パスワード管理ツール Part17

!extend:checked:vvvvv:1000:512:donguri=3/1
!extend:checked:vvvvv:1000:512:donguri=3/1
次スレを建てる場合は上記のコマンドをスレ立て時にコピペし3行にしてください


パスワード管理ツール（ソフトウェア）について語るスレです。

前スレ
パスワード管理ツール Part16
https://itest.5ch.net/egg/test/read.cgi/software/1700726576

スクリプト対策のために、どんぐりシステムを導入しています。
どんぐりがわからない方は、次のページを参照してください。
https://nanjya.net/donguri/
https://megalodon.jp/2024-0804-1031-16/https://nanjya.net:443/donguri/

---

VIPQ2_EXTDAT: checked:vvvvv:1000:512:donguri=3/1: EXT was configured

>>255
それが怖いなら暗号化と圧縮+パスワードでいいと思う
今のオンライン系PMツール信用できないならそれが最適解じゃない？
後はオンラインにおいたりオンライン系マネージャが信用できないなら
ローカルでスマホtoPCとかポータブルUSBやHDDに入れて持ち運ぶのが一番安全だと思う

>>252
安全の判断基準によるとしか言えないかな
とにかくここで聞くよりも自分の知識を強化する方がいいよ
ここもどういう判断基準で選択してるか不明な人が多いから

>>248
1Passwordは正直止めた方がいいと思う
過去に流出事件起こしてるしその後の対応もあまりよくないよ
AIに聞くと大規模なセキュリティインシデントを起こしていないのは
Bitwardenを含めて3社とか出てくるね

>>246
サービスを過信しすぎるのも問題だとは思う
今のセキュリティは分散型が主流といわれてますし🍣

>>242
分散型がいいと思う 流出を警戒するなら暗号化しておくのがいいよ
2重暗号化がどれほどのセキュリティ強度あるのかは知らないけど

>>255
パスワード32桁とキーファイルをクラウド上に置かずに事前共有することで対応しているわ

今のITというかネット環境だと何が最適解なんやろな～
後思ったんだけどなんで最近のPCもモバイルのブラウザもURLをあまり表示したがらないんだ？
詐欺に引っかかる予備軍を増やすだけだよね？

>>258
1Passwordの流出事件って、具体的にはどういう事件？
探しても出てこないんだが

>>263
lastpassと勘違いしてるのでは

redditのこれかな？後は1passは脆弱性の事件やらの
セキュリティインシデントのニュースをそこそこ聞くな～
https://www.reddit.com/r/PasswordManagers/comments/18gt64z/warning_as_1password_dashlane_lastpass_and_3/?tl=ja

とりま今一番安全な方はBitwardenやRoboFormやNordPass辺りが安全ぽいかな？
後は詳細部分はAIなどに聞いてみてね
大規模な流出事件や過去に脆弱性がないかなどね
非オンラインだけどKeePassとかもかなりいいよ カスタマイズ面倒だけどｗ

>>265
それも流出とは違うよな。
そもそもまともなメーカーならゼロ知識だから、
流出してもマスターパスワードが強ければ保管庫内の情報は守られるし、
マスターパスワードの管理はユーザーの責任だからな。

ちなみに、LastPassやBitwardenは、
マスターパスワードだけで守られているようなので、
マスターパスワードが弱いと、流出したときのリスクは高い。

>>267
タイトル名は流出になってるね 75fa-cO42のニキはかなりパス管理アプリに詳しそうですね
ゼロトラストとゼロ知識は別カテゴリの用語なんですね
ようはオンライン型は金庫の設計と管理はするけど鍵の内容はユーザーの自己責任で守れという設計だよね
Bitwardenもマスパスだけなんですね それは知らなかったです

>>267
調べてみたら二要素認証とかもあるようですよ
ソフトウェア面でみてもマスパスだけじゃないようですね
後はPINと生体認証とセッション期限とか色々あるようでっせ

>>269
二要素認証は、LastPassやBitwardenにサインインするためのもので、
保管庫そのものが流出したときに守れるものではない。

1Passwordは、マスターパスワード以外に、
ローカル上で生成されるシークレットキーという概念があって、
保管庫が流出してもマスターパスワードだけでは復号できないので、
流出時には強いが、シークレットキーの管理もユーザーに託される。
印刷して金庫に入れておけとか言われる。

確かにBitwardenなどはそこ弱いですね....
1Passwordは流出やインシデントない訳じゃないけど
そういう設計上の強みがあるんですね～
知らんけど

個人的にKeePassが好きですねー 多様なプラグインもありますのでｂ
ただ貴方のおかげでまた別視点の知識も持てて感謝ですｂ
1Passwordへの評価も少しポジティブになりましたｂ

サービスにもよると思うがマスターパスワードって人が端末向かって入力する正規なルートで初めて効力があって金庫が流出したこれを解読してやろうみたいなときには直接的に関係のないものってイメージだったんだけど
極端なことを言ったら12345678ってマスターパスワード設定したもので出来上がった金庫が流出したとしてもクラッカーはその金庫の中身が途中で強力なフレーズで暗号化されていてわかんない的な
この場合は、protonの場合だけど
WPA3のSAEも短いパスワードでも強力なったりするんでしょ

>>273
ようは1Passなら金庫が流出して12345やQWENRTYみたいな情弱向けパスワードでも
シークレットキーなどがあるからそれを解読するか
金庫自体の暗号化を解除かＭパスの解析をしない限りは絶対に金庫は安全という事だよ

キーファイルを組み合わせて暗号化したkeepassなら流出しても暗号解除はなかなか難しいと思う

>>273
マスターパスワードからPBKDF2などのルーチンで計算するので、
保管庫とマスターパスワードが流出したら、内部の情報を読み取れる

>>275
そういえばKeepassの画像認証みたいなの標準かプラグインで追加できたはずだけど
あれのセキュリティ強度への貢献はどれくらいなの？

>>277
これキーファイルだった 他にも2要素認証とかも追加できるんだな～
ただキーファイルだとファイルの紛失や破損とかで取り返しがつかないとかもありそうだな
結構リスク高いかもな

なんかAIに聞いたら今のセキュリティ環境は盾(タンク)を鍛えるのではなく
修繕能力(ヒーラー)を鍛えろと出てくるな～
盾(タンク)も重要なんだけど比率でいうと修繕能力(ヒーラー)の方が大事らしいね
確かにそうだとは思ったよ ゼロデイだのゼロトラストの時代だっけ？

ひとたび保管庫が流出すれば、攻撃者は保管庫への総当たり攻撃を年単位で続ける
2022年のLastPass流出後に保管庫に入れてたパスワードを変更しなかった間抜けが、2025年に被害に遭ったりしてる

それはそうだろうね～だからマスターパスワードだけだと堅牢性がぁ

パスワードをローテする機能も出さないLastPassが悪いのであって、間抜け呼ばわりは違うんじゃないか？

法的な過失割合とかは知らんけど
正直LastPassがもっと積極的なセキュリティ強度対策して欲しいな
大分企業寄りの意見が>>280やな～

保管庫流出したら破られるのは時間の問題。量子コンピューターが実用化されれば尚更
流出させたLastPassの責任は重いが、責めても流出がなかったことにはならない
現実を直視して対応しなきゃいつか被害に遭うし、実際やられた奴がいる

企業寄り? とんでもない
保管庫のクラウド保管自体リスク視してるKeePass(XC)ユーザー

まぁまぁ面倒くさいKeePass使いやなｗ
そりゃ～KeePassは安全だろうけどさ 知識のない人もいるんだぞい？
スタンドアロンが一番いいと思うけどこのスレで災害リスクがうんたら言ってる人いなかった？

今日日はパスワード管理ソフトをマスターパスワードだけで運用するやつなんていないだろ

>>286
何を、マスターパスワードに加えて運用すると良いの。

>>286
🦊スレみたら未だにID Managerとかいう13年前以上の古いの使ってる人もいるから🤓
ちなみに知人にマスターパスだけで運用してる強者はいたな～w

>>287
二段階認証アプリが使いやすくて無難だよ
パスキーでもいいけどなくすと終わる

>>286って例えばkeepassxcならマスターパスワードに加え
キーファイルかyubikeyでデータベースファイルを保護しろってことだよね？

これ丁度自分も迷ってて、keepassxcはデータファイルがローカルにあるから
キーファイルも同じローカルディスクに入れてたらちょっと危ないわけでしょ
かといってUSBに入れて毎回刺すのもダルい
yubikey買ったりも面倒
なので今のとこキーファイル作ってC:以外のドライブに置いてあるけど
こんなんでいいんかな
あとアマゾングーグルみたいな主要サイトはパスキー化してる

>>290
usbみたいな手軽な外部ストレージが一番いいと思う
紛失リスクはあるけどね～
後はDBをTrueCryptみたいなソフトで保護するのもどうなんだろ？
確かKeePassはTrueCryptのプラグインあったはず

暗号化されたDBを更に暗号化する意味はあるのかな？

>>292
もちろんあるけど、どちらか一方の鍵をなくしたら終わり

一応こんな感じらしいな 個人使用だと過剰保護らしい
ビジネス用のデータ含んでる人は検討してもいいかも？
https://i.imgur.com/JegdqYT.png

普段のパスワードを長くしたほうが良い気もする

色々なリスクが有る中で、何に対処していくかで考えるといいんじゃないのかね。
KeePassでYubikeyを使うと、設定にもよるけど、物理的なタッチをすることで、解除できるができるので、遠隔からの侵害に対策しやすくなる。
その場合は、DBの自動ロック時間を短くしておく対処もセットにすべきだけどね。

>>295
それ昔は言われてたけどここ数年でただ長くするだけじゃ意味ないという記事出てたな
以下のパターンで流出とかセキュリティ侵害が起きやすいとか出てたな
・長くして記憶できず紙に書くorPC内に何らかの手段で保存
・他のサイトで使いまわす

ここはスレの特徴として過剰気味なセキュリティにしている人が多そうよね
ザルより遥かにマシではあるが

>>291
やっぱりUSBが一番良さそうですね
普段使いでロックされてもWindows helloのpinですぐ解除できるし
どうもありがとうございます

ところでみんなPCでマスターパス入れるときって手打ちしてるの？
俺Keepassで生成した80桁のパスをコピペで入力してた
パスはメモ帳に貼ってxxx.binにリネームして僻地フォルダに隠ぺい
それを右クリのプログラムから開くでメモ帳で見る

短めのパスワードをpc内に保存せず暗記で打つのとコレとどっちが安全なんだろう

PC内のテキストにパスワード大部分、残りは丸暗記しているワードで合成すっ

保存するとクリップボード監視やメモリ監視に弱いかな？
暗記が一番だろうけど複雑な奴だと難しいな
KeePassならマスターパス以外にもキーファイル設定できるからそれUSBに入れて使うとか？
後はビジネス用のkdbと趣味や普段使い用のkdbを分けておくのもいいかもね

俺、KeePassの保管庫にID登録せずに使ってる
パスワードだけなら、もし流出しても問題ないだろうし
IDは殆どメアドだから暗記してる

そういうアナログな対策もいいかもね
ただ利便性と等価交換か

>>301
暗記はキーロガーやフィッシングサイトに弱い

マスターマスワードの他に物理キーを使わないでなにで運用するの？
現在マスターマスワードしか使ってないんで参考までに教えてください

>>305
OTP

>>306
bitwardenもそれでいける？

>>306
ちょっと聞きたいんだけどbitwardenでOTPってbitwarden自体のロック解除に使うものじゃなく
bitwardenに保存してるパスワードを使用するために使うもん？
パソコンでbitwarden使うときマスターパスワード以外で解除する方法ってある？物理キー以外で

PIN

>>308
Windows: Windows Hello（指紋、顔認証、PIN）
macOS:Touch IDやFace ID

結局1つのパスワードを暗記してキーファイルを合わせるのが最強になるんだよね

>>309-310
プライベートではapple製品使っててbitwarden解除はタッチやフェイス使ってます
ブラウザのアドオンで使うことが多くてWEBサイトいってログインするとき
bitwardenのロック解除して「入力」ってボタン押してるけどもっと便利な方法ないですか？
ダイアログ出て自動で入るサイトもあるしそうじゃないサイトもあるんですけどこの違いってなんですか？

>>305
2FA
簡単だしおすすめ

>>312
bitwardenは脆弱性つかれて漏洩するのが怖くないですか

>>314
ではあなたが使用している堅牢で100％安全なソフトをご教示ください

>>312
bitwardenのヘルプでAutofillとかon page loadを調べて。
手軽になるけど、on page loadはリスクが有る。詳細はヘルプ見て。

Bitwardenが反応するサイトの有無は、ページの作りの問題だったりするけど、他のパスワードマネージャーと比較して、取りこぼしは多いかもね。

無料で不特定多数人のパスワードを保管してアプリのアップデートまでするなんて
なんか裏がありそうだけど

>>317
あなたが使用しているアプリと、
なぜそれを安全だと思ったのかを教えてほしい

BitwardenのWeb拡張はしばらく英語のままだったり、UIがちょっと変わったりが多いね

技術あるなら自分で弄るよろし！！
後はAIか

翻訳募ってるけどあのサービス受理されにくい

ID Managerは打ったキーがキーロガーに記録されるね
KeePass無印とXCはセーフ

KeePassXC派ワイ、ニッコリ

>>317
そういった不安があるのなら、1Passwordつかえばいいんじゃないの。もう迷わなくて済むよ。

エンドツーエンド暗号化対応遺言アプリ

Ente Locker
https://ente.io/blog/locker/

1Password値上げで他のツールに移行した
ってポストで一杯だった今日のreddit

円高だから値上げはしょうがない

>>327
月額3ドルから4ドルへの値上げだから、円高の話ではないぞ

1ドルけちるアメリカ人？どこの国の人かは分からんか
redditerも色んな国籍いるかな？しらんけど
トランプ政権のせい？？？ｗ

普通の消費行動だ
まあ、KeePassXCを使えば済む話よ(適当)

KeePassで流出事件起きた事ってあるの？
そこだけ知らんのよな

keepassはデータの管理なんてしてないので流出する物も無い

いやそういう事じゃなくて利用者がハッキング被害にあったとかでしょ？
そういうのあんま聞かないような？しらんけど

KeePassは一般人が自分の保管庫を自分で保持しているだけなので、
PCから流出してても気づかないままだし、自己責任でしかない

円高で物価が上がるというのはあまり聞かない話だなw

そもそも今は円安だしw

コストプッシュ☆インフレ

RedditでTOTP管理ツール探してるとき
Ente AuthのバックアップとしてProtonAuthenticator
BitwardenのバックアップとしてProton PASS
という運用方法を見つけた
卵はひとつのカゴに盛るな原則に反すると思うのだが、バックアップはサービスの持続性を狙ったものだろうか
それでもProtonアカウントがロックされたらバックアップの意味がなくなる
この運用なら無料でhide-my-email エイリアスを使えるProtonPassをメインにしたほうが、カゴの分散に繋がると思う

ProtonMailの主な不祥事・問題
① IPアドレスの当局開示（2021年・最大の事件）
フランスの気候活動家グループ「Youth for Climate」のメンバーが、ProtonMailアドレスを使って活動していました。フランス警察がユーロポール経由でスイス警察に要請し、スイスの裁判所が命令を出した結果、ProtonMailはユーザーのIPアドレスをスイス当局に提供し、それがフランス警察に渡って活動家の逮捕につながりました。 GIGAZINE
ProtonMailは「IPアドレスを保存しない」と宣伝していたため、「誇大広告だ」と強く批判されました。
② スペインでの情報開示（2024年）
スペイン当局への捜査協力で、あるユーザーの「復旧用メールアドレス」を当局に提供し、それがきっかけで身元が判明した事例も明らかになりました。 Protos
③ 実は大量のデータ開示をしていた
ProtonMailは2022年だけで5,957件のデータ開示要請に応じていました。 Protos「プライバシー最優先」というイメージとのギャップが問題視されています。

スレチになってくるがproton mailって安定してる？
hotmailは結構メールを黙って弾いてくることが多いし
yahooメールもなぜか届かないメールが割と(送信元が警告を出している場合も)
bunsin使っていて重宝しているが、メールサービス自体にそれに相当するものがあればなお良いなとも

Proton Mailの無料版はIMAP/SMTPが使えないので無し

IMAP/SMTPが使えるフリーメールは、Gmailを除くと、どこ?

スレッドチーズ

EnpassからBitwardenに移行してみたが、Enpassのセクションにあたる項目がないからBitwardenではそのデータが消失して完全なデータをインポートできなかった
これだと引っ越し難しいな
全部見直さないといけなくなる

KeePass 2.61 released

KeePass Password Safe
https://keepass.info/

>>342
一昔前だとHotmailが対応してた

pixel 9aなんだけど、スマホ版課金ナシできちんと自動入力される組み合わせが
bitwarden + chrome / braveしか無かった

マネージャ：bitwarden、keepassDX、Keepass2Android
ブラウザ：chrome、MSエッジ、firefox、brave
これらを結構長い時間あれこれ組み合わせてトライしたけど
ユーザー名＞次へボタン＞パスワード、のタイプになるとまるで反応しない

唯一まともに動いたのがbitwardenにブラウザ統合機能があるbrave、chromeだけ
chromeは広告ブロックできない、braveはあんま聞いたことなかったことから
出来ればfirefoxで、せめてエッジで手軽に自動入力したかった
みなさんのとこだとchrome、brave以外でもちゃんとオートフィル出来てます？

>>338
スマホ14TPro
Keepass2Android、firefoxでGoogleログイン試したがユーザー名入力後パスワード自動入力候補出る

そのログイン方法はGoogle系かな？
あれはPCでも出る奴と出ないやつあるな

Keepass2Android + Firefoxで自動入力の可否

インスタ〇　amazon〇　google〇　steam〇　discord〇　
pinterestX　x.comX　chatgptX　deviantartX　楽天X

確認ありがとうございました。そうですねグーグルログインフォームと同様のタイプです
うちだとこんな状態です。効く効かない半々くらいですね

AIに聞くと原因分析してくれそうやなー
・ブラウザなどのクライアントが原因なのか？
・それともWebサイトの構造や認証が原因なのか？
はまた違いそう KeePassならプラグインとかで対応できないかな？

AIには結構相談しててあれこれ試したんだけど上手くいかなかったんです
ひとつ惜しかった方法があって、keepass2androidキーボードをメインにする
ログインのユーザー名の欄をタップしてからブラウザの縦に・・・のメニューから
共有→keepass2androidを選択
こうすると次からはこんな感じで1行バーが出てそこからプッシュで入力できます
https://apptsu.com/wp-content/uploads/2023/06/keepass2android_offline-18.webp
ただこれ英語キーボードだから毎回日本語KBに切り替えないといけないのがちょっと面倒
bitwardenは内蔵キーボードないのでこの方法は使えません

keepassで手間が掛かるけど広告ブロックが強いfirefoxにするか
bitwardenで入力は快適だけどいまいち評価不明なbrave使うか
うーん。実際使ってるかたいたら使用感聞いてみたいです

そうだ、スマホ版ブラウザにはkeepassとかのプラグインが無いんですよ
pc版にはあるから当然スマホ版にもあるのかと思ったら存在しないみたいです

AndroidはkeepassDXのほうがよくない？

keepassDXは一定時間過ぎてDBが自動ロックされると
解除に毎回マスターパスを要求されるので面倒で諦めちゃったんだよね
K2Aのほうは普通に指紋で解除ができる

ただスマホ版PWマネジャ使い始めてまだ数日だから自分が間違えてるのか
DX側のバグ？仕様？なのかよく判らない
そこが解消できればその他の面ではどっちでも変わらないという印象かな

>>355
PC版も似た感じだからマスターパス要求は仕様でしょ
面倒だというけどセキュリティ対策としては妥当だと思うよ？
↓みたいな理由だとさ
https://i.imgur.com/BP1qHkX.png