラックフライデー価格で$39.99てどういうことよ

**名無しさん＠お腹いっぱい。** · 2023/11/04(土) 05:40:52.32

ドコモのネットワーク暗証番号は今でも4文字の数字

**名無しさん＠お腹いっぱい。** · 2023/11/04(土) 08:02:08.11

>>312
auもそうやで

**名無しさん＠お腹いっぱい。** · 2023/11/04(土) 10:50:55.10

暗証番号は誕生日定期

**名無しさん＠お腹いっぱい。** · 2023/11/04(土) 13:20:15.50

>>312
ソフトバンクも楽天もじゃね?

**名無しさん＠お腹いっぱい。** · 2023/11/04(土) 14:57:10.85

5桁以上になるとATMが対応できないとか？

**名無しさん＠お腹いっぱい。** · 2023/11/04(土) 15:35:48.10

4桁暗証番号は他の認証をした上で重ねての本人確認用途だからな

**名無しさん＠お腹いっぱい。** · 2023/11/04(土) 15:56:29.53

メモ
KeePassで二段階認証2FAがプラグイン導入等でできるかどうか調べる中で
Edit Entry(Quick)の中に
OTP(ワンタイムパスワード) Generator Settings
があることを発見して各種サイトで試してみた結果

サポート
X(secret Base32 その他デフォルトのまま)
epic games(secret Base32 その他デフォルトのまま)
二段階認証成功して利用中
作成の時
Time-Based TOTPタブを使う
QRコード表示の下に見れない場合というリンクがあって
それをクリックすると秘密コードが表示されるので
コピペしてshared secret欄に入力するとOTPが表示される
使用時は右クリック時にOther Dataの中にCopy Time-Based OTPがあって選ぶとクリップボードにコピペされる

非サポート
MicroSoft Account
Amazon
Google Account
生成したワンタイムパスワードを入力するが弾かれて成功しない
デフォルト設定から変更する事が必要なのかもしれないが
ググったところではどこをどう変更するのか情報がないようだ
amazonは生成したワンタイムパスワード入力してそこまではできたが
最後のSMS認証で一度キャンセルしてしまって
その後はなんどもトライしたが弾かれてしまうのでおま環の可能性がある