パスワード管理ツール Part15

**名無しさん＠お腹いっぱい。** · 2023/08/19(土) 18:05:02.94

パスワード管理ツール（ソフトウェア）について語るスレです。

前スレ
パスワード管理ツール Part14
https://egg.5ch.net/test/read.cgi/software/1659687785/

**名無しさん＠お腹いっぱい。** · 2023/09/10(日) 12:29:33.52

>>68
Chromeのスレで聞けよ
スレチだよ

**名無しさん＠お腹いっぱい。** · 2023/09/10(日) 12:59:27.98

てかあれパスワードの管理ばかりGoogle依存では？
自分のアカウントの管理ページ行けばありそう

**名無しさん＠お腹いっぱい。** · 2023/09/10(日) 13:32:41.32

>>57
ローカルに置いていたって、盗まれるときは盗まれるし、
盗まれたことにも気づけないだろうけどな

**名無しさん＠お腹いっぱい。** · 2023/09/10(日) 17:05:40.94

>>71
リモートから不特定多数の情報を盗むより
物理的に接触して個人のPCとかフラッシュメモリとかを盗むほうが難易度が高くないか?

**名無しさん＠お腹いっぱい。** · 2023/09/11(月) 11:49:47.23

>>72
インターネットにつながってないPCでパスワード管理してるということ？

**名無しさん＠お腹いっぱい。** · 2023/09/14(木) 13:37:47.54

Sticky Password使ってる人いますか？
どんな感じですか？　気になってます。

**名無しさん＠お腹いっぱい。** · 2023/09/14(木) 16:04:49.49

素敵です。

**名無しさん＠お腹いっぱい。** · 2023/09/15(金) 14:52:40.81

このスレ的にはkeepass推しが多いようで移行などの話もみますが
UIとかアプリなどはBitwardenの方が使いやすいような記事をみます
Bitwarden使おうと思ってましたが、このスレみてて揺らいできました
Bitwardenとの決定的な差はなんでしょうか？

**名無しさん＠お腹いっぱい。** · 2023/09/15(金) 15:01:28.47

>>76
両方使ってみれば？

**名無しさん＠お腹いっぱい。** · 2023/09/15(金) 16:04:28.93

>>76
併用してるよ。
Windowsユーザなら、Windowsアプリへの自動入力はKeepassしかできない。
ブラウザやスマホアプリの入力はBitwarden任せてる。

**名無しさん＠お腹いっぱい。** · 2023/09/15(金) 18:02:40.95

keepassはUI気に入らなければアプリ変えれるのも強み
そういうの探すの面倒な人にはデメリットかもしれんが

**名無しさん＠お腹いっぱい。** · 2023/09/15(金) 19:14:40.23

大袈裟だなw
選択肢そんなにないだろ

**名無しさん＠お腹いっぱい。** · 2023/09/15(金) 20:49:02.17

新しいkeepass互換アプリが欲しい

**名無しさん＠お腹いっぱい。** · 2023/09/15(金) 21:34:25.69

ホンマでっかな先生は紙ベースが一番
リクスはネットワーク不正アクセス＞物理的盗難とおっしゃってました

**名無しさん＠お腹いっぱい。** · 2023/09/15(金) 22:42:03.95

リクスはないわ

**名無しさん＠お腹いっぱい。** · 2023/09/16(土) 04:32:27.37

今Amazonの二段階認証が突破されて
不正利用されたって話題だけど本当に二段階認証が突破されたのか
あまりググってもあまり詳細情報が出てこないんだよな

**名無しさん＠お腹いっぱい。** · 2023/09/16(土) 05:58:02.26

メールの偽アドレスに引っかかって自分で二段認証を承認しちゃってるじゃないかな

**名無しさん＠お腹いっぱい。** · 2023/09/16(土) 06:03:25.63

api使っててリダイレクトで本物のサイトでログインしてるらしい

**名無しさん＠お腹いっぱい。** · 2023/09/16(土) 08:44:17.89

色々見てみたが二段階認証を突破されるほどヤバイのに被害報告がほとんど無いように見える

**名無しさん＠お腹いっぱい。** · 2023/09/16(土) 08:45:42.87

>>86
id,passもろとも2SAがやられる一例がリバプロ型のフィッシングサイトってだけで、それが今回の事例の手段として確定的かはまだわからんでしょ。

**名無しさん＠お腹いっぱい。** · 2023/09/16(土) 09:25:45.29

あまり知識がない人がSNSで話しているのを見ても何が起きたか特定するのは無理だな
オケゲムには期待してるが

**名無しさん＠お腹いっぱい。** · 2023/09/16(土) 09:35:29.87

特定は無理だとしてもその割には被害報告が少なすぎる
少なとも見た範囲では報告してる人がいない
もっともメールを不用意に開くような人は何使っても防げないのだろうけどね

**名無しさん＠お腹いっぱい。** · 2023/09/16(土) 10:51:40.88

テレビで特集される偽サイトとか伝説の島と思ってる
行きついた経路だけ事細かに聞きたい

**名無しさん＠お腹いっぱい。** · 2023/09/16(土) 11:23:09.71

いや、今グーグルで商品名で検索したら偽サイトばっかりじゃんじゃんでてくるじゃん
普通のサイトより偽サイトの方が多いとかザラだし
どうなってんだよグーグル

**名無しさん＠お腹いっぱい。** · 2023/09/16(土) 11:32:55.66

https://internet.watch.impress.co.jp/docs/yajiuma/1531794.html

ちょっと前に2段階認証の通知が入るってニュース有った気がするから
その後突破されたんかねぇ？

**名無しさん＠お腹いっぱい。** · 2023/09/16(土) 11:56:58.28

突破されたと言ってる人に二要素認証と言ってる人がいないところからお察し

**名無しさん＠お腹いっぱい。** · 2023/09/16(土) 12:02:44.27

被害にあっているのは認証アプリを使っていない人かな

**名無しさん＠お腹いっぱい。** · 2023/09/16(土) 12:05:05.59

俺がXで見た人はsms認証がどうの言ってたな
認証アプリのことも言ってた気がする

**名無しさん＠お腹いっぱい。** · 2023/09/16(土) 16:42:35.43

>>93
これの影響なのかAmazon Payを利用できないネットショップが出てきた

**名無しさん＠お腹いっぱい。** · 2023/09/16(土) 16:42:55.90

×利用できない
○利用を中断

**名無しさん＠お腹いっぱい。** · 2023/09/18(月) 14:24:10.36

一般ユーザーはメモ帳とかワードとかエクセルが基本なのかな

**名無しさん＠お腹いっぱい。** · 2023/09/18(月) 15:21:36.25

全サービス誕生日で統一が基本だろ

**名無しさん＠お腹いっぱい。** · 2023/09/18(月) 22:18:23.58

admin1234

**名無しさん＠お腹いっぱい。** · 2023/09/18(月) 23:13:25.16

p/q2-q4!
これなら5年はもつ

**名無しさん＠お腹いっぱい。** · 2023/09/19(火) 13:47:48.81

一般人って、紙に書いておくくせに「名前＋数字」とかアホみたいなものにするよな
紙に書くくらいなら、もっと難しいものにしておけばいいのに

**名無しさん＠お腹いっぱい。** · 2023/09/19(火) 22:59:36.06

まあでもどこもかしこも登録登録登録だよね
アカウント断捨離捗る

**名無しさん＠お腹いっぱい。** · 2023/09/20(水) 02:07:04.92

「今ですと、アプリを登録していただくと10%オフになるんですけどぉ」
でアプリをインストールすると、「起動して頂いて、お名前と住所と電話番号を入力して頂いて、次へをタッチしていただいて」
「メールアドレスと、パスワードを入力していただいて」
でどんどん増える
だいたい、その場でパスワードを入力して憶えておけってムチャ

**名無しさん＠お腹いっぱい。** · 2023/09/20(水) 16:40:18.81

確かにその状況になると誕生日名前とかになるわね

**名無しさん＠お腹いっぱい。** · 2023/09/21(木) 19:31:59.31

記録してるパスワードで一番短いのが銀行WEBという
老若男女問わず使うからなんだろうなあ

**名無しさん＠お腹いっぱい。** · 2023/09/21(木) 23:17:28.91

>>103
まあ紙に書くって表現が
本当に紙に手書きなら、一文字、一文字、手書きは面倒だから簡単な物になりやすい
管理ツールを使って長くて面倒な物を紙に印刷なら複雑でも気にしない
要するに、手書きや手入力や頻繁にパスワードを変えろ、変えろってサイトは
面倒だから簡単な物になりやすい

要するにさ、複雑で長いパスワードにしても
サイト側がコピペを禁止したら毎回、毎回それ入力するのって事になって簡単な物になるよな
だから最近じゃ頻繁パスワード変えろって言うのは逆効果って言われているのに

一部のサイトは頻繁にまだパスワード変更しろとか言ってくるよな

**名無しさん＠お腹いっぱい。** · 2023/09/21(木) 23:44:29.62

マスターパスワードの代わりに生体認証を導入してるのってどこですか？

**名無しさん＠お腹いっぱい。** · 2023/09/21(木) 23:56:41.25

safe in cloudは指紋認証でいける

**名無しさん＠お腹いっぱい。** · 2023/09/22(金) 04:06:55.33

そういえば例のアマゾンの二段階認証の件はどうなった？

**名無しさん＠お腹いっぱい。** · 2023/09/22(金) 05:18:07.87

>>111
続報無いからフィッシングに気づかなかったで確定だと思う

**名無しさん＠お腹いっぱい。** · 2023/09/22(金) 08:20:07.60

Amazonこっそりパスキー対応してるな
IDとパスワード両方の入力が必要なログイン画面ではパスキー使えないっぽいから不完全だけど

**あぼーん** · NG

あぼーん

**名無しさん＠お腹いっぱい。** · 2023/09/22(金) 09:56:28.22

丁度この間Amazonで不正アクセスされかけたんだが
アプリで事前にログインしていいかの連絡がきたぞ
ちなみに２段階認証もかけてないガバガバの状態のアカウントだったから
フィッシングに気付かず自分でログインしたので確定だろ

**名無しさん＠お腹いっぱい。** · 2023/09/22(金) 10:11:22.48

>>114
グロ

**名無しさん＠お腹いっぱい。** · 2023/09/22(金) 11:01:07.60

>>114
一応試してみるかね。

**名無しさん＠お腹いっぱい。** · 2023/09/22(金) 19:10:36.74

アマゾンがパスキーに対応したなら黙ってても
ネットニュースなるのに
何処も報道してないのはなんでだ？
試験段階で発表前だからなのか

まあどっちにしろAmazonでパスキーでログインか
まだ他もパスキー作ってないし暫くは様子見かな

**名無しさん＠お腹いっぱい。** · 2023/09/22(金) 19:16:24.93

>>118
x見ると、段階的にロールアウトしてるっぽい。

**名無しさん＠お腹いっぱい。** · 2023/09/22(金) 22:26:00.16

iPhoneで試したけど、今のところはPC版サイトからログイン画面に移動し、メールアドレス入力後にパスワード入力画面に移動してはじめてパスキーが使える
おまけにパスキー認証しても2段階認証不可避な残念仕様

**名無しさん＠お腹いっぱい。** · 2023/09/24(日) 11:40:24.44

LastPassのマスターパスワードが12文字以上必須に
……えっ12文字未満が許されている中で暗号化済みVaultが漏洩したの？

**名無しさん＠お腹いっぱい。** · 2023/09/24(日) 11:44:43.58

ここ壊れてます

**名無しさん＠お腹いっぱい。** · 2023/09/24(日) 11:51:17.29

>>121
8文字のユーザーが多いのでリスク低減のために12文字以上が必須になっただけでは
えっと驚くような人は使わないほうが良いかもね～全部頭の中で覚えて運用してください

**名無しさん＠お腹いっぱい。** · 2023/09/24(日) 12:37:58.08

>>123
えっもしかして漏洩事件をご存知でない？
私は12文字以上にしていますが、8文字なんかオフライン攻撃にやられてしまうのでびっくりしちゃいました
前から12文字以上しか設定できなかったけれど今回は昔から変えていないユーザーにも強制するようですね

**名無しさん＠お腹いっぱい。** · 2023/09/24(日) 13:14:35.12

>>121
前スレの
大半のパスワードを1分以内にクラッキングできるAI「PassGAN」が登場- GIGAZINE
https://gigazine.net/news/20230412-ai-can-crack-in-1-minuites/

この辺踏まえるとパスワードの文字数大事だから
注意促そって感じでは？

**名無しさん＠お腹いっぱい。** · 2023/09/24(日) 13:36:07.85

やはりマスターパスワードを保存するパスワード管理ツールのマスターパスワードを保存するパスワード管理ツールが必要だ

**名無しさん＠お腹いっぱい。** · 2023/09/24(日) 14:19:23.45

>>121
いまさらそんな対策してたんだ
知らんかった
20文字以上にしてるからか

**名無しさん＠お腹いっぱい。** · 2023/09/24(日) 17:53:19.47

やっぱりキーファイル使えるkeepassが良いよ

**名無しさん＠お腹いっぱい。** · 2023/09/24(日) 18:17:11.73

大文字・小文字・数字・記号を使っても8文字じゃ7時間
もはや法律で規制がいる文字数だな

**名無しさん＠お腹いっぱい。** · 2023/09/24(日) 23:43:18.84

LasrpassAuthenticatorに代わるオススメある？

**名無しさん＠お腹いっぱい。** · 2023/09/25(月) 00:11:52.41

設定できるパスワードの文字数上限がやたら短いサービスとか稀にあるよな
ユーザー情報管理に割く容量を、ユーザー当たり1バイトでも減らしたいのかな？
もっとも、ハッシュ化して保存してるなら容量も変わらんと思うが

**名無しさん＠お腹いっぱい。** · 2023/09/25(月) 00:23:46.48

短いのはまあ良いけど（良くはないが）
自分の所の設定文字数過ぎたら何も言わずにカットして設定するくせに
認証の時は余分な文字入ってるからって通らなくなるサイトはほぼ罠

**名無しさん＠お腹いっぱい。** · 2023/09/25(月) 01:03:37.99

そもそも使える文字数や記号を明記しないのは何故？

**名無しさん＠お腹いっぱい。** · 2023/09/25(月) 08:43:45.48

「小文字」英数のみです→うんち

**名無しさん＠お腹いっぱい。** · 2023/09/25(月) 09:48:50.95

パス文字数少ないとこはハッシュ照合負荷を少なくしたい
たぶん鯖弱い
SHA256使ってないだろうな

**名無しさん＠お腹いっぱい。** · 2023/09/25(月) 09:53:20.33

賢い>>134は24桁にしてすべて暗記したら良いでしょう
大丈夫！あなたなら出来る

**名無しさん＠お腹いっぱい。** · 2023/09/25(月) 10:50:19.84

ETCの認証が初めの頃は短すぎたな
英数8文字までだったかな

**名無しさん＠お腹いっぱい。** · 2023/09/25(月) 20:15:02.43

マスターパスワード長くししろって長くしたらしたで
間違えずに入力するの面倒だから
なんかにメモってそれをコピペって感じなるけど
それはセキリティ的にはいいのか？

**名無しさん＠お腹いっぱい。** · 2023/09/25(月) 20:57:53.04

keepassならキーファイルと併用
他のパスマネでも生体認証とかあるし

**名無しさん＠お腹いっぱい。** · 2023/09/25(月) 23:27:29.79

最近話題のパスキーって生体認証と何が違うんですか？
あとwindowsへのログインで指紋・顔認証を利用してる方は突然壊れたらバックアップってあるんですか？

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 04:37:17.52

パスキーは生体認証を利用した認証方式
パスキーが出る前の生体認証はたとえばWindowsのログオンしか使えずサイトへのログインには対応していない

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 07:13:02.85

生体認証機器壊れてもwin11にはPINがあるので、PWは盗まれない。

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 08:02:14.85

てことはPINやパスワードの入力が必要なパスキーはないってこと？

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 08:03:14.66

便乗で質問。パスキーと秘密鍵は別物？

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 08:06:43.05

>>144
秘密鍵をググった方がいい

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 08:42:19.52

>>144
>>54読んで

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 09:10:30.30

秘密鍵を開くのに生体認証を用いるのがパスキーって事かしら

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 09:30:53.75

>>54にも書かれてるので読んだほうが良いが必ずしも生体認証は必要ない
あくまでも本人確認ができればいいのでPINでも大丈夫

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 09:34:11.50

>>147
>>54読んだ？
ユーザー識別子を含んだ情報を回答するのがパスキーだって書いてあるよ
ただまあサーバーとのやり取りの話なので認証アプリを使うユーザーにとっては関係ない

生体認証はパスキーとは全く別の端末内だけの役割
例えば認証アプリの起動に使われる

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 09:35:49.03

てことは141の1行目は言葉足らずなのかな？　イマイチちゃんと理解できないわ。おおざっぱには分かるものの

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 09:38:21.52

パスキーは仕組みの名前なのかモノの名前なのかすら理解できてないっす。前者かな？とは感じてる

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 10:10:11.36

>>150
>141の1行目は言葉足らずなのかな？　
そだね
認証アプリを使ってるのが本人かの確認に使ってるだけと言える
PINでも良い
端末がロック解除されてるということだけでOKの認証アプリもあったと思う

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 10:34:06.41

>>151
パスワードと同じで
秘密の文字列データを指すときもあるし仕組みを指すときもある
特に違いを強調したい時は〇〇方式ととか言えばいい

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 11:37:41.06

PINでもいいってことはパスキーはFIDOではない？

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 13:03:55.01

>>154
FIDOでスマホはロック解除状態なら本人確認済み状態だそうだ

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 14:01:02.83

だから>>54を読めって
全部書いてあるから読まずに質問すんな

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 14:11:01.42

読んでないのか読んでも理解できないのか

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 14:13:04.14

あ、ごめん書いてなかったよね。54は読んだけど理解できなかったです

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 15:33:29.45

なんか生体認証がFICO認証の役割を持ってると誤解してる人が多そうだな
FICO認証方式は生体認証とは別に考える必要がある。生体認証を使うのになんで？と疑問に思うかもしれないが理由はサーバー側が生体認証の情報を持たないから。デバイス側が生体認証の情報を渡すわけでもない
デバイス側が「本人確認したので公開鍵をサーバーへ送る処理をする」ために生体認証によって本人確認を行うので別にPINやパスワードでも構わない。手軽な方法として生体認証が用いられてるだけ
従ってパスキー＝生体認証ではないとも言える。先述したようにPINでも良いから

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 15:38:28.77

https://www.nttcoms.com/service/ciam/column/20220214/
>>54のサイトより比較的わかりやすく解説してると思う
これでもまだわからないなら各自で用語をGoogle検索して調べてくださいな

**154** · 2023/09/26(火) 15:41:34.81

なるほどー勉強になった

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 15:41:44.77

そうそう上のサイトで触れてるけどFICO認証方式にはいくつか種類がある
専用のデバイスが必要なものもある

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 17:10:17.86

F、FIDOを誤解してるやつが登場してるのか

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 19:33:12.00

1passwordに登録してあるamazon.comに「このアイテムでパスキーが使用できるようになりました」って表示されたからこれをポチッって押したけどこれでいいの？

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 22:54:26.43

FIDO2の秘密鍵を指紋認証でロックするから
パスキーは指紋認証か？と言われたらNoだけど
SSLの共通鍵を公開鍵で暗号化するから
SSLは公開鍵暗号か？と言われたらYesなんだよね
いい加減なもんだよね

**名無しさん＠お腹いっぱい。** · 2023/09/26(火) 23:07:18.25

>>165
指紋認証はオプションだけど
SSLの公開鍵暗号はマストでしょ
クリアじゃん

**名無しさん＠お腹いっぱい。** · 2023/09/28(木) 03:13:43.61

ふーん
つまり外部からデバイス偽装しても秘密鍵がなければ駄目
デバイス盗まれても画面ロック解除出来なきゃ駄目ということでいいのか

**名無しさん＠お腹いっぱい。** · 2023/09/28(木) 13:12:47.02

秘密鍵が入ったデバイスと指紋がべったりついていそうなもの(コップやマウスなど)を盗めば指紋認証を突破して秘密鍵をゲットできるんじゃないの?
あと秘密鍵が入ったデバイスが壊れたら二度と認証できなくなるのでは?
これを防ぐには予備のデバイスにも秘密鍵を入れて認証できるようにしておくかバックアップコードでも保存しておくしかないのかな。