パスワード管理ツール Part16

パスワード管理ツール（ソフトウェア）について語るスレです。


前スレ
パスワード管理ツール Part15
https://egg.5ch.net/test/read.cgi/software/1692435902/

こういう意見もあるね ただシークレット鍵についての言及はないな
https://qiita.com/awaha/items/6024363dcc66028be260

>>875,875
ありがとうです。読んで参考になったよ。

まぁハッキングにたけてるやつじゃない限りはPBKDF2でも突破できないと思うけどね
普通にBitwardenのArgon2idでいいと思う

それって何を使っても保管庫が漏洩しなければ関係ないんだよね？

なんか何年か前に有名どころのPMのサーバー？大元の暗号化はされてたけども丸ごと盗まれてじっくり時間掛けられて解析されたって聞いたよ怖いね
それに耐性あるそうなのがArgon2idなんだって…難しい事はよー分からんｗ
個人の保管庫じゃなく親分のところからかっぱらってきて解析ってスケールデカいねｗ

KDDIがメールとパスセットで盛大にお漏らしか

>>881 WebARENAの7年分のログ流出も結構ヤバい

NTTPCコミュニケーションズ、WebARENAへの不正アクセスでメールアドレスなど個人情報漏洩の恐れ
https://rocket-boys.co.jp/security-measures-lab/nttpc-webarena-unauthorized-access-2026/

わいは_rsの頃からセルフホストVWだわ
外でも使うからWAN公開してるけど、一般的な脆弱へのアクセスは
あっても、ログイン試行とかあったことがない
同時に公開してるNextcloudの方はたまにログイン試行されてる
パスワード間違うと一定時間待たされるから諦めてるみたいだけど

結論 全方位から見ても Bitwardenが至高

>>884
欠陥あるんですが....後Argon2idだろうが>>880の攻撃元の様にコスパ度外視で時間をかけて
クラッキングしてくる攻撃者なら普通に解析されるリスクはあるよ？
ただ66文字種のパスで10桁以下で100億(10^10)/1秒の総当たり攻撃ができる人を仮定した場合だけどねｗ

結局1PasswordかKeePassが今の最適解じゃない？(Argon2id)
Bitwardenも悪くは無いんだけど総当たりだけ↑2つより貧弱なのがなｗ

1passwordも高いと言っても今のインフレに競べたら安いんだよね
日本は円安で余計に高く感じるけど

>>885
他人の心配できるなんて余裕のある人やね
OpenWrt+banipでガシガシ弾いてるからサーバまで辿り着けないよ
sshもできないとこからどうやって奪う？って感じ
なんで奪われるの前提なのかわからない

連投スマソ
一般的なクラウドだと最悪元から奪われる可能性があるから
セルフホストなんやし、対策してるからWANにも公開してるんよ

>>888
でもさ～そうやって完璧だと過信したシステムが突破された事例なんて
過去をみれば腐るほどあるじゃんｗ 油断大敵やで？ｗ

釈迦に説法かもしれんが、Bitwardenはデフォルトでマスターパスワード12文字以上、
PBDKDF2で60万回のストレッチングなので、
そこそこまともなパスワードならオフライン攻撃にも基本的は耐える計算になるんじゃないかな

キーファイルやシークレットキーが強度面では最強なのは同意する

総当たり耐性を心配するってことは
保管庫が漏洩することを前提としてるということ

その前提ならキーファイルだけ漏洩しないと考えるのはおかしい

知識要素ではなく所有要素でガードするものは
すべて突破される前提で考えないとね

>>892
端末で漏洩なら保管庫データに鍵ファイルセット漏洩もあるだろうけど、クラウドの保管庫データなら鍵ファイルは別だね。

前者なら差はでないけど、後者なら差は出るね。

運営が保管庫を漏らす心配はするけど
端末の鍵ファイルと保管庫を結びつけられる心配はしないのはなぜ？

キーファイルは完全オフラインだから🤪

>>890
わいがいつ完璧だと書いたよ？w
そんなこと思ってないから、情報収集、ログチェック、アプデチェックを毎日してるよ

BitLockerにバックドアあった。なにも信用しない

なんか脆弱性実行後にデータが消失する挙動があるから意図的だとか言われてるな
どうなんだろ？しかしまた非常に危険なものがみつかるな....
こんな単純な手法で強力な暗号化が無意味になるのな.....

これ某大手(PCのOS)企業が仕組んだ言われてるがどうなんだろ？ｗ

パスワード管理ツール Part17
https://egg.5ch.io/test/read.cgi/software/1724456979/

の次スレはここを再利用ナノ？

ここ使い切って次part18でいいんじゃね

ワッチョイあった方がいいな、ここは

1passwordの値上げの件で世界中からバッシングされてるけど、冷静に考えたら今のAIブームのせいじゃね?
半導体とストレージの値上がりがやばすぎるし

日本の場合は通貨安も原因に入るな( ･´ｰ･｀)
それもあるね値上がり💩

>>903
量子ハッキング対策で設備投資も必要だろうしな

Android16のXperia1VIIで、KeePassDX入れたのだけど、SBI証券のパスキーが登録できない
野村證券のパスキーは登録できたのに、野村はOKでSBIは非対応とかあり得るのでしょうか
経験者いたら教えてください

ちなみにWindows11のKeePassXCにはSBI証券のパスキー入りました

>>906
もし日興使ってたら日興入るかどうか教えて欲しいです
keepassxcの方

>>907
日興は持ってないので分かりませんが、keepassxcには野村證券もSBI証券もパスキー入りましたよ

案件いくつか終えたから久しぶりにゆっくり寝れるおやすみ

>>905
対量子計算アタックへの対策は今の所正式な物は無いから今の暗号でキーをひたすら長くしてしかないのだよね
幸い、今のところ量子計算機のビット数は少ないから実害はないけど
でも、将来はサーバーの計算量が飛躍的に上がることがもう決まっているからたまったものじゃ無いだろうね

>>908
レスサンキューです

>>906
こんなニッチなパターンあるのか.....
モバイルとPCの違いもあるの？ｼﾗﾝｹﾄﾞ

てかいい加減パスワードマネージャの必要性を強く社会に訴えた方がいいんじゃないの？
今は闇バイトとかも酷いし未だにメモ帳などのテキストエディタや
WordとExcelみたいなoffice系に個人情報保存しまくってる人達がいるはずｗ

過激な闇バイト「腕ごと切り落とせ」「眼球摘出しろ」

闇バイトと何の関係もないな

あくまでも空想だけど特定の仮想通貨所持者や証券所有者の
プライバシー情報を手に入れた情報屋が闇バイトの指示役に情報を譲渡して
それで>>914がいうような状況になる可能性は否定できないんじゃないの？

今の闇バイト加害者共の過激さを見てると遊ぶ金欲しさに ごぼう農家さんへの強盗みたいな事を平気でやりそうじゃん
>>914みたいな状況に陥るパターンもありえるんじゃ？

ワッチョイ付きの方で俺が指切り落とされる心配してたのを揶揄してるんだろ？
平均的な状況と違うって説明したんだがなぁ

同意とまではいかなくても理解はして欲しいところだった

仮にそうだとして、お前らどれだけ心配したら気が済むんだよ　妄想ばっかしてないで現実的な落としどころを考えろ

>>918
ワッチョイ付きの方は見てないというか知らないので揶揄とかそのような意図はない

これは失礼

>>912
そんなにニッチかな？
証券会社のパスキーの説明ページには「Googleパスワードマネージャー」ありきの説明しかないけど、このスレにいるような方はそんなの使わないでしょ
Googleパスワードマネージャーにパスキー預けるなら、パスワードだって別にブラウザ保存でいいじゃない、ってならないかな

>>913
GoogleやApple、Microsoftあたりの考えとしてはパスキー普及させてしまいたいのじゃないかな
パスキー管理するために結果的にはOS純正のパスワード管理ソフトが普及すると思う

>>922
いわゆるWebサービス系のパスマネに保存はリスクあるね
ブラウザパスマネも個人的に💩だからやはりオンライン型の一部か
Keepass系のローカル系パスマネが一番いいね

>>923
OS純正のパスワードマネージャとか昔のIEや現在のEdgeみたいになりそうｗ

まあ一般人は既存のパスマネで済ませるし
そして何かで問題が起きて右往左往するまでがセット
予備やリカバリーしやすいようなツールを使うことはないだろうな

証券会社のパスキーの説明見ると
ほぼどこもOS純正のパスワードマネージャー使うように指示があるんだよね
とはいえ指示通りのパターンでなくても動くこともあったが・・
動作を確認する環境を限定したいんだろうけど、金も絡むしね

>>924
オンライン型とwebサービス系って言葉の区別がよくわからん
ケチつけたいわけじゃないんだが、純粋にわからん

>>927
OS企業(闇のMS)とかから仲介料みたいなものを貰ってそうではあるのか？
確かにオンライン型とwebサービス系の言い方だと定義の差が分かりづらいね
↓みたいな言い方が色々できるとさ 中々ローカル型とオンライン型みたいな明確な違いがないかも？
https://i.imgur.com/TPjYcaM.png

あえて見るならエコシステム統合とベンダー中立の差別化が一番分かりやすい？ｼﾗﾝｹﾄﾞ
Eシステム統合タイプはアメリカの大手ITが多い印象かな？
あえていうならGAMSHか(G=Google A=Apple M=Microsoft S=Samsung H=Huawei)

金が絡む、の意図としては

証券会社では直接的に金をいじるので
限定された環境だけをサポートし
それ以外をサポート対象外とすることで
サポートコストを抑える動機が強く働きやすいんだろうな
と思ったんだわ

銀行や証券会社はパスキー同期も拒否するレベルの高いセキュリティが必須のところ
同期するのが前提のBitwardenやKeePassに対応なんてのは高望みってもんだ
セキュリティレベルがそこらのサイトと同じと思ってもらっては困る

>>931
パスキー同期が前提のOS標準Googleパスワードマネージャーを証券会社側が強要してるって話なのに、同期前提のBitwardenは置いておいても、ローカル保管組のホープKeePassにまでイチャモンつけられては困る

乗っ取りによる被害額が洒落にならないから厳格化になるのはしゃーない
そこは我慢するべき

＞同期が前提のOS標準Googleパスワードマネージャー
同期不可能な設定をしてる証券会社のパスキーを同期したらいかんだろ

自分の使った限りだと、
現在の個人向けネット証券はだいたいクラウド同期型パスキーを認めてる
device-bound passkey必須のところがあるのかは知らない

銀行は独自アプリで独自の認証させてるな

パスキーってサービス提供側で
iOSやandroidの標準のマネージャーに保存させるけど
同期はさせない、っていう設定できるもんなの？

>>933
特に店頭系は手厚く保証するところが多かったよね

>>932
OS標準というかブラウザ標準？KeePassはホープというか絶対的老舗というイメージ
KeePass程の歴史と堅牢性があるパスワードマネージャもないな

銀行や証券や仮想通貨はリアルマネーが動くからお堅い方針だろうと思う
さすがにゲーム企業や一部のいい加減な企業みたいにはできないよ

>>936
一応設定に同期しない設定があるから出来るんじゃない？

銀行証券がセキュリティ問題でパスキー強制化に進んでるのはそうだが、それは強い拘りがあるからじゃなくてパスワードじゃ詐欺に引っかかちゃうユーザーをどうしたら介護できるか苦心した結果でしかないからなぁ
Googleアカウントにパスキーが保存されるのは確かにパスキーの強みをいくらか減らしてるけど、いろんなアカウントで弱いパスワードや同じパスワード使うよりは遥かにいいし、Googleアカウントはスマホに元から入ってるストアアプリでログインしたり2要素認証がデフォになったりしてて乗っ取られづらい

今だに1234とか使ってるユーザが多いからなぁ
今はどこでも記号と組み合わせたパスワードじゃないと登録できないけど
1234を平気で使うようなユーザがいるからフィッシングサイトの疑いもなく正規パスワードを入れちゃってる有り様

passwordとかもいるよね

パスワードを「password」にする人いるよなと

まともな企業ならそういう簡単なワードは登録できないようにしてるし
登録できてる時点でセキュリティ意識が低い企業とも言える

>>942もそうだけど123456や147258やzxcvbやqwertyとか未だにいるらしいね
後誕生日や一昔前の秘密の質問系の内容をパスワードにする情弱もいる

>>944
2行目が余計

2行目は普通に事実じゃない？？
今時大企業の癖にセキュリティ意識低いのは攻撃者からしたら🦆にしていい
みたいな感じになるやんけ～

企業側が責任取らなくていいならそもそもパスキーなんて話になってないわけでな
簡単に盗まれる仕組みにしてたんじゃいいかげんなザルサービス認定されるし何より補填で痛い目見るのは企業の方

今回が当局が動いた異例状態なだけで
企業が責任取らなくていい約款になってるだろ

パスキーの主目的は偽サイトにパスワード入力させないだから

今はSIMスワップとか犯人側も色々やってくるから騙される様な人はパスキーでもダメそう

SIMスワップもやるにしても相手の電話番号がわからないとできないよね？
ワイ銀行と証券会社だけ登録する番号分けてるんだけど
そこそこ効果あるよね？多分

>>949
パスキー以外で問題があったら責任取るから大体責任取るようなもんでは

企業が責任を取らなくていいように、ユーザーにとって不便極まりない堅牢なセキュリティを施した例がdアカウント

なんかLineの流出が朝のニュースになってるな
どこからの攻撃なんやろな 分かる人いる？どこの脅威アクターや

>>955
LINEゲームのユーザーデータが流出しただけ

特定のアプリの識別子？だのなんだの出てきたね
個人情報とかその他のプライバシーというかフォレンジックの流出は無しぽいから
多分大丈夫？

keepassdxがパスキーに対応してこれで勝つると思ったらandroid12はGoogle謹製アプリ以外は選択できないってなんだよ

良くわからんけどさ
うちのサブAndroid12
Keepass2Android offlineが入ってるよ
dxじゃなくてこれじゃダメなの？

>>959
Keepass2Android (KP2A) におけるパスキーのサポートは、プレビュー版（テスト機能） として実装が進められている段階です。正式版にはまだ組み込まれていませんが、GitHubのプレビュー版を利用することでパスキーの保存・管理機能がテスト可能です。

>>959
ダメ
アプリの問題ではなくてOSの問題

Android 14 以降のユーザーは、互換性のあるサードパーティのパスワード マネージャーにパスキーを保存することもできます。
https://developers.google.com/identity/passkeys?hl=ja

このスレでも知ってる人は知ってると思うがそもそもモバイル自体がセキュリティの限界あるから
ガチのセキュリティ意識するならモバイル端末に個人情報群を入れない事だな
オバマのサイバー防衛？やセキュリティ担当した人間がblackberryのセキュリティ対策に苦労したみたいな話を知ってる人もいる？

未だに10年以上前の記事残ってるな～当時としては物理キーボード有りのスマホは画期的だったんだろうな
今はiPhone以降のスマホが主流だからBlackberryはもう誰も使わんだろうけど
https://www.bloomberg.com/jp/news/articles/2009-01-23/KDWI530YHQ0X01

指紋認証リーダー買ったんだけど、4つのPC全てで認識しないサンワサプライのやつ
ドライバーはデバイスマネージャーを見るとインストールされてる。だけど認識すらしない

指紋認識（Windows Hello）
このオプションは現在利用できません

なんで？

指紋認証のセンサー部分だけ壊れてるとか？リーダーのハードかソフトの問題かな？
AIに聞くとこういう感じ
https://i.imgur.com/f9jEbxU.png

説明書読めば

>>966
指紋認証システムは正常に動作中・・・お手上げ。サンワサプライさんに聞いてみる。ありがとう

サンワの指紋認証といっても何種類か出してるじゃないのよ

Windowsも把握していて、指紋認証システムが正しく動作しないことがあると言う･･･
すでに顔認証などを利用していて、あとから指紋認証は認識しないことがあるそう・・・

返品しましたわ。すまんな

KeePassに登録したパスキーをエクスポートすると秘密鍵などの中身が見れておもしろい

Enpassでのパスキー管理を調べたが、Bitwardenみたいにアプリ内に格納するタイプではないようだ

youtubeでパスキーの説明を分かりやすく説明してる動画があってコメントを見てたら吹いた
＞よくわかりました パスキーって、生体認証とPINのことだったんですね。
こういう理解できない人がパスワードを適当に扱ったりフィッシング詐欺にひっかかるから
パスキー移行を期限を設けて強制する企業が出てくるんだろうな

他人の無知を笑っているような人もあっさり引っかかるみたいだよ
そういう人って自分で思っているほど頭良くないから

それただの詐欺の場合じゃね？
フィッシング詐欺は知っていてメールから開かないだけで99%防げるようなもんだし

甘い甘い
99%ということはそういう防御策を講じた100人に1人はやられるということだ
・・・・という言葉あそびはともかくとしてその程度の意識ならいつ被害にあってもおかしくない