パスワード管理ツール Part17

>>265
それも流出とは違うよな。
そもそもまともなメーカーならゼロ知識だから、
流出してもマスターパスワードが強ければ保管庫内の情報は守られるし、
マスターパスワードの管理はユーザーの責任だからな。

ちなみに、LastPassやBitwardenは、
マスターパスワードだけで守られているようなので、
マスターパスワードが弱いと、流出したときのリスクは高い。

>>267
タイトル名は流出になってるね 75fa-cO42のニキはかなりパス管理アプリに詳しそうですね
ゼロトラストとゼロ知識は別カテゴリの用語なんですね
ようはオンライン型は金庫の設計と管理はするけど鍵の内容はユーザーの自己責任で守れという設計だよね
Bitwardenもマスパスだけなんですね それは知らなかったです

>>267
調べてみたら二要素認証とかもあるようですよ
ソフトウェア面でみてもマスパスだけじゃないようですね
後はPINと生体認証とセッション期限とか色々あるようでっせ

>>269
二要素認証は、LastPassやBitwardenにサインインするためのもので、
保管庫そのものが流出したときに守れるものではない。

1Passwordは、マスターパスワード以外に、
ローカル上で生成されるシークレットキーという概念があって、
保管庫が流出してもマスターパスワードだけでは復号できないので、
流出時には強いが、シークレットキーの管理もユーザーに託される。
印刷して金庫に入れておけとか言われる。

確かにBitwardenなどはそこ弱いですね....
1Passwordは流出やインシデントない訳じゃないけど
そういう設計上の強みがあるんですね～
知らんけど

個人的にKeePassが好きですねー 多様なプラグインもありますのでｂ
ただ貴方のおかげでまた別視点の知識も持てて感謝ですｂ
1Passwordへの評価も少しポジティブになりましたｂ

サービスにもよると思うがマスターパスワードって人が端末向かって入力する正規なルートで初めて効力があって金庫が流出したこれを解読してやろうみたいなときには直接的に関係のないものってイメージだったんだけど
極端なことを言ったら12345678ってマスターパスワード設定したもので出来上がった金庫が流出したとしてもクラッカーはその金庫の中身が途中で強力なフレーズで暗号化されていてわかんない的な
この場合は、protonの場合だけど
WPA3のSAEも短いパスワードでも強力なったりするんでしょ

>>273
ようは1Passなら金庫が流出して12345やQWENRTYみたいな情弱向けパスワードでも
シークレットキーなどがあるからそれを解読するか
金庫自体の暗号化を解除かＭパスの解析をしない限りは絶対に金庫は安全という事だよ

キーファイルを組み合わせて暗号化したkeepassなら流出しても暗号解除はなかなか難しいと思う

>>273
マスターパスワードからPBKDF2などのルーチンで計算するので、
保管庫とマスターパスワードが流出したら、内部の情報を読み取れる

>>275
そういえばKeepassの画像認証みたいなの標準かプラグインで追加できたはずだけど
あれのセキュリティ強度への貢献はどれくらいなの？

>>277
これキーファイルだった 他にも2要素認証とかも追加できるんだな～
ただキーファイルだとファイルの紛失や破損とかで取り返しがつかないとかもありそうだな
結構リスク高いかもな

なんかAIに聞いたら今のセキュリティ環境は盾(タンク)を鍛えるのではなく
修繕能力(ヒーラー)を鍛えろと出てくるな～
盾(タンク)も重要なんだけど比率でいうと修繕能力(ヒーラー)の方が大事らしいね
確かにそうだとは思ったよ ゼロデイだのゼロトラストの時代だっけ？

ひとたび保管庫が流出すれば、攻撃者は保管庫への総当たり攻撃を年単位で続ける
2022年のLastPass流出後に保管庫に入れてたパスワードを変更しなかった間抜けが、2025年に被害に遭ったりしてる

それはそうだろうね～だからマスターパスワードだけだと堅牢性がぁ

パスワードをローテする機能も出さないLastPassが悪いのであって、間抜け呼ばわりは違うんじゃないか？

法的な過失割合とかは知らんけど
正直LastPassがもっと積極的なセキュリティ強度対策して欲しいな
大分企業寄りの意見が>>280やな～

保管庫流出したら破られるのは時間の問題。量子コンピューターが実用化されれば尚更
流出させたLastPassの責任は重いが、責めても流出がなかったことにはならない
現実を直視して対応しなきゃいつか被害に遭うし、実際やられた奴がいる

企業寄り? とんでもない
保管庫のクラウド保管自体リスク視してるKeePass(XC)ユーザー

まぁまぁ面倒くさいKeePass使いやなｗ
そりゃ～KeePassは安全だろうけどさ 知識のない人もいるんだぞい？
スタンドアロンが一番いいと思うけどこのスレで災害リスクがうんたら言ってる人いなかった？

今日日はパスワード管理ソフトをマスターパスワードだけで運用するやつなんていないだろ

>>286
何を、マスターパスワードに加えて運用すると良いの。

>>286
🦊スレみたら未だにID Managerとかいう13年前以上の古いの使ってる人もいるから🤓
ちなみに知人にマスターパスだけで運用してる強者はいたな～w

>>287
二段階認証アプリが使いやすくて無難だよ
パスキーでもいいけどなくすと終わる

>>286って例えばkeepassxcならマスターパスワードに加え
キーファイルかyubikeyでデータベースファイルを保護しろってことだよね？

これ丁度自分も迷ってて、keepassxcはデータファイルがローカルにあるから
キーファイルも同じローカルディスクに入れてたらちょっと危ないわけでしょ
かといってUSBに入れて毎回刺すのもダルい
yubikey買ったりも面倒
なので今のとこキーファイル作ってC:以外のドライブに置いてあるけど
こんなんでいいんかな
あとアマゾングーグルみたいな主要サイトはパスキー化してる

>>290
usbみたいな手軽な外部ストレージが一番いいと思う
紛失リスクはあるけどね～
後はDBをTrueCryptみたいなソフトで保護するのもどうなんだろ？
確かKeePassはTrueCryptのプラグインあったはず

暗号化されたDBを更に暗号化する意味はあるのかな？

>>292
もちろんあるけど、どちらか一方の鍵をなくしたら終わり

一応こんな感じらしいな 個人使用だと過剰保護らしい
ビジネス用のデータ含んでる人は検討してもいいかも？
https://i.imgur.com/JegdqYT.png

普段のパスワードを長くしたほうが良い気もする

色々なリスクが有る中で、何に対処していくかで考えるといいんじゃないのかね。
KeePassでYubikeyを使うと、設定にもよるけど、物理的なタッチをすることで、解除できるができるので、遠隔からの侵害に対策しやすくなる。
その場合は、DBの自動ロック時間を短くしておく対処もセットにすべきだけどね。

>>295
それ昔は言われてたけどここ数年でただ長くするだけじゃ意味ないという記事出てたな
以下のパターンで流出とかセキュリティ侵害が起きやすいとか出てたな
・長くして記憶できず紙に書くorPC内に何らかの手段で保存
・他のサイトで使いまわす

ここはスレの特徴として過剰気味なセキュリティにしている人が多そうよね
ザルより遥かにマシではあるが

>>291
やっぱりUSBが一番良さそうですね
普段使いでロックされてもWindows helloのpinですぐ解除できるし
どうもありがとうございます

ところでみんなPCでマスターパス入れるときって手打ちしてるの？
俺Keepassで生成した80桁のパスをコピペで入力してた
パスはメモ帳に貼ってxxx.binにリネームして僻地フォルダに隠ぺい
それを右クリのプログラムから開くでメモ帳で見る

短めのパスワードをpc内に保存せず暗記で打つのとコレとどっちが安全なんだろう

PC内のテキストにパスワード大部分、残りは丸暗記しているワードで合成すっ

保存するとクリップボード監視やメモリ監視に弱いかな？
暗記が一番だろうけど複雑な奴だと難しいな
KeePassならマスターパス以外にもキーファイル設定できるからそれUSBに入れて使うとか？
後はビジネス用のkdbと趣味や普段使い用のkdbを分けておくのもいいかもね

俺、KeePassの保管庫にID登録せずに使ってる
パスワードだけなら、もし流出しても問題ないだろうし
IDは殆どメアドだから暗記してる

そういうアナログな対策もいいかもね
ただ利便性と等価交換か

>>301
暗記はキーロガーやフィッシングサイトに弱い

マスターマスワードの他に物理キーを使わないでなにで運用するの？
現在マスターマスワードしか使ってないんで参考までに教えてください

>>305
OTP

>>306
bitwardenもそれでいける？

>>306
ちょっと聞きたいんだけどbitwardenでOTPってbitwarden自体のロック解除に使うものじゃなく
bitwardenに保存してるパスワードを使用するために使うもん？
パソコンでbitwarden使うときマスターパスワード以外で解除する方法ってある？物理キー以外で

PIN

>>308
Windows: Windows Hello（指紋、顔認証、PIN）
macOS:Touch IDやFace ID

結局1つのパスワードを暗記してキーファイルを合わせるのが最強になるんだよね

>>309-310
プライベートではapple製品使っててbitwarden解除はタッチやフェイス使ってます
ブラウザのアドオンで使うことが多くてWEBサイトいってログインするとき
bitwardenのロック解除して「入力」ってボタン押してるけどもっと便利な方法ないですか？
ダイアログ出て自動で入るサイトもあるしそうじゃないサイトもあるんですけどこの違いってなんですか？

>>305
2FA
簡単だしおすすめ

>>312
bitwardenは脆弱性つかれて漏洩するのが怖くないですか

>>314
ではあなたが使用している堅牢で100％安全なソフトをご教示ください

>>312
bitwardenのヘルプでAutofillとかon page loadを調べて。
手軽になるけど、on page loadはリスクが有る。詳細はヘルプ見て。

Bitwardenが反応するサイトの有無は、ページの作りの問題だったりするけど、他のパスワードマネージャーと比較して、取りこぼしは多いかもね。

無料で不特定多数人のパスワードを保管してアプリのアップデートまでするなんて
なんか裏がありそうだけど

>>317
あなたが使用しているアプリと、
なぜそれを安全だと思ったのかを教えてほしい

BitwardenのWeb拡張はしばらく英語のままだったり、UIがちょっと変わったりが多いね

技術あるなら自分で弄るよろし！！
後はAIか

翻訳募ってるけどあのサービス受理されにくい

ID Managerは打ったキーがキーロガーに記録されるね
KeePass無印とXCはセーフ

KeePassXC派ワイ、ニッコリ

>>317
そういった不安があるのなら、1Passwordつかえばいいんじゃないの。もう迷わなくて済むよ。

エンドツーエンド暗号化対応遺言アプリ

Ente Locker
https://ente.io/blog/locker/

1Password値上げで他のツールに移行した
ってポストで一杯だった今日のreddit

円高だから値上げはしょうがない

>>327
月額3ドルから4ドルへの値上げだから、円高の話ではないぞ

1ドルけちるアメリカ人？どこの国の人かは分からんか
redditerも色んな国籍いるかな？しらんけど
トランプ政権のせい？？？ｗ

普通の消費行動だ
まあ、KeePassXCを使えば済む話よ(適当)

KeePassで流出事件起きた事ってあるの？
そこだけ知らんのよな

keepassはデータの管理なんてしてないので流出する物も無い

いやそういう事じゃなくて利用者がハッキング被害にあったとかでしょ？
そういうのあんま聞かないような？しらんけど

KeePassは一般人が自分の保管庫を自分で保持しているだけなので、
PCから流出してても気づかないままだし、自己責任でしかない

円高で物価が上がるというのはあまり聞かない話だなw

そもそも今は円安だしw

コストプッシュ☆インフレ

RedditでTOTP管理ツール探してるとき
Ente AuthのバックアップとしてProtonAuthenticator
BitwardenのバックアップとしてProton PASS
という運用方法を見つけた
卵はひとつのカゴに盛るな原則に反すると思うのだが、バックアップはサービスの持続性を狙ったものだろうか
それでもProtonアカウントがロックされたらバックアップの意味がなくなる
この運用なら無料でhide-my-email エイリアスを使えるProtonPassをメインにしたほうが、カゴの分散に繋がると思う

ProtonMailの主な不祥事・問題
① IPアドレスの当局開示（2021年・最大の事件）
フランスの気候活動家グループ「Youth for Climate」のメンバーが、ProtonMailアドレスを使って活動していました。フランス警察がユーロポール経由でスイス警察に要請し、スイスの裁判所が命令を出した結果、ProtonMailはユーザーのIPアドレスをスイス当局に提供し、それがフランス警察に渡って活動家の逮捕につながりました。 GIGAZINE
ProtonMailは「IPアドレスを保存しない」と宣伝していたため、「誇大広告だ」と強く批判されました。
② スペインでの情報開示（2024年）
スペイン当局への捜査協力で、あるユーザーの「復旧用メールアドレス」を当局に提供し、それがきっかけで身元が判明した事例も明らかになりました。 Protos
③ 実は大量のデータ開示をしていた
ProtonMailは2022年だけで5,957件のデータ開示要請に応じていました。 Protos「プライバシー最優先」というイメージとのギャップが問題視されています。

スレチになってくるがproton mailって安定してる？
hotmailは結構メールを黙って弾いてくることが多いし
yahooメールもなぜか届かないメールが割と(送信元が警告を出している場合も)
bunsin使っていて重宝しているが、メールサービス自体にそれに相当するものがあればなお良いなとも

Proton Mailの無料版はIMAP/SMTPが使えないので無し

IMAP/SMTPが使えるフリーメールは、Gmailを除くと、どこ?

スレッドチーズ

EnpassからBitwardenに移行してみたが、Enpassのセクションにあたる項目がないからBitwardenではそのデータが消失して完全なデータをインポートできなかった
これだと引っ越し難しいな
全部見直さないといけなくなる

KeePass 2.61 released

KeePass Password Safe
https://keepass.info/

>>342
一昔前だとHotmailが対応してた

pixel 9aなんだけど、スマホ版課金ナシできちんと自動入力される組み合わせが
bitwarden + chrome / braveしか無かった

マネージャ：bitwarden、keepassDX、Keepass2Android
ブラウザ：chrome、MSエッジ、firefox、brave
これらを結構長い時間あれこれ組み合わせてトライしたけど
ユーザー名＞次へボタン＞パスワード、のタイプになるとまるで反応しない

唯一まともに動いたのがbitwardenにブラウザ統合機能があるbrave、chromeだけ
chromeは広告ブロックできない、braveはあんま聞いたことなかったことから
出来ればfirefoxで、せめてエッジで手軽に自動入力したかった
みなさんのとこだとchrome、brave以外でもちゃんとオートフィル出来てます？

>>338
スマホ14TPro
Keepass2Android、firefoxでGoogleログイン試したがユーザー名入力後パスワード自動入力候補出る

そのログイン方法はGoogle系かな？
あれはPCでも出る奴と出ないやつあるな

Keepass2Android + Firefoxで自動入力の可否

インスタ〇　amazon〇　google〇　steam〇　discord〇　
pinterestX　x.comX　chatgptX　deviantartX　楽天X

確認ありがとうございました。そうですねグーグルログインフォームと同様のタイプです
うちだとこんな状態です。効く効かない半々くらいですね

AIに聞くと原因分析してくれそうやなー
・ブラウザなどのクライアントが原因なのか？
・それともWebサイトの構造や認証が原因なのか？
はまた違いそう KeePassならプラグインとかで対応できないかな？

AIには結構相談しててあれこれ試したんだけど上手くいかなかったんです
ひとつ惜しかった方法があって、keepass2androidキーボードをメインにする
ログインのユーザー名の欄をタップしてからブラウザの縦に・・・のメニューから
共有→keepass2androidを選択
こうすると次からはこんな感じで1行バーが出てそこからプッシュで入力できます
https://apptsu.com/wp-content/uploads/2023/06/keepass2android_offline-18.webp
ただこれ英語キーボードだから毎回日本語KBに切り替えないといけないのがちょっと面倒
bitwardenは内蔵キーボードないのでこの方法は使えません

keepassで手間が掛かるけど広告ブロックが強いfirefoxにするか
bitwardenで入力は快適だけどいまいち評価不明なbrave使うか
うーん。実際使ってるかたいたら使用感聞いてみたいです

そうだ、スマホ版ブラウザにはkeepassとかのプラグインが無いんですよ
pc版にはあるから当然スマホ版にもあるのかと思ったら存在しないみたいです

AndroidはkeepassDXのほうがよくない？

keepassDXは一定時間過ぎてDBが自動ロックされると
解除に毎回マスターパスを要求されるので面倒で諦めちゃったんだよね
K2Aのほうは普通に指紋で解除ができる

ただスマホ版PWマネジャ使い始めてまだ数日だから自分が間違えてるのか
DX側のバグ？仕様？なのかよく判らない
そこが解消できればその他の面ではどっちでも変わらないという印象かな

>>355
PC版も似た感じだからマスターパス要求は仕様でしょ
面倒だというけどセキュリティ対策としては妥当だと思うよ？
↓みたいな理由だとさ
https://i.imgur.com/BP1qHkX.png

スマホは特に不特定多数の人がいる場所でPWマネージャなど
プライバシー情報を見る場合背後から覗かれていないか？は警戒要素だな～
ファミレスやコンビニとかで不用意に見たりすると危ないんだよな

後はメモリ上にデータが残るのはPCもモバイルも共通の仕様かな？
こういう細かいというか普段気にしない要素も見てる人は少なさそう
知らんけど

>>355
keepassDXも指紋で解除出来るぞ。スマホ2台に入れてるが問題なく使えてる

https://github.com/Kunzisoft/KeePassDX/wiki/Device-Unlocking#b-link-database-credentials-to-device-unlock-recognition

root化しているとroot化隠ぺい若しくはbootloader unlock隠ぺいソフトの影響で指紋認証が一時的にに無効になってマスターパスワードが要求される場合がある

>>356
まだ試行錯誤中で何度もロック解除するから億劫だったけど
一旦環境固まったらそうそうログインし直さないですしね
確かにマスターパスのほうが安全ですね

>>359
本当だ。できました！
少し下の緑の画像の指紋のボタン
日本語だと生体認証解除不可みたいに書いてますよね
設定で生体でロック解除にしてるのになんでダメなんとずっと思ってました
マスターパス入れた状態でこの指紋ボタン押すと解除がオンになるんですね
全然気づきませんでした。ありがとうございます

keeepass使ってる人結構いるんですかね？
みんなワンタップで自動入力できてます？

日本人でも結構使用者はいるんじゃないの？
ここ覗いてる人もそこそこいるみたいだしな

話題が少ないとはいえスマホは向こうでやって欲しいな

スマホ版とセットで使うの前提だから使ってんだしこっちでいいわ

ここべつにPC板ではないんで

PCカテゴリのソフトウェア板だけど
PCカテゴリにモバイルも入れてるからややこしくなる

向こうって他にもパスワードマネージャーのスレあるの？

スマホの専用スレはないです

パソコンとスマホ両方で使うことが多いので、ここを使わせてくれると助かる

スマホのスレが無いなら
>>363 の言っていた「向こう」
って一体なんだったんだ？
まさか向こうのスレが存在しないのに、あると思い込んであんな発言したんだろうか？

>>369
あるなしじゃなく無いならスレ立ててやれってことでは？
どっちにしても見当違いのレスだからスルー対象だけど

個人的見解やけどそもそもこの手のPWマネージャの話題は
過疎傾向だから細分化せず総合スレの方が知見が集約しやすいのでおすすめ
持論だけどな―

iPhoneとiPadを使っていて
今は同期を取らないでそれぞれデフォルトのパスワードマネージャーに保存しているんだけど
このうち一定程度重要なものだけkeepass系のローカル系マネージャーに切り替えて
残りは同期を取ってしまおうかと思っているんだけどどう思う？

お前のリスク許容度次第だろって言う話ではあるんだけどさ
今のままだとパスキーも使えなくて不便

それは自己責任問題だろうなー 個人的にセキュリティリスク考えたら同期は使わんな
利便性はあるけどね～ でもKeePassの同期はクラウド系とはシステム違うの？
DBは重要度でリスクマネジメントすればいいんじゃないですか？知らんけど

とりあえずAIやセキュリティ系に詳しいリアフレやネッ友にでもきけばいいんじゃない？
最終的には感情問題か数学や科学的判断やなー
知らんけど

セルフホストにして自宅と同期すればよくない?
何を気にしてるの?

>>375
・アップルの施しているE2Eの暗号化が何らかの要因で破られる
・SMSがアカウントへのログインの認証に使われるのでsimスワップ？喰らうと漏れるなと

同期取るかどうかの差分で言えばこれですね

ローカルとクラウドの二択で検討していて
セルフホストは考えていないですし

そんなにセキュリティリスク気にするならやはりスタンドアロンが一番いいよ
インターネットに繋ぐから問題が起きるんだよｗ

たぶんセルフホストよりAppleに管理させたほうがセキュリティ堅いと思うの

なんでだよw
クローズド環境の方が強いに決まってるだろ(笑)

そうだな
紙に書いて金庫にしまっておけ

Apple盲信者多すぎワロた

セキュリティというのは企業による判断ではなく
その企業のセキュリティ理論などシステム面で判断するといいのね
理系の知識ないと詐欺に引っかかるよｗ

>>380
極論ww 確かにスタンドアロンｗｗｗ
最近言われてるけどデジタル依存とアナログの再評価もあったな

セキュリティの話しだしたら可用性も考えなきゃならん
必要な時にアクセス出来なかったらシステムとしてはアウト

セルフホストなんて、精通した人じゃないと、不正アクセスされても一生気づかないよ

>>385
ボケちゃったの?
おじいちゃんw

そりゃ手マンの1つぐらいしたいですよ

クラウド保存、セフルホスト、一長一短なんだから何を気にするか、どう使うかで良し悪しが変わる。
どっち選んでも、使い方で次第で強くも、弱くもなる。好きにすれば良い。

セルフホストは怖くて出来ん
スキルがある人なら一番良いのだろうけど

セルフホストは自称情強じゃないならいいだろうけどむずいだろうなｗ
クラウド保存+暗号化じゃない？企業を信用できないなら暗号化なりすればいい

作るのは簡単なんだけど管理がね
特にセキュリティ

いまどきお手軽にセキュリティ確保できるのになに言ってるのかなw
未だにポート解放してるのかな?おじいちゃんwww

情シスとか軽んじている奴ってこういうタイプなんだろんな

三択だとセルフホストが一番怖いけどなぁ
物によってはセルフホストもありだろうけど、パスワードは抵抗あるわ、俺は

wifiも怖くて使えなさそうなおじいちゃんかなwww

典型的な自称情強だな

時代遅れのおじいちゃんか、大船に乗ってるつもりで泥舟に乗ってる情弱さんかなw

それだけ自信があるのならITセキュリティで働けば良いのに
あおり抜きでたんまり稼げるよ
ポート塞いだりネットの記事だけ実践して安心しいるようじゃ相手にされないけど

クラウドだから安心って思えるの幸せだねw

ios safari以外のブラウザでパスマネ起動しなくなった？

MM65-VVL2はすげーいきってるなｗｗ 典型的kidsやな....w
PSNやAmazonやGoogleのセキュリティでもやればどれだけ大変か分かりそうだけどｗ
素人PGがイキってる様にしかみえんｗ

>>398さんの言う通り教科書やネットの一部の浅い知識じゃ安心できないし
雇われはしないだろうけどｗ

セルフホストが流行ると困る人かなwww

何で困るねんｗ 意味分からんｗ
ITに詳しいとかPGやSEじゃない人間の場合は普通にセルフホストなんて難しいよｗ
下手にセキュリティリスク呼び込むなら普通に企業系のサービス使う方がいいｗ
こんな簡単な事も分からないド素人ｗ

>>404
いまどきセルフホストごときのITリテラシーなんて教養のうちだろwww

君にとっての知識=世界人口70億の知識じゃないんだけどなｗ
小学生以下の想像力ｗ

なんでセキュリティ専門会社にクソ高い金払っているかとか、なんでクラウドが流行っているかとか何も分かっていなさそう

>>403
確かに素人のセルフホストが増えるとスパムが増えたりトロイによる一斉攻撃が増えたりで一般人には困るな

すまんすまん、時代遅れのおじいちゃんに何言ってもむだだったわ

うっすい内容でイキってるなあ

うっすい内容で煽ってきてるくせにうけるわw

仮想化プラットフォームのインフラvmをこうちくしてアクセス制限かけたクラウドネットワーク基盤にトンネルつくれば、いまの時代は個人レベルでも十分なのよwww

31aa-VVL2くんの言っている事は部分的には正しいみたいだけどやはり煽りカスだから
細かい部分の見逃しが多いねｗ AIによる正しい構築はこうだとさｗ
https://i.imgur.com/h0BjTYG.png

後煽りカスきゅんは内部のネットワーク構造に言及してないから
そこもやはり自称情強きゅんかなｗ

後は>>412で言っている情報は一般人社会での基本教養レベルのITリテラシーじゃないなｗ
さすがに一般人のレベルを知らなさすぎるｗ
一般ITユーザーはツールを使う技能しかないかとｗ

おいおい言うまでもないことまで突っ込んでくるなよwww
認証なんてクラウドサービスで実現できるし、内部の自動更新やログ監視もソフト揃えるだけよwww

君は指摘されてから描いてる時点で見落とすタイプでしょｗ
肝心な問題で100点取れないタイプじゃんｗ

とにかく、今時はクラウドサービス利用すれば個人レベルでもセルフホストを運用できる時代なんですよ、おじいちゃんwww

前提知識いるだろ？クソガキｗ
期末テストとかで100点取れないタイプのクソガキｗ

前提知識ってw
Linux使えれば誰でもできるぞ。

あのさ～この世界にはお前より物凄い天才もいれば青葉真司やシャムみたいなキチガイもいるのね？？ｗ
頭のいい人もいればキチガイもいるの？わかりゅ？ｗ

>>372ですが、同期を取るものは標準の「パスワード」に入れて同期
重要なものはKeePassiumに入れて、時折airdropで相互に転送して同期を取ることにしました

Strongboxだとネットに上げないでwifi経由でのみ同期を取ることも可能なようなのですが
ファイルの形式がKeePassiumと互換性があるようなので目先はこれで行ってみようと思います

そのやり方だとAirDropのセキュリティインシデントが起きない限りは安全かな？
後は端末自体にマルウェア混入しない限りはか.....
WifiのNotインターネットでローカルは確かに安全だろうけどそこまでするのかーとは思うなｗ

キーファイルを設定してあって
これはairdropでやり取りするフォルダとは別の場所に置いてあるので
事故を起こしても致命的にはなりにくいかな？と思っているよ

神経質だし、自分を含めて人を信用してないからね
安心して使用できるのが大事かなと
利便性も大きく損なってはいないし

()乙

同時に更新かかるとアウト。事故ると消えるからやめた方がいい。
>>424
セルフホスト立てて、世代バックアップと同時編集の競合ロジック組んだ方がいいよ。
それがいやなら競合に強いアプリ使いな。

別の場所でも同ストレージとかストレージ別じゃない場合は
やはりハッキングされたりマルウェア混入したらセキュリティリスクあるだろうね
まーさすがにそこまで対策するのは大変だけどｗ

ウィルスも一緒に管理しちゃって復旧後にさらに暴れるとか、データが壊れていることを知らずに壊れる前のデータが管理対象外に落ちたりとかよくある話だしなー
そうすると外れる分の正当性を確認後完全に離された外部メディアに保存とかになるけど其処までやってらんねw

KeePassは競合検知しても自動でマージしてくれるから
その辺も抜かりない

企業系ソフトじゃないのに本当に優秀だよね(´・ω・｀)
しかも無料で使えてセキュリティ強度が使用次第で企業レベルなのもやばいｗ
エンジニアがほんま優秀ｗ

iPhoneの設定していて思ったんだけど
キーファイルだけ完全にローカルに置いて同期を取らないで
データベースだけクラウドで同期とるっていう手もあるなと思った

スマホだと難しいだろうし、E2E暗号化でしか無いんだろうけど
仮にクラウドが攻撃を受けて漏れたとしても
そこにはパスワード同期サービスのような定型データが大量にあるわけでもなく
分析するコスパが悪そうだよなとか思った

そのやり方はキーファイルだけ同期する方がリスク少ないのかな？
しらんけどDBとキーファイルのどちらが同期時のリスク少ないんだろう？

同期先を別々のクラウドにしておけばいいんじゃね？

個人レベルだとそれが一番楽だね
それ目的ならどうせクラウド上の空きスペースもできるからパスワード以外の写真のとかのデータも分散バックアップできるし
ていうか今そうしてる

>>434
もう中身がスレチになっているが
どんな感じでバックアップしてるの？

自分は基本外に上げたくないから
ローカルにNASとの同期ソフトを入れてNASにバックアップ
NASからさらに週に1回外付けドライブにバックアップしているよ

これと別にオフラインにしたドライブがもう一つあると硬いよなと思っているんだけど面倒でほったらかしてしまっている

>>435
お仲間
ドキュメントとかメールとか変動してロストしたくないフォルダも1時間おきにNASにバックアップしてる

>>435のやり方はさすがにやりすぎｗ
ただNAS→外付けHDDの2backupはエラー対策ではいいかもね
過剰だとは思うけどｗ

NASはインターネットに繋いで独自ネットワーク構築してる人もいそう

android15で
Keepass2Android offline
https://github.com/PhilippC/keepass2android
使ってるんですけど、質問です。

/storage/emulated/0/Android/data/Keepass2Android
に入ってたkeepass2.kdbxファイルを他フォルダに移動したら、元のフォルダにroot権限がなく、戻せなくなりました。

そうしたら、keepassアプリからkeepass2.kdbxファイルにパスワードを追加、更新しようとしても出来なくなりました。

どうやったら、パスワード追加出来ますか？
keepass2.kdbx作り直ししかないですか？

>>439
一度googleドライブとかのクラウドにアップロードして ダウンロードし直したら権限変わって書き込めるんじゃね?
知らんけど

2FASが始めたパスワードマネージャー
パスワードは全部スマホにだけ入れておく感じなのかな
5chセキュリティ評論家の評価ください

https://2fas.com/pass/

2FAS Passの方なんですなAuthだと2FAの方になるのか
AIに聞くとKeePass未満のアプリらしいけどUIUXの面で優位性あるらしい？
ただパスキーが未対応と出てきますな？
ｼﾗﾝｹﾄﾞ

KeePassの方がプラグインとか豊富だし自分はKeePassにするかな

aegisとkeepasどっちがいいの?

AegisはAuthenticator系(2要素認証系)アプリだからそもそも役割が違うかな？
比較するならAegis vs 2FASAuth vs MicrosoftやGoogleのAuthenticatorらしい

結局漏れるのはクライアントからではなくデータベースからなので

めっちゃ叩かれたLastpassがお勧め
あの反動でまともになったし、アプリやブラウザへの反応も良い
って信じて使ってる

Lastpassは未だにお勧めできないと思うけど....
>>441の2FAS Passの方が気になるな

2FAS Pass試そうかと思ったが
200アカウント以上は有料でやめた
https://2fas.com/pass/pricing/

heylogin(個人無料)
マスターパスワード不要でスマホ等がセキュリティデバイス
試用したが直感的で使いやすかった
欠点は日本語版無し、クラウドのみ、PCアプリ無しでブラウザアドオン、セキュリティ監査歴不明
https://www.reddit.com/r/BuyFromEU/comments/1iyizbf/heylogin_superior_password_manager_from_eu/

>>449
heyloginの機能詳細
https://www.reddit.com/r/PasswordManagers/comments/1sda5x9/heylogin/

1 番組の途中ですがアフィサイトへの転載は禁止です (ﾜｯﾁｮｲW 1a9f-OG0r) sage 2026/04/24(金) 04:52:44.74 ID:SxuIOrap0 BE:543236886-2BP(1000)

パスワード管理Bitwardenにマルウェア混入
https://jina⚫;coin.ne.jp/crypto-wallet-malware-bitwarden-20260424/

スマホを認証機にするのなんか怖い

>>451
やっぱKeePassXCよ

KeePassはほぼインシデントないと言えるからね ｼﾗﾝｹﾄﾞｗ
>>451のBitwardenのマルウェアの件はCLI系の奴だけでGUIの方は被害がないらしい
そういう細かい部分も書いて欲しいｗ

>>452
じゃあ何ならいいんだ？

やはりデスクトップPCじゃないの？
モバイルはセキュリティが弱いとは研究者達がいってるな
スマホでも対策はできるだろうけど知識やお金がいるかな？

>>453
AIくんに聞いたりググってみてもやはりKeePass(+XC)が一番安定だと出てくるな
設計が違うかららしいけどね後は次に安全なのはBitwardenだとは出てくる
LastPassとか💩ｗ

>>455
認証機という考え方自体が、デバイスの故障を考慮してないからなあ
最近あった事例として、頻繁には使ってないGmailにログインしたのだが、元々使ってた端末はリセット済みだったのに、その端末で認証しろと言われるから詰むところだった
連絡用のサブメールを登録してたからそっちでアクセスできた
これも強制的にスマホを認証機にされたらどうなるかの事例

認証専用端末に関してはアニメとかのフィクションでも事件は起きてるなｗ
後はハリウッド映画とかもかｗ 端末は老朽化するしヒューマンエラーもあるから
完全な専用端末はリスクまみれだろうなｗ

>>452が言ってるのは故障面というよりはソフトウェア面な気もするがどうだろ？
スマホ紛失のリスクについてはデータ分散で対策するしかないな

そういうことがあるから迂闊にサブのandroidにgoogleアカウントでログインできないんだよなぁ

>>458
デバイスの故障はクラウドや自鯖でパスキーを管理すればなんとかなる
SMSのメール認証も実質同じ問題は抱えてるけどSMSメールは携帯ないと終わるけど
パスキーなら他でも使えるから理解できてるならパスキーのほうがいいかもしれん

今　秀丸文書ソフトにパスを記録していてそれをPCで開いて毎回コピペしてパスを使っている。
長いし記号とか入れてるランダムなものが多いからとても覚えられない
でもPCがマルウエアとかに感染したら全部流出する危険性があると・・
危ないメールとか開かないしwindows 事態にもセキュリティあるし　ESETとかも入ってるんだけどそれでもやっぱりだめなの？
なんかセキュリティって延々とイタチごっこだよね・・　(´・ω・`)　

>>463
理論上はhackerがいる限り攻撃は続くからねｗ
人間が絶滅したら攻撃は止まるよ？ｗ

>>464
あまり気にしすぎて鬱にならないように気をつけますw　(´・ω・`)

>>463さんのやり方でもまだexploitを完全に防いでるとは言えんのよ
かなりセキュリティ対策をしてる方だけどねｂ
一番いいのは仮想化+スタンドアロンだっけ？

>>463
KeePassXCなら保存データベースが暗号化されるよ

よく読んだら>>463さんテキストエディタ系にパスワード保存してるのか.....
平文保存はハッキングに会った時にノーガードだから危ないよ～
もう少しGPTなんかのAIとかにも質問して知識強化しようｂ

今時は素人さんでもパスワードマネージャ使う方がいいですよ
特にPCユーザーならKeePass系がかなり安全性高いでしゅ

>>469
>>470
ありがとうございます　頑張って今トライしています。　

>>468
ブラウザと連携させる場合は拡張機能を入れるといいかもしれない
頑張って


Download – KeePassXC
https://keepassxc.org/download/#browser

拡張でブラウザとも連携出来るパスワードマネージャ KeePassXC | パソコン備忘録
https://pc-memorandum.com/keepassxc/

>>472
ありがとうございます！　

平文でPCに保存は良くないな
自分は紙をベースに、パスワードマネージャーも併用している

おおおおお！　皆様ありがとうございます。　こーやって使うのか！　ようやく1個登録してログイン使うことができました。

トラブル�@　ここが一番時間がかかったw
まずDLしたのはいいけど何故かダブルクリックしても開かない。DL削除プログラムアンインストールとか何回かやったり
再起動したり・・　結局DLのサイトに　⇒「MSVC再頒布可能パッケージが必要です」とサイトに書いてあるのに気づき　
これをDLしてようやくアイコンダブルクリックして起動成功

トラブル�A　IDとパスを登録したのにそのサイトに言っても連携されてない警告マークが出た
>>472さんのサイトに書いてあった（ありがとうござます🙇‍♂）
ツール⇒設定から　ブラウザー統合のページで　有効にするに✅をいれて　chrome とか使うブラウザに✅を入れないと駄目　

感想：なるほどー　keepassXCにログインする時のパスと⇒windows のパスキーも要求されるので（自分だけ？）
これだけ覚えていればいいからやっぱり便利かも
keepassXC のログインのパス長く複雑にしたものだけ　パスというファイルにパスだけ書いても流出しても
特定できないから多分大丈夫ですよね・・

>>472
今の環境だと拡張機能が踏み台にされる可能性もあるからあんまおすすめしない😥
>>474
紙は金庫とかに保管してる？もしくは別のスタンドアロンのPCに保存とかもええで

後ブラウザでどこかのサイトにKeePass系でログインするだけなら拡張機能自体がいらないよ
普通にKeePass系は自動入力が標準で付いてるはずだからその自動入力のアイコンを押すだけで
自動でログインフォームにIDとパスワード書いてくれるｂ

>>476
空き巣対策まではしていませんね

最重要なやつは別途2段階認証用のスマホがないと使えないので
そいつとセットで持って行かれてかつスマホのパスコードもわからないと大したことはできないかと

>>463
記載しているパスワードに暗記できる数文字を加えたものを実際のパスワードにするとか

記載+記憶という方法

>>478
今の時代は普通の個人も闇バイトで狙われたりしてるから空き巣対策はした方がいいよｂ
今だとそのパスコードを聞く為に拉致される危険もあるかもｂ
最近のニュースで証券口座がハッキングされた事例もありましたからね～

>>479
それも悪くはないけど総当たりとか色んな攻撃手法があるからなー
以前この系統のスレで書いてた人がいたけどIDかパスワードだけをパスマネにいれて保存とか
言ってる人がいたらからそういう防御スキームもいいかもですよ？

パスワードを何かの文章にすれば記憶と文字数を両立できる
平気で100文字とかにできるしそこに少しの大文字数字記号を混ぜれば簡単に高強度のパスワードの完成

自分の好きな歌の歌詞とか

>>480
スマホのロックに期待することにします
持ち歩かないスマホなのでそんなに危険でもないんじゃないかと

普段から使うものなので、あまり奥にしまうのも難しい
一番重要なのは紙にしか書いてないし

自分のバックアップはこんな感じ

windowsのテキストにパスとか全部書く
これをPCのWinRARでパスワーど付けて圧縮
このrarファイルをAndroidアプリでグーグルがデフォで提供してる「Files」の「安全なフォルダ」に保尊してる
安全なフォルダっては、ここ開くだけでもPINが必要でスマホのロック解除とは別の番号を設定する

>>484
だからその紙も危険なんですよ～
・誰かに見られる (家族や友人や空き巣)
・紛失や盗難のリスク

>>484の運用で一番いいのはインターネットに繋がないPCに
パスワードマネージャでデータを保存することだよ

一人暮らしで友達はいません
持ち歩きません

>>485
その運用法はセキュリティに問題があるからおとなしくkeepassとかのローカルマネージャー使った方がいいと思う

>>485
パスワーをど付けるのか…
パスワーってなんだろ？

パスワーど
↑単純な変換ミスｗｗ

>>489
やっぱ問題あるのか
keepassXCはPCとAndroidで両方を使ってる上でテキストにもバックアップしてたけど消しとくわ

いやXCは普通に問題ないはずだよ？もう少し調べようｗ

テキスト保存の方の事やろ普通に考えて

普通に小学校から国語やり直した方がいいな

>>492
HDDやSSDに平文を保存した時点でそこに痕跡が残る
HDDはランダムデータの上書きで完全消去すれば多分大丈夫だけどSDDは特定データを確実に完全消去する方法がないので平文保存がまずアウト
rarもパスワードマネージャーでの暗号化よりは強度が下がるし、そもそもの話同じパスワードを複数のツールで保存することがただリスクの箇所増やしてるだけの行為

>>494+495ニキは差別はやめようｗ
>>496
のニキ参考にさせて頂きますｂ SSDはデータ消去系でもダメなんですなｗ

こういうIT知識は本当に教科書や普通のウェブサイトじゃ教えてくれない機密ですなｗ

>>496
大抵のパスワード管理ソフトは平文でエクスポートする機能が付いていて、
乗り換えなどのときはそれを使うことが多いだろうけど、これも本当はよろしくない

>>499
さすがにそれは「しょうがない」ケースじゃない？ それ言い出したら何もできないような？

Androidとも同期させてる人はいると思うけどその場合はどんなツールが良いのです？

>>499
これKeepassなら違うんじゃないの？ｼﾗﾝｹﾄﾞ
Bitwardenはどうなの？

>>502
Bitwardenはえらべる

細かい経緯は省くけど今ある程度に名前が有名なパスマネの平文リスク評価はこんな感じらしいよ
やはり一番安全なのがKeepassで次にBitみたいだな
https://i.imgur.com/w86pJ6y.png

買い切りが安くなってたから買ったEnpassはどうなんだ
サブスク嫌で1passから乗り換えたけど…危ない？

>>501
keepass2AndroidかKeePassDX
ローカルキーファイル使用でデータベースはクラウド
スマホでデータベース編集は壊れる可能性あるからしてない

>>505
Enpassの欠点セキュリティ監査無し
キーファイル無しはデータベース流出で解読される可能性ある
セキュリティ重視ならキーファイル使用
>>270

>>501
PC: KeePassXC, Syncthing
Android: KeePassDX, Syncthing-Fork

Syncthingでローカルネットワーク経由で同期してるわ

>>496
>SDDは特定データを確実に完全消去する方法がないので平文保存がまずアウト

これ本当？
昔、データ入ってるUSBメモリーを
Linuxのshredコマンド（shred -n2 --z）
やってデータ3回上書きして、
複数の復元ソフトで復元を試みたが、データ復活しなかったぞ

>>508
復元ソフトは多分無料でしょ？一般に出回らない有料や法人向けとかなら
復旧できるかもよ？

知識ある人はどこまでも色んな復元機能作るからな～
まぁ余程の目立つことをしなければ一般人がそういう悪徳ツールの標的にはならないんじゃないの？

電荷のNANDできっちり上書きしたものを復活とかどうやんの？

>>511
それは出回ってない情報があるんじゃないの？
ジャンル違うけどゲームの🧀ートやRMT業者などが使う不正ツールは一般市場に出回らないんだとさ
そういう法務や業務系アプリケーションで復元とかありそう......

きっちり上書きができない
上書きしたいデータの場所(1回書き込み)
他に0回書き込みの場所があると上書きで書き込む場所はそこになるからデータ上書きはでない
これがウェアレベリング

ドル円100円になったらENPASS買い切り買うのだがな

アメリカIPでサイトみると59.99ドルだから、日本円の¥7,861は結構頑張ってる価格なのか

>>508
全体消去だと消える確率は高いがそんなことパスワードを使うたびにやってられないので特定データ(パスワードの平文データ)を完全消去できるかがまず論点になる

>>513が言うようにSSDにはウェアレベリングという機能があって、セル1個あたりの書き込み回数が偏らないようにコントローラーが絶えずデータを移動させ整理してる
だからHDDのようにデータが1箇所に留まらず、一度書き込んだデータの痕跡が複数個所に刻まれる可能性を否定できない
またSSDはデータの上書きができず書き込みがページ単位で行われるのに対し削除がそれ以上に広いブロック単位でしかできないので、ピンポイントで選んだデータを完全消去ソフトで上書き処理してもコントローラーが別の箇所に書き込み処理をする可能性がある
これらのコントローラーの中身は大体メーカー非公開なのでSSDに1度書き込んだデータが完全消去されるかは運任せ(ただしトリムという機能によって時間経過で消去される確率は上がる)

またHDDだと機能する全体消去コマンドですらコントローラーの介入により正常に行われる保証がないため、SSDではsecure eraseというウェアレベリングを無効化する完全消去機能(nvmeではSANITIZE Block Erase)が唯一のSSDデータ完全消去手段だとされてる

あとUSBメモリは上述したコントローラーの性能が低いがゆえに消去しやすいということがあると思う

>>513
データを消したあとに容量満タンな空イメージファイルで上書きはダメ？

>>516
SSDは高速でいいとかメリットばかり強調されてるけど
セキュリティ面から見るとデメリット多いのか～
HDDもそういう面でメリットあるのかー

enpassとkeepassxc併用しているけど
enpassはキーファイルを設定できないのがちょっぴり不安
でも入力が三箇所以上あるフォームの入力が簡単なのでそこは気に入っている

>>519
enpassはマスターパスワード変更からキーファイル設定出来る

このスレ本当に勉強になりますｂ

Windows11のエクスプローラってパスワード付きZip作れない？

そういうのは圧縮やアーカイバ系スレで聞いてクレメンス
zipの場合はパスワード付けてもセキュリティがボロボロだから付ける意味がないｗ
圧縮ファイルのセキュリティを確保したいなら今だと7zipがいいですよ
もしくは.rar系ですな

ちょっと心配になってくるな
古いのやミラーから仕込まれたの落としてきそう

確かにそういう危険もあるけどzip使い続ける方が危険じゃんｗ

zipにパスワードかけてもファイル名が丸見えな事を知って驚いた

>>526
まるみえどころか抜き出し放題だぞい？しかもフリーソフトでCrackし放題ｗ
こんなものを企業のセキュリティに使ってたら馬鹿にされるｗ

今時1番いいのは7zipで機密情報の暗号化なんだけど
こちらもフリーソフトだから信頼しない人はそうなるんだろうなと......
7zipはハッキングされた事件がほぼないフリーソフトなんだけどな～

7zipってロシア系というのを知った上で使うべき

>>527
Zipのパスワード抜くおすすめフリーソフトおなしゃす。

>>525
いやパスワードというだけでここで聞いちゃう>>522がまともな圧縮解凍ツールを落としてこれるのかが心配になってな
最近でも圧縮解凍ツールDL用のミラーサイトにスパイウェア仕込まれているから注意とかあったし

「7-Zip」の公式サイトのドメインは「7-zip.org」

ミラーサイトは非公式だからあること自体怪しいと思わないと

>>529
解像度が低すぎるｗ ロシアや中国系=全部危険？
アメリカや西側も情報収集してない訳じゃないんだけどなｗ

>>530
悪用しそうなバカだな～ｗ
一応1文字だけ教えておくとPやJが名称の一部にあるよｗ
これだけでも分かる人には分かるｗ

んー7zipは脆弱性をロシア政府が軍事攻撃で悪用した例も一応報告はされてるな
そこの所は要注意かもー
https://gigazine.net/news/20250206-7-zip-zero-day

スレ違いの話はそろそろ止めくれ

7zipってパスワードを管理する機能あったっけ？

.7zipならパスワード弄れる機能あるはず

メインPCはkeepassXC、Androidでkeepass2Android
バックアップは無いと詰むし、テキストをWinRAR圧縮して書庫にパス付けることにするわ

バックアップ用にテキストを何らかで圧縮パス付きでもダメだというならもうバックアップは紙で残してるの？

>>540
テキストだと平文だからどこかにデータの残骸がある可能性もあるしSSDだと↑で書かれてる通り削除がめんどい
Rar+パス付きでもどこかでクラックされたら終わり特に株とか証券のデータならやめた方がいいよ
パックアップ用もkdbxとかにしておいてそれを7zipなりRarのパス付きで保存するといい

>>540
後はスタンドアローンのスマホという言い方が正しいか分からんけど
そういう状態のモバイル端末に画像を取って保存するのもいいんじゃない？
画像(圧縮+パス付き)とかどうよ？ま～モバイルで持ち運びしたい場合はね

>>518
HDDもwindowsで標準設定されてる定期デフラグが行われればデータの移動が発生するし代替領域の問題もあるから機密データの平文はメモリにしか置かないのが鉄則かな
そういう設計になってないパスワード管理ツール(まずないと思うけど)は論外

パスワードをRARでバックアップするという行為が意味わからなすぎるんだけどどういうこと？
せっかくkeepassで暗号化してるのになんで他に移すの？

うん
keepassのデータベースファイル（.kdbx）は暗号化されているからそれをバックアップすればいいのに
なぜわざわざ平文にしてから圧縮ソフトの暗号化をかけて保存するのか

KDBX圧縮したらデータ壊れないの？
普通にそれをコピーしておけばいいよね

>>543
しつこい

>>546
今多分.kdbxの圧勝データがあるはずだけど壊れてないかも？
後はKeePassはプラグインが豊富だからエクスポート用のプラグインでそういうのあるかも？ｼﾗﾝｹﾄﾞ
546の言う通り普通に.kdbx自体が暗号化ファイルだからそれをコピペするだけでいいな

変態さんは理屈じゃないんだよ
宗教といってよい

Edgeは情弱クソブラウザ
KeePassXCを使いませう

Microsoft Edgeは全パスワードを平文でRAM保持する：同社は「設計通り」と回答するも漏洩リスクが指摘 | XenoSpectrum
https://xenospectrum.com/edge-plaintext-ram-passwords/

Microsoft Edge Stores All Saved Passwords in Cleartext Process Memory at Launch
https://cybersecuritynews.com/microsoft-edge-passwords-cleartext/

昔からMS製造のブラウザは脆弱性まみれな印象だけど
EdgeでもPWマネージャの脆弱性があるんかいｗ
しかも平文はひどいなｗ

>>550
AIも専門家もこの脆弱性(設計)はPCがマルウェア感染(+RAM攻撃)とかしてない限りは安全と言ってるな
ただ主要4つのブラウザでこの設計はEdgeだけだと言ってる人がいるな～
なぜMSがこの設計にしたかはパスワードの利便性の為らしいけど企業レベルの運用だとこの設計は致命傷かもらしいｗ

自動入力前に毎回認証しないといけないじゃない限り
メモリ上で暗号化してようが起動されたら抜かれるぞ

Edgeに保存してるパス確認しようとしたら
無駄にWindowsHelloの認証求めてきたわ
中身の実装と設計が伴ってなさすぎるな…

平文がRAMにあるのは普通のことだと思うけど全文が置きっ放しになるのが悪いってこと？
keepassもデータベース開いたままにしてたら同じ状態だと思うんだけど

囮ということかもしれん
そのアドレスにアクセスしたアプリはDefenderちゃんがパクっと

>>555
https://keepass.info/help/base/security.html#secmemprot

>>555
用もないのに(アイパスを使う場面じゃないのに)暗号化して保管してるアイパスを平文に展開されてしまうのが問題なんだと思う

>>555
普通は使うときだけ一時的に復号するからプロセスメモリ読み取りを膨大な回数行う必要がある
Edgeは全部平文だから一撃で全部。secure by designの対極にある

>>555
ん～>>557さんが貼ったリンクのProcess Memory Protectionの欄ちゃんと読んだ方がいいよ
ただしRAMでの暗号化の対象に含まれない項目があるので注意らしい↓
>sensitive data here includes for instance the master key and entry passwords, but not user names, notes and file attachments.
ここでいう機密データには,たとえばマスターキーやエントリーのパスワードが含まれますが,ユーザー名,メモ,ファイル添付は含まれません

メモリ解放時の処理もセキュリティ重視でEdgeとは違う処理だなー
>Furthermore, KeePass erases all security-critical memory (if possible) when it is not needed anymore, i.e. it overwrites these memory areas before releasing them
KeePassは,セキュリティ上重要なメモリ領域を(可能な限り)不要になった時点で消去します つまり,これらのメモリ領域を解放する前に上書き処理を行います

MSはEdgeは設計通りでPCが侵害されていない限りは無事だと言っていてそれは確かに正しいんだけど今のセキュリティ環境見てると
重要な証券口座とかブラウザのPWマネージャで管理してる人は危ないだろうな～てかそんな人いるのか？
>>559
利便性重視(MS視点)の為に起動時に全文平文で読み込みは正直やばい設計だとは思うなー
chromeや🦊はそういう設計じゃないらしいね

まぁ管理者権限を乗っ取られている時点で、
パスワードどころの問題じゃないだろというスタンスなんだろうけど、
隠せるものは隠しておけよとも思う

>>563
晒さなくていい隙をわざわざ晒してる格闘家みたいなもんだよな～
しかもPWマネージャの場合は防御の為に晒してる訳じゃなくてブラウザ側のパスワード呼び出しの効率化だけの為だしｗ
なんらかのスパイウェアとかで危険性ないんかね？

>>562
ClickFix等で「PCが侵害され」た状況を一時的に作る難易度は結構低いからね
ここの面々はセキュリティ意識高いが、一般人なんてザルよ

ClickFixでインフォスティーラー実行させる例だと
通常は暗号化された保管庫を暗号のまま盗んで、ローカルで辞書攻撃やブルートフォースの必要あるが
Edgeはメモリ読めば全部平文で入ってて即死

>>557-559
ありがとう
RAMにアクセスされてる時点でパスワードを使うのを待たれるだけだと思ったけど使用頻度の低いパスまで一気に抜かれるよりはそりゃいいか

>>520
知りませんでしたわ

>>562
つい最近ツールがwindows7で動かなくなったって不満書いてる人いたわ
環境が変わるのが嫌で8.1のままとか
ジジイが多いから普通にそういうのいると思うよ
普段株板にいる俺

Edgeの件知らない人もいるだろうから回りの知り合いに聞いてみたらEdgeでログインする
全サイトの個人情報をEdgeのパスワードマネージャに入れてる人とかいたわ....😇
すぐに止めてKeePassなどのサードパーティへの移行進めて置いた.....
古い世代の老人(男女問わず)や中高年は仕事でセキュリティ意識高くない限り
デフォルトブラウザやパスワードマネージャをそのまま使い続ける人がいてやばいな.....MSの罪は重いｗ

>>568
さすにがサポート切れのWin10以前でオンラインに繋いで
金融や仮想通貨サイトにログインしてる猛者はいないんじゃないの？
軽くウェブサーフィンならいるのかな？知らんけど

管理者権限を取られなければってMS擁護してるやつがいるがこれがデマ
同一ユーザの別プロセスからは昇格なしでEdgeのプロセスのメモリダンプが可能
弱いマルウェアに全部奪われるってことだよ

MSのブラウザはInformation Stealerやその亜種系への耐性がなさそうだな～
今の話題と関係ないけどAIくんがMFA使う場合の最強クラスでFIDO2やYubiKey 5 NFCやGoogle Titan Security Keyとか
おすすめしてくるんだけどTOTP型(2FAS系)よりも強いの？おしえて情強ニキィ！！

>>570
ここにおるぞ　Edgeは使ってないけど

>>572
色んな意味で面白い投稿だね

>>572
パスキーの利点とかで自分でググって

冷笑してないで教えてやれよｗパスワード管理板もきつい人多いなｗ
いやーしかし管理者権限の無いアカでネットサーフィンも意外とセキュリティ強度高めるんだな
仮想化とかそっちばかり見る人多いけどこういう小技的なのも重要やな

>>573
インターネットは何に使ってるの？後仮想化とかはしてるん？完全に自己責任なのに怖くないの？
質問ばかりですいまそん.....

>>577
普段はlinux使い
win10は金融取引以外には一切使わない
windows上でしか動かない証券会社が提供してる金融系のアプリケーションのみ
それも使わなくなりつつあるけど
仮想化はしてない。linuxとは別々のPCだね

あ、あとパスワードはkeepass系だね
もともとブラウザには一切保存しない主義だった

>>577
このスレでこれだけあっさり出てくるんだからゴロゴロいるよ、多分

億単位の資産持ってて専業でも「大丈夫やろ」とか言ってサポート切れたwindows7使い続けようとしてた奴もいたなぁ
ストリーミング見れなくなったとか言って買い替えてたけど

最近だとパスキーの登録したくない・使える環境ないから口座解約しようか
みたいな書き込みをちらほら見る

向こうではこんな感じの人珍しくない

>>578
兼業？専業？

どこまで本当の話か知らんけど億り人？みたいな人でもそんなザル管理なのかｗ
誰かに委託とかもしないの？てか触らせたくないのか？
よくそれでセキュリティインシデントとか起きないなｗ

去年口座の乗っ取りが結構ニュースになってなかった？
俺のXのタイムラインでも何人かやられてたよ

株で勝つ能力と、ITスキルは基本別物だからね
特に珍しくもおかしくもないと思うけど・・

>>581
専業

>>583
去年から今年春にかけての乗っ取りの原因はOSのセキュリティが原因ではなかったはずだけど。
MACでもLinuxでもwindowsでも起こりうる手口だったと思う

>>583
去年ニュースとかで色々流れてたね～詳細な経緯は調べてないから知らんけど
Information Stealer系なのかな？それとも別の手口？

その乗っ取りの件で各社が対策始めて結構めんどくさかった
あれはメールが糸口になってる件数が多かったはず
手法についての詳細は省略
今はパスキー使う認証でもどうやら破られそうだ・・・というのが最前線じゃないかな

パソコン素人な古風なトレーダーはいっぱいいると思うよ
ただ、どっぷり浸かるといずれ自分でコード書くようになったりもするし、
情報系の人が流入してるようだから一概には言えない

ちゃんと管理できればパスキーは必須じゃないんだけどそれができない人があまりにも多いから苦肉の策で強制化されるんだよな
まあスマホで認証するだけだし一般ユーザーにはほぼメリットしかないけど

>>585
メールのフィッシングが多かったと言われているね

OSのセキュリティアップデートすら気にしない程度の意識のやつが多いと言う意図で書いていたよ

>>584
専業でその体制なんだ・・

この流れで親が使ってるAndroidが10年前のものってことを思い出した
WEB見るだけだからええやろって更新してないけど、Googleアカウントは登録してあるわ

攻撃側は古典的な手法も新しい手法も両方つかうらしいな～
某マンガの鑑定の手口じゃないけど殺し技は色々あるんだとさ
メール攻撃も未だに引っかかるのがいるんやな

スマホでkeepass使ってる人に聞きたいのだが、キーファイルってどこに置いてる？

>>592
keepass2androidで内部フォルダにインポート
https://discuss.privacyguides.net/t/keepass-recommendation-for-android/11876

ついでにパソコンでけえぱす使ってる人はキーファイルどうしてるの？
保管庫もキーもローカル？
クラウドっつったってローカル落ちてきてるでしょ？
外部媒体いちいちONOFF?

データベースはローカルディスク
キーファイルは別PCの共有フォルダに置いてるわ

キーファイル使ってない
使うとしたらNASAのサーバにあるUFO写真とか、改ざん不可能でハッシュ値が絶対に変わらない外部保存のものにする

キーファイルはクラウドに上げるデータベースにはローカル保存で使ってる
ローカルでもキーファイルをUSBだけに入れて使うみたいなやり方あるけど管理がめんどくさいのとストレージだけ物理的に盗まれるってことはまずない環境だからやってない

へー、変なことしてんのな

WindowsとiPhone、iPadでKeepass系使ってる
キーファイルは各端末に置いて、DBファイルはアポーのクラウドに置いてる

アカウントがバン
家が火事

この状況でもデータが残るようにな

パソコンの場合はNASに置くか、USBメモリに入れてる、スマホはローカル
DBはNASの同期機能を使って同期とってるわ

スマホとPCでDBを分けてスマホは完全ローカル運用にしようと思っていたけど
やり始めたらめんどくさくて利便性重視でPCのメインのDBと同じにしてNASで同期することにした
最重要のいくつかだけは両方ローカルを維持しているけど

>>600
日本の場合は地震などの災害とかが最優先かな？住んでるとこにもよるけど
アメリカとかはハリケーンとか凄いからマジで家が消えたりするｗ

>>601
さすがにPCとモバイルでdb分離は管理が煩雑になると思うよー
どちらかをメインdbにするのがいいですねーｼﾗﾝｹﾄﾞ

Keepassは結局同期がうまくとれなくて、Bitwardenに変えた

ローカルならkeepass最強なんだけどな…
同期はちゃんとアプリとサーバーで万全にやって欲しいのよな😢

自分はsynology drive使っているよ
遅いけど、不整合は少ない印象
qnapとかasusterあたりはどんななんだかね

>>604
手動同期という手がｗ プラグインで何とか上手くいかないの？

Syncthingはどうよ？

ねんのためbitwarden以外の手段も探しておくかとproton passをちょっと触ってみたが…
正直、とても比較できるようなレベルではなかった
これはたくさんのログイン情報を管理するようなアプリじゃないなあ、駄目か

bitwardenで十分だよね

パスワード管理はkeepass系使ってるんだけど、keepass読み込めて閲覧専用のパスワード管理ツールってない？
同期は問題が起こるから、片方からしか編集出来ないようにしたい