Bitwarden Part 01

無料でもしっかり使えるパスワードマネージャ、Bitwardenのスレです。

公式サイト
https://bitwarden.com/
ダウンロード
https://bitwarden.com/download/
公式フォーラム
https://community.bitwarden.com/
reddit Bitwarden
https://www.reddit.com/r/Bitwarden/

---

VIPQ2_EXTDAT: checked:vvvvv:1000:512:: EXT was configured

help.bitwarden.com
が死んでる

https://i.imgur.com/LLPi3WR.jpg

LastPassからBitwardenに乗り換える場合

・移行すると使い勝手に不満を感じるかもしれないけど、一週間使えば慣れる。どんなツールに移行しても、新しくできることよりできないことに目が行きがち。
・Bitwardenも今後、無料で利用できる範囲が限定されたりするかは不明。今の所そういう気配はない。
・パスワードの完全自動記入は、オプション設定でできる。自動ログイン（フォームの自動送信）はできない。
・アイテム単位のマスターパスワード再要求はできない
・LastPassでエクスポートしたCSVをBitwardenにインポートすることは可能。ただ、アイテム名・ユーザ名・パスワード・URLといった基本的なデータが基本なので、取りこぼしもある。（例：添付ファイル、追加作成したForm Fieldなど）
https://bitwarden.com/help/article/import-from-lastpass/
・ユーザ名とパスワード名以外の入力は、Custom Feilds機能を使うとよい。(LastPassでいうForm Field)
https://bitwarden.com/help/article/custom-fields/
・Bitwardenでは添付ファイルは有償ユーザのみ利用可能(1年10ドル)。Dropboxなどに長いパスワード（例：100文字）で暗号化したZIPを保存しておいて使うとよい。(長いパスワードとしたのはOS標準使えるZIP暗号化方式が総当たり攻撃に弱いから。)
・アカウントやパスワードの保存確認通知がでない場合は結構あるので、アカウント作成やパスワード変更時に事前にアイテムを作成・保存してから記入させるとよい。
・Androidアプリはバッテリ最適化対象外にしておくと、パスワード入力フロートが消えることがなくなる。

>>2
https://bitwarden.com/help/
こちらなら行けると思うよ。

>>4
ありがとう。
でも、拡張機能のリンク先は>>2になってるんだよな。
サポートにきいてみる。

>>5
ほんとだ。今は拡張機能のヘルプからたどっても、いったん、help.bitwarden.comに飛ぶけど、その後bitwarden.com/helpにとぶよ

2段階認証設定している人は、リカバリーコードを保管するのを忘れずに。
2段階認証が使えなくて、リカバリーコードがないとアカウントとさようらなになるよ。

おかげさまで、1日でLastPassから完全移行しました
スマホでの安定度はこっちが上だな

Windows10のFirefoxのアドオン使ってるけど、いくつかのサイトで自動入力が動かないけどどうすればいいですか？
例えばAmazonログイン画面、アドオンのアイコンには1て出てるしアイコン手動クリックすれば入力されるけど、ページ読み込み時に自動では入らない

>>9
カスタムフィールドという機能がある
例えばAmazonだと、登録済みアイテムの編集で、カスタムフィールドというのがあるので、

名前
ap_email
値
登録したメールアドレス

で自動入力が働く。

ゆうちょダイレクトみたいに、入力値が複数ある場合とかでも有効。

https://excesssecurity.com/bitwarden-custom-fields/

ゆうちょダイレクトの番号入れてくれるのはホントに有能。

>10　どうもありがとう、助かった
・ユーザ名は空欄、カスタムフィールドにアドレスを入れたところ、自動入力成功したがこれをbitwardenで保存しますか？と聞かれる
・ユーザ名とカスタムフィールド、両方にアドレスを入れたところ、自動入力成功して保存しますか？も出ない
ってことで、ユーザ名とカスタムフィールドの両方に入れるのがお作法としては正しいんですかね？
サイトによるんでしょうが、なんか二重管理っぽくなって違和感が・・・まあ動けばいっか

>>13
bwだと、完全自動入力はβ版のオプション扱いになってるね。

自分はキーボードショートカット使ってるよ。
https://bitwarden.com/help/article/auto-fill-browser/
On Windows: Ctrl + Shift + L
On macOS: Cmd + Shift + L

キーボードショートカットの場合は、カスタムフィールド設定なしでユーザ名がちゃんと入るよ。

LastPassは完全自動入力どころか、自動送信までできるからね。移行したときに違いを感じるけど、同じサイトでも複数アカウントあると、キーボードショートカット連打で切り替えできるからこっち使ってる。
好みの問題だけど。

>>14
キーボードショートカット参考になった、ありがとう。

長らくスタンドアロン版の1Password6を我慢して使い続けてたけどBitwardenの無料版に移行したからよろしくな
1Passwordから移行した感想としてはUIや機能がまんま1Passwordでまったく違和感なく使えるしマルチプラットフォームで同期もできるしこれで無料なのはマジ最強だな

>>17
有料にしたとしても、年額$10だからね。

有料プランにする機能的メリットって薄くて、ほぼbitwardenの存続を願うお布施みたいな感じ。

一応書いておくと、
- 添付ファイル（合計1GB）
- TOTPクライアント機能
- 2FAの選択肢広がる
- ヘルスレポート（漏えいチェック）
- emergency access
みたいな感じ

https://bitwarden.com/pricing/

なお、無料ユーザでも、一人までならパスワード共有できるのも地味に便利だよ。

年$10なら払ってもいいかも
LastPassは月3ドルだっけ？

>>19
そだね。LastPassも昔は年額$10か12くらいだったんだけど、値上げについて行けずにサブスク止めてしまった。

Lastpassは無料の制限厳しくするにしても、サブスクの価格を値下げすれば、もすこしユーザ残っていただろうに。

bw豆知識
bwはロックとログアウトがあり、
ロックはローカルに保管庫データを残した状態。
この状態だと、オフライン状態（サーバダウンや、ネット切れ）でもアンロックできる。
ログアウトは、ローカルの保管庫データを消し去るので、オフライン状態だと保管庫にアクセスできない。

利便性か安全性かの問題なので、上記を踏まえて選んでください。

サイトのパスワード変更する際に、bwだと旧パス・新パス・新パス復唱の3枠に登録パスが入力される
これを防ぐには新パスと新パス復唱のカスタムフィールドに空欄を登録しておく(new_passwordとかの名前が多い)
lastpassだと旧パスに登録パス、新パスと新パス復唱には自動生成パス候補を入力してくれていたのが便利だったなあ

パスワード自動生成まわりがなんとなく手順が多くて億劫に感じてしまう

>>22
とりあえず旧パスワード（現パスワード）を入力して、
Ctrl+shift+9（または、右クリックのコンテクストメニューからパスワード生成）で、新パスワードをクリップボード格納、それを新パスワードと確認用フィールドそれぞれにペーストしてサブミットかな。

bwの自動保存確認がでればいいけど、でない場合もあるのでその場合すぐに自分で登録パスの更新をする。

どこかのスレでBitwardenの2段階認証に抜け穴があるみたいなことが書かれてたけど、
結局あれはどうなったんだ？

仮にセキュリティホールがあったとしても一般的なユーザーにはなんの関係もないんじゃないの
だってそういう犯罪者集団がその気になればアメリカ国防総省ですら簡単にクラッキングされるのに俺らにできることなんて何もねーだろ

>>25
穴を公開したらスクリプトキディ的な犯罪者が簡単に利用できるじゃん
修正しなかったらヤバイよね

パスワードが平文だとか誰でも簡単に復号化できるとかそういうカジュアルなハッキングを防ぐのは大事だけどダークウェブでツール買うようなガチの犯罪者に目をつけられたら無理だろ
そもそもリスク犯して一個人をターゲットなんかにするはずもないからやっぱり関係ねーよ

>>25
どの程度の危険性があるかとかではなく、
妙に騒いでたあの問題は結局どうなったんだと

TOTP自体ブルートフォースアタックからどう守るかが永遠の課題
30秒ごとに6桁の数字が変わっても、下手な鉄砲も数打ちゃ当たるで
成功する可能性はある

https://security.stackexchange.com/a/185917

かといってアカウントをロックしたりするとDoS攻撃に繋がるので
怪しいログイン試行に警告を出してマスターパスワード変えてもらう方が現実的

データベースに保存されてる秘密鍵が盗まれても突破出来るけど
その前にマスターパスワードを破る必要はあり
保管庫の内容はマスターパスワードが無いと復号できないし
大規模な攻撃あったら運営がリセットするはず
多分

>>28
読めるならGitHubのソース見れば？
脆弱性が本当にあるなら見れば分かるはず

2FAを破る方法は次の2つだけである

�@秘密鍵をデータベースから盗む
➁ブルートフォースアタック

ログイン時に2FA要求されないバグとかログアウト時に情報を消さないバグがあるとかなら
これらの方法以外もいけるかもしれんが
余程スパゲッティコードになってないとそんなバグは無いんでね

Bitwardenのサポートに連絡しても2FAの設定を削除する事はできない

>>30
結局のところセキュリティにとっての一番の驚異って単純なブルートフォースアタックやヒューミントなんだよな

>>28
結局脆弱性じゃなくて運用ポリシーの話だったから
気に入らないなら運営に要望するしかない、という結論になった

その後実際に要望を出したかどうかは報告されてない
GitHubのissueを眺めてる限りはそれっぽいのは無かったが

>>32
どうもです

roboformから移行してきたんだけど
カスタムフィールドにもIDとpassがコピーされるのはどうしようもない？
結構な数だから手動で消すのしんどいんですよね

>>34
roboformからエクスポートしたcsvを、excelやgoogle spreadsheetに取り込んで、汎用的なcsvに列を調整して再取り込みしなおす
https://bitwarden.com/help/article/condition-bitwarden-import/

csvなんてただのテキストデータだしBitwardenはjsonもインポートできるんだから自分でいくらでも整形すりゃいいじゃん
pythonで書けば一瞬だろ

今日からBitwardenを使い始めました。
このアプリで左側にでる部分のタイプとフォルダについてですが
フォルダは追加できるのですがタイプは項目追加できないのでしょうか？
もしできるならその方法を教えてください。

>>37
（web保管庫の操作を前提に回答）
ログイン、カード、ID、メモ以外の新しいタイプをつくりたいという質問なら、それはできない。

各タイプのアイテムを新しく追加したいというなら、画面中央部、上に「+アイテムの追加」があるのでそこからアイテム作成はできる。

もし前者の質問なら、どんな目的のアイテムつくりたいの

複数選択して削除できないのがめちゃくちゃ不便なんだができないよな？

>>38
できないんですね。
フォルダでもいいんですけど、アイコンで視覚的に見た目をよくできればなって思いまして。
今まで1pass使ってて、比べるとシンプルで見た目がさみしいなって。

>>39
WEB版でできますよ。

>>40
カスタムアイコンの機能追加要望があがってるけど、あんまりすすまなそうだね。

次善策になるか微妙だけど、アイテム名にUnicode絵文字を埋め込むことはできるから、それで代用とかかなぁ。

例:⚡mysitename

>>42
Unicode絵文字ですか。。。
ちょっとググってきます

Chromeのアドオンについて教えて下さい。
Chrome上からこのアプリを起動させると、ダブという箇所が反転してるんですが
これを保管庫にするってことは可能でしょうか？
タブだとカードタイプしか検索できないくて一手間かかって面倒なんです。

>>44
できない

タブは、URLにマッチングしたアイテムか、カードのアイテム、あとはお気に入りのアイテムがでる。

webページに入力したいアイテムであれば、urlマッチングさせる、urlに紐付かないものであればお気に入りに登録して、タブに表示させるか、検索するかという感じ。

LastPassから移籍してきました
Android版のvivaldiで使えますか？
自動入力の設定は有効にはしたんですが入力フォームをタップしてもbitが出てきません
設定方法あれば教えてください

>>46
すみません、自己解決しました

Samsungブラウザだと自動入力でどのサイトか認識できずにいちいち検索して探さないといけない
どうにかならんかね

>>47
自己解決したみたいだけど、一応
vivaldiでも他のブラウザでも、Androidの場合、パスワード入力欄でAutofillのボタンがでる場合が多いので、ユーザ名より先にパスワード欄をタップするのおすすめ。
Autofillのボタンがでないときがある場合は、Bitwardenの電池最適化を外すのをオススメ。
あと、通知バーのボタンにBitwardenのAutofillが追加されているので、パスワード欄で反応しないときはそれを使ってる。

>>48
てもとのS20では、samsungブラウザでも反応したよ。>>49に書いた使い方でも反応しない？

>>48
確認したバージョンは13.2.2.4
古いのだと、うまく動作しないかも？
https://www.reddit.com/r/Bitwarden/comments/hf2kt1/samsung_internet_now_supports_bw_autofill/?utm_medium=android_app&;utm_source=share

ロック時の生体認証での解除プロセスが面倒臭すぎる
UIや機能は1Passwordを上手くパクってるけどアプリやブラウザ拡張はユーザビリティが全般的に今一つだな
これは有料とか関係ないから早く改善してほしいんだよな

1Passaから乗り換えたんだけど、俺的にはbitwardenの方が使い勝手がいいな。
>>44で不便を感じたけどちゃんと設定すれば手間なくログインできるし
あとアドオンのアイコンに数字が出るのもいい感じ。
有料機能はまったく必要ないけど、無料で使うのも気が引けるからお布施しました。
月200円、年間20000円ぐらいまでだったら躊躇なく払える。
いつまでもこのサービスを続けて欲しいですね。

>>49
情報ありがとうございます
今回は恥ずかしながらAndroid側の設定を忘れていたという超初歩的なミスだったんですが反応しないときのためにメモしました

ブラウザのアドオンで生体認証の設定をすると、デスクトップ版の生体認証を使用しろと
警告が出たのでデスクトップ版で使用するにして、再度アドオンで生体認証を使用するに設定しようとすると警告がでるんですが、
アドオンで生体認証は使用できないってことでしょうか？
ちなみにmacを使用していて生体認証はタッチバーで行います。

>>55
firefoxなら未対応。
https://bitwarden.com/help/article/biometrics/#browser-extensions

Chromeなら対応だけど、デスクトップアプリと機能拡張の両方で設定が必要。ヘルプ見て。

>>50
オートフィルの反応はするけど「com.sec.android.app.sbrowser用のアイテム」という括りで表示されてサイト毎のログイン情報が絞り込まれてない状態

>>56
>>57
ありがとうございます。
chrome使ってて、デスクトップアプリと拡張機能両方とも使ってます。
ヘルプのAccount Fingerprint Phrase見てみたんですけど書いてないようです。
違うヘルプがあるんでしょうか？

>>55
Chrome拡張はロック解除にTouch ID使えるぞ
公式Macアプリをインスコしてオプションのブラウザ統合を有効にしてアプリは起動したままにして拡張のオプションで生体認証を有効にする

お騒がせしました、適当にやってたら設定できました。

>>58
samsungブラウザ、playstoreからインストールしたもの（13.2.2.4）はちゃんと、urlも認識してくれた。

galaxystoreからいれたsamsungブラウザ（13.2.2.4）は、
例えば楽天なら、「://member.id.rakuten.co.jp」みたいに、一部欠損して認識してた。

試せるならplaystore版のsamsungブラウザいれたら、どですかね。（もしくは、ベータ版も別アプリとしてインストール可能）

>>58
書き忘れてた
ここで同様の症状の人がいて、解決されたかは不明だけど、Accessibility Service有効になっているか？というはなしと、Auto-fill APIに対応したブラウザ使ってるか確認してね的なかきこみがあった。
https://github.com/bitwarden/mobile/issues/895

最新のsamsungブラウザならうごいてくれそうだけどね。
こちらで動作取れた環境は
galaxy s20+ 5G
Android 11
Bitwardenバージョン: 2.8.2 (3365)
Samsungブラウザ 13.2.2.4 （PlayStoreからインストール）

>>62
ノーマルSamsungブラウザだとダメなのにベータ版だとばっちり認識できましたわ
別アプリのベータ版は盲点だった
色々試してまた報告します

>>64
ベータじゃない正式リリース版でもgalaxy store版と、play store版の切り替えは試してもいいように思う

>>65
OnePlusなんでplayストア版しか使えないよ