パスワード管理ツール Part16

パスワード管理ツール（ソフトウェア）について語るスレです。


前スレ
パスワード管理ツール Part15
https://egg.5ch.net/test/read.cgi/software/1692435902/

>>871
ローカル(オフライン型)なら最強はKeePass系だろうね
ただ以前誰かが書いてたけど災害耐性とオンラインに.kdbx上げる際の管理リスクがあると言ってたな

>>872
Bitwardenは鍵導出関数を後からArgon2idに変更できるけど総当たり攻撃に対して
マスターパスワードしか耐性がないからかなり防御面で弱いという指摘があるね

こういう意見もあるね ただシークレット鍵についての言及はないな
https://qiita.com/awaha/items/6024363dcc66028be260

>>875,875
ありがとうです。読んで参考になったよ。

まぁハッキングにたけてるやつじゃない限りはPBKDF2でも突破できないと思うけどね
普通にBitwardenのArgon2idでいいと思う

それって何を使っても保管庫が漏洩しなければ関係ないんだよね？

なんか何年か前に有名どころのPMのサーバー？大元の暗号化はされてたけども丸ごと盗まれてじっくり時間掛けられて解析されたって聞いたよ怖いね
それに耐性あるそうなのがArgon2idなんだって…難しい事はよー分からんｗ
個人の保管庫じゃなく親分のところからかっぱらってきて解析ってスケールデカいねｗ

KDDIがメールとパスセットで盛大にお漏らしか

>>881 WebARENAの7年分のログ流出も結構ヤバい

NTTPCコミュニケーションズ、WebARENAへの不正アクセスでメールアドレスなど個人情報漏洩の恐れ
https://rocket-boys.co.jp/security-measures-lab/nttpc-webarena-unauthorized-access-2026/

わいは_rsの頃からセルフホストVWだわ
外でも使うからWAN公開してるけど、一般的な脆弱へのアクセスは
あっても、ログイン試行とかあったことがない
同時に公開してるNextcloudの方はたまにログイン試行されてる
パスワード間違うと一定時間待たされるから諦めてるみたいだけど

結論 全方位から見ても Bitwardenが至高

>>884
欠陥あるんですが....後Argon2idだろうが>>880の攻撃元の様にコスパ度外視で時間をかけて
クラッキングしてくる攻撃者なら普通に解析されるリスクはあるよ？
ただ66文字種のパスで10桁以下で100億(10^10)/1秒の総当たり攻撃ができる人を仮定した場合だけどねｗ

結局1PasswordかKeePassが今の最適解じゃない？(Argon2id)
Bitwardenも悪くは無いんだけど総当たりだけ↑2つより貧弱なのがなｗ

1passwordも高いと言っても今のインフレに競べたら安いんだよね
日本は円安で余計に高く感じるけど

>>885
他人の心配できるなんて余裕のある人やね
OpenWrt+banipでガシガシ弾いてるからサーバまで辿り着けないよ
sshもできないとこからどうやって奪う？って感じ
なんで奪われるの前提なのかわからない

連投スマソ
一般的なクラウドだと最悪元から奪われる可能性があるから
セルフホストなんやし、対策してるからWANにも公開してるんよ

>>888
でもさ～そうやって完璧だと過信したシステムが突破された事例なんて
過去をみれば腐るほどあるじゃんｗ 油断大敵やで？ｗ

釈迦に説法かもしれんが、Bitwardenはデフォルトでマスターパスワード12文字以上、
PBDKDF2で60万回のストレッチングなので、
そこそこまともなパスワードならオフライン攻撃にも基本的は耐える計算になるんじゃないかな

キーファイルやシークレットキーが強度面では最強なのは同意する

総当たり耐性を心配するってことは
保管庫が漏洩することを前提としてるということ

その前提ならキーファイルだけ漏洩しないと考えるのはおかしい

知識要素ではなく所有要素でガードするものは
すべて突破される前提で考えないとね

>>892
端末で漏洩なら保管庫データに鍵ファイルセット漏洩もあるだろうけど、クラウドの保管庫データなら鍵ファイルは別だね。

前者なら差はでないけど、後者なら差は出るね。

運営が保管庫を漏らす心配はするけど
端末の鍵ファイルと保管庫を結びつけられる心配はしないのはなぜ？

キーファイルは完全オフラインだから🤪

>>890
わいがいつ完璧だと書いたよ？w
そんなこと思ってないから、情報収集、ログチェック、アプデチェックを毎日してるよ

BitLockerにバックドアあった。なにも信用しない

なんか脆弱性実行後にデータが消失する挙動があるから意図的だとか言われてるな
どうなんだろ？しかしまた非常に危険なものがみつかるな....
こんな単純な手法で強力な暗号化が無意味になるのな.....

これ某大手(PCのOS)企業が仕組んだ言われてるがどうなんだろ？ｗ