パスワード管理ツール Part17

!extend:checked:vvvvv:1000:512:donguri=3/1
!extend:checked:vvvvv:1000:512:donguri=3/1
次スレを建てる場合は上記のコマンドをスレ立て時にコピペし3行にしてください


パスワード管理ツール（ソフトウェア）について語るスレです。

前スレ
パスワード管理ツール Part16
https://itest.5ch.net/egg/test/read.cgi/software/1700726576

スクリプト対策のために、どんぐりシステムを導入しています。
どんぐりがわからない方は、次のページを参照してください。
https://nanjya.net/donguri/
https://megalodon.jp/2024-0804-1031-16/https://nanjya.net:443/donguri/

---

VIPQ2_EXTDAT: checked:vvvvv:1000:512:donguri=3/1: EXT was configured

認証専用端末に関してはアニメとかのフィクションでも事件は起きてるなｗ
後はハリウッド映画とかもかｗ 端末は老朽化するしヒューマンエラーもあるから
完全な専用端末はリスクまみれだろうなｗ

>>452が言ってるのは故障面というよりはソフトウェア面な気もするがどうだろ？
スマホ紛失のリスクについてはデータ分散で対策するしかないな

そういうことがあるから迂闊にサブのandroidにgoogleアカウントでログインできないんだよなぁ

>>458
デバイスの故障はクラウドや自鯖でパスキーを管理すればなんとかなる
SMSのメール認証も実質同じ問題は抱えてるけどSMSメールは携帯ないと終わるけど
パスキーなら他でも使えるから理解できてるならパスキーのほうがいいかもしれん

今　秀丸文書ソフトにパスを記録していてそれをPCで開いて毎回コピペしてパスを使っている。
長いし記号とか入れてるランダムなものが多いからとても覚えられない
でもPCがマルウエアとかに感染したら全部流出する危険性があると・・
危ないメールとか開かないしwindows 事態にもセキュリティあるし　ESETとかも入ってるんだけどそれでもやっぱりだめなの？
なんかセキュリティって延々とイタチごっこだよね・・　(´・ω・`)　

>>463
理論上はhackerがいる限り攻撃は続くからねｗ
人間が絶滅したら攻撃は止まるよ？ｗ

>>464
あまり気にしすぎて鬱にならないように気をつけますw　(´・ω・`)

>>463さんのやり方でもまだexploitを完全に防いでるとは言えんのよ
かなりセキュリティ対策をしてる方だけどねｂ
一番いいのは仮想化+スタンドアロンだっけ？

>>463
KeePassXCなら保存データベースが暗号化されるよ

よく読んだら>>463さんテキストエディタ系にパスワード保存してるのか.....
平文保存はハッキングに会った時にノーガードだから危ないよ～
もう少しGPTなんかのAIとかにも質問して知識強化しようｂ

今時は素人さんでもパスワードマネージャ使う方がいいですよ
特にPCユーザーならKeePass系がかなり安全性高いでしゅ

>>469
>>470
ありがとうございます　頑張って今トライしています。　

>>468
ブラウザと連携させる場合は拡張機能を入れるといいかもしれない
頑張って


Download – KeePassXC
https://keepassxc.org/download/#browser

拡張でブラウザとも連携出来るパスワードマネージャ KeePassXC | パソコン備忘録
https://pc-memorandum.com/keepassxc/

>>472
ありがとうございます！　

平文でPCに保存は良くないな
自分は紙をベースに、パスワードマネージャーも併用している

おおおおお！　皆様ありがとうございます。　こーやって使うのか！　ようやく1個登録してログイン使うことができました。

トラブル�@　ここが一番時間がかかったw
まずDLしたのはいいけど何故かダブルクリックしても開かない。DL削除プログラムアンインストールとか何回かやったり
再起動したり・・　結局DLのサイトに　⇒「MSVC再頒布可能パッケージが必要です」とサイトに書いてあるのに気づき　
これをDLしてようやくアイコンダブルクリックして起動成功

トラブル�A　IDとパスを登録したのにそのサイトに言っても連携されてない警告マークが出た
>>472さんのサイトに書いてあった（ありがとうござます🙇‍♂）
ツール⇒設定から　ブラウザー統合のページで　有効にするに✅をいれて　chrome とか使うブラウザに✅を入れないと駄目　

感想：なるほどー　keepassXCにログインする時のパスと⇒windows のパスキーも要求されるので（自分だけ？）
これだけ覚えていればいいからやっぱり便利かも
keepassXC のログインのパス長く複雑にしたものだけ　パスというファイルにパスだけ書いても流出しても
特定できないから多分大丈夫ですよね・・

>>472
今の環境だと拡張機能が踏み台にされる可能性もあるからあんまおすすめしない😥
>>474
紙は金庫とかに保管してる？もしくは別のスタンドアロンのPCに保存とかもええで

後ブラウザでどこかのサイトにKeePass系でログインするだけなら拡張機能自体がいらないよ
普通にKeePass系は自動入力が標準で付いてるはずだからその自動入力のアイコンを押すだけで
自動でログインフォームにIDとパスワード書いてくれるｂ

>>476
空き巣対策まではしていませんね

最重要なやつは別途2段階認証用のスマホがないと使えないので
そいつとセットで持って行かれてかつスマホのパスコードもわからないと大したことはできないかと

>>463
記載しているパスワードに暗記できる数文字を加えたものを実際のパスワードにするとか

記載+記憶という方法

>>478
今の時代は普通の個人も闇バイトで狙われたりしてるから空き巣対策はした方がいいよｂ
今だとそのパスコードを聞く為に拉致される危険もあるかもｂ
最近のニュースで証券口座がハッキングされた事例もありましたからね～

>>479
それも悪くはないけど総当たりとか色んな攻撃手法があるからなー
以前この系統のスレで書いてた人がいたけどIDかパスワードだけをパスマネにいれて保存とか
言ってる人がいたらからそういう防御スキームもいいかもですよ？

パスワードを何かの文章にすれば記憶と文字数を両立できる
平気で100文字とかにできるしそこに少しの大文字数字記号を混ぜれば簡単に高強度のパスワードの完成

自分の好きな歌の歌詞とか

>>480
スマホのロックに期待することにします
持ち歩かないスマホなのでそんなに危険でもないんじゃないかと

普段から使うものなので、あまり奥にしまうのも難しい
一番重要なのは紙にしか書いてないし

自分のバックアップはこんな感じ

windowsのテキストにパスとか全部書く
これをPCのWinRARでパスワーど付けて圧縮
このrarファイルをAndroidアプリでグーグルがデフォで提供してる「Files」の「安全なフォルダ」に保尊してる
安全なフォルダっては、ここ開くだけでもPINが必要でスマホのロック解除とは別の番号を設定する

>>484
だからその紙も危険なんですよ～
・誰かに見られる (家族や友人や空き巣)
・紛失や盗難のリスク

>>484の運用で一番いいのはインターネットに繋がないPCに
パスワードマネージャでデータを保存することだよ

一人暮らしで友達はいません
持ち歩きません

>>485
その運用法はセキュリティに問題があるからおとなしくkeepassとかのローカルマネージャー使った方がいいと思う

>>485
パスワーをど付けるのか…
パスワーってなんだろ？

パスワーど
↑単純な変換ミスｗｗ

>>489
やっぱ問題あるのか
keepassXCはPCとAndroidで両方を使ってる上でテキストにもバックアップしてたけど消しとくわ

いやXCは普通に問題ないはずだよ？もう少し調べようｗ

テキスト保存の方の事やろ普通に考えて

普通に小学校から国語やり直した方がいいな

>>492
HDDやSSDに平文を保存した時点でそこに痕跡が残る
HDDはランダムデータの上書きで完全消去すれば多分大丈夫だけどSDDは特定データを確実に完全消去する方法がないので平文保存がまずアウト
rarもパスワードマネージャーでの暗号化よりは強度が下がるし、そもそもの話同じパスワードを複数のツールで保存することがただリスクの箇所増やしてるだけの行為

>>494+495ニキは差別はやめようｗ
>>496
のニキ参考にさせて頂きますｂ SSDはデータ消去系でもダメなんですなｗ

こういうIT知識は本当に教科書や普通のウェブサイトじゃ教えてくれない機密ですなｗ

>>496
大抵のパスワード管理ソフトは平文でエクスポートする機能が付いていて、
乗り換えなどのときはそれを使うことが多いだろうけど、これも本当はよろしくない

>>499
さすがにそれは「しょうがない」ケースじゃない？ それ言い出したら何もできないような？

Androidとも同期させてる人はいると思うけどその場合はどんなツールが良いのです？

>>499
これKeepassなら違うんじゃないの？ｼﾗﾝｹﾄﾞ
Bitwardenはどうなの？

>>502
Bitwardenはえらべる

細かい経緯は省くけど今ある程度に名前が有名なパスマネの平文リスク評価はこんな感じらしいよ
やはり一番安全なのがKeepassで次にBitみたいだな
https://i.imgur.com/w86pJ6y.png

買い切りが安くなってたから買ったEnpassはどうなんだ
サブスク嫌で1passから乗り換えたけど…危ない？

>>501
keepass2AndroidかKeePassDX
ローカルキーファイル使用でデータベースはクラウド
スマホでデータベース編集は壊れる可能性あるからしてない

>>505
Enpassの欠点セキュリティ監査無し
キーファイル無しはデータベース流出で解読される可能性ある
セキュリティ重視ならキーファイル使用
>>270

>>501
PC: KeePassXC, Syncthing
Android: KeePassDX, Syncthing-Fork

Syncthingでローカルネットワーク経由で同期してるわ

>>496
>SDDは特定データを確実に完全消去する方法がないので平文保存がまずアウト

これ本当？
昔、データ入ってるUSBメモリーを
Linuxのshredコマンド（shred -n2 --z）
やってデータ3回上書きして、
複数の復元ソフトで復元を試みたが、データ復活しなかったぞ

>>508
復元ソフトは多分無料でしょ？一般に出回らない有料や法人向けとかなら
復旧できるかもよ？

知識ある人はどこまでも色んな復元機能作るからな～
まぁ余程の目立つことをしなければ一般人がそういう悪徳ツールの標的にはならないんじゃないの？

電荷のNANDできっちり上書きしたものを復活とかどうやんの？

>>511
それは出回ってない情報があるんじゃないの？
ジャンル違うけどゲームの🧀ートやRMT業者などが使う不正ツールは一般市場に出回らないんだとさ
そういう法務や業務系アプリケーションで復元とかありそう......

きっちり上書きができない
上書きしたいデータの場所(1回書き込み)
他に0回書き込みの場所があると上書きで書き込む場所はそこになるからデータ上書きはでない
これがウェアレベリング

ドル円100円になったらENPASS買い切り買うのだがな

アメリカIPでサイトみると59.99ドルだから、日本円の¥7,861は結構頑張ってる価格なのか

>>508
全体消去だと消える確率は高いがそんなことパスワードを使うたびにやってられないので特定データ(パスワードの平文データ)を完全消去できるかがまず論点になる

>>513が言うようにSSDにはウェアレベリングという機能があって、セル1個あたりの書き込み回数が偏らないようにコントローラーが絶えずデータを移動させ整理してる
だからHDDのようにデータが1箇所に留まらず、一度書き込んだデータの痕跡が複数個所に刻まれる可能性を否定できない
またSSDはデータの上書きができず書き込みがページ単位で行われるのに対し削除がそれ以上に広いブロック単位でしかできないので、ピンポイントで選んだデータを完全消去ソフトで上書き処理してもコントローラーが別の箇所に書き込み処理をする可能性がある
これらのコントローラーの中身は大体メーカー非公開なのでSSDに1度書き込んだデータが完全消去されるかは運任せ(ただしトリムという機能によって時間経過で消去される確率は上がる)

またHDDだと機能する全体消去コマンドですらコントローラーの介入により正常に行われる保証がないため、SSDではsecure eraseというウェアレベリングを無効化する完全消去機能(nvmeではSANITIZE Block Erase)が唯一のSSDデータ完全消去手段だとされてる

あとUSBメモリは上述したコントローラーの性能が低いがゆえに消去しやすいということがあると思う

>>513
データを消したあとに容量満タンな空イメージファイルで上書きはダメ？

>>516
SSDは高速でいいとかメリットばかり強調されてるけど
セキュリティ面から見るとデメリット多いのか～
HDDもそういう面でメリットあるのかー

enpassとkeepassxc併用しているけど
enpassはキーファイルを設定できないのがちょっぴり不安
でも入力が三箇所以上あるフォームの入力が簡単なのでそこは気に入っている

>>519
enpassはマスターパスワード変更からキーファイル設定出来る

このスレ本当に勉強になりますｂ

Windows11のエクスプローラってパスワード付きZip作れない？

そういうのは圧縮やアーカイバ系スレで聞いてクレメンス
zipの場合はパスワード付けてもセキュリティがボロボロだから付ける意味がないｗ
圧縮ファイルのセキュリティを確保したいなら今だと7zipがいいですよ
もしくは.rar系ですな

ちょっと心配になってくるな
古いのやミラーから仕込まれたの落としてきそう

確かにそういう危険もあるけどzip使い続ける方が危険じゃんｗ

zipにパスワードかけてもファイル名が丸見えな事を知って驚いた

>>526
まるみえどころか抜き出し放題だぞい？しかもフリーソフトでCrackし放題ｗ
こんなものを企業のセキュリティに使ってたら馬鹿にされるｗ

今時1番いいのは7zipで機密情報の暗号化なんだけど
こちらもフリーソフトだから信頼しない人はそうなるんだろうなと......
7zipはハッキングされた事件がほぼないフリーソフトなんだけどな～

7zipってロシア系というのを知った上で使うべき

>>527
Zipのパスワード抜くおすすめフリーソフトおなしゃす。

>>525
いやパスワードというだけでここで聞いちゃう>>522がまともな圧縮解凍ツールを落としてこれるのかが心配になってな
最近でも圧縮解凍ツールDL用のミラーサイトにスパイウェア仕込まれているから注意とかあったし

「7-Zip」の公式サイトのドメインは「7-zip.org」

ミラーサイトは非公式だからあること自体怪しいと思わないと

>>529
解像度が低すぎるｗ ロシアや中国系=全部危険？
アメリカや西側も情報収集してない訳じゃないんだけどなｗ

>>530
悪用しそうなバカだな～ｗ
一応1文字だけ教えておくとPやJが名称の一部にあるよｗ
これだけでも分かる人には分かるｗ

んー7zipは脆弱性をロシア政府が軍事攻撃で悪用した例も一応報告はされてるな
そこの所は要注意かもー
https://gigazine.net/news/20250206-7-zip-zero-day

スレ違いの話はそろそろ止めくれ

7zipってパスワードを管理する機能あったっけ？

.7zipならパスワード弄れる機能あるはず

メインPCはkeepassXC、Androidでkeepass2Android
バックアップは無いと詰むし、テキストをWinRAR圧縮して書庫にパス付けることにするわ

バックアップ用にテキストを何らかで圧縮パス付きでもダメだというならもうバックアップは紙で残してるの？

>>540
テキストだと平文だからどこかにデータの残骸がある可能性もあるしSSDだと↑で書かれてる通り削除がめんどい
Rar+パス付きでもどこかでクラックされたら終わり特に株とか証券のデータならやめた方がいいよ
パックアップ用もkdbxとかにしておいてそれを7zipなりRarのパス付きで保存するといい

>>540
後はスタンドアローンのスマホという言い方が正しいか分からんけど
そういう状態のモバイル端末に画像を取って保存するのもいいんじゃない？
画像(圧縮+パス付き)とかどうよ？ま～モバイルで持ち運びしたい場合はね

>>518
HDDもwindowsで標準設定されてる定期デフラグが行われればデータの移動が発生するし代替領域の問題もあるから機密データの平文はメモリにしか置かないのが鉄則かな
そういう設計になってないパスワード管理ツール(まずないと思うけど)は論外

パスワードをRARでバックアップするという行為が意味わからなすぎるんだけどどういうこと？
せっかくkeepassで暗号化してるのになんで他に移すの？

うん
keepassのデータベースファイル（.kdbx）は暗号化されているからそれをバックアップすればいいのに
なぜわざわざ平文にしてから圧縮ソフトの暗号化をかけて保存するのか

KDBX圧縮したらデータ壊れないの？
普通にそれをコピーしておけばいいよね

>>543
しつこい

>>546
今多分.kdbxの圧勝データがあるはずだけど壊れてないかも？
後はKeePassはプラグインが豊富だからエクスポート用のプラグインでそういうのあるかも？ｼﾗﾝｹﾄﾞ
546の言う通り普通に.kdbx自体が暗号化ファイルだからそれをコピペするだけでいいな

変態さんは理屈じゃないんだよ
宗教といってよい

Edgeは情弱クソブラウザ
KeePassXCを使いませう

Microsoft Edgeは全パスワードを平文でRAM保持する：同社は「設計通り」と回答するも漏洩リスクが指摘 | XenoSpectrum
https://xenospectrum.com/edge-plaintext-ram-passwords/

Microsoft Edge Stores All Saved Passwords in Cleartext Process Memory at Launch
https://cybersecuritynews.com/microsoft-edge-passwords-cleartext/

昔からMS製造のブラウザは脆弱性まみれな印象だけど
EdgeでもPWマネージャの脆弱性があるんかいｗ
しかも平文はひどいなｗ

>>550
AIも専門家もこの脆弱性(設計)はPCがマルウェア感染(+RAM攻撃)とかしてない限りは安全と言ってるな
ただ主要4つのブラウザでこの設計はEdgeだけだと言ってる人がいるな～
なぜMSがこの設計にしたかはパスワードの利便性の為らしいけど企業レベルの運用だとこの設計は致命傷かもらしいｗ

自動入力前に毎回認証しないといけないじゃない限り
メモリ上で暗号化してようが起動されたら抜かれるぞ

Edgeに保存してるパス確認しようとしたら
無駄にWindowsHelloの認証求めてきたわ
中身の実装と設計が伴ってなさすぎるな…

平文がRAMにあるのは普通のことだと思うけど全文が置きっ放しになるのが悪いってこと？
keepassもデータベース開いたままにしてたら同じ状態だと思うんだけど

囮ということかもしれん
そのアドレスにアクセスしたアプリはDefenderちゃんがパクっと

>>555
https://keepass.info/help/base/security.html#secmemprot

>>555
用もないのに(アイパスを使う場面じゃないのに)暗号化して保管してるアイパスを平文に展開されてしまうのが問題なんだと思う

>>555
普通は使うときだけ一時的に復号するからプロセスメモリ読み取りを膨大な回数行う必要がある
Edgeは全部平文だから一撃で全部。secure by designの対極にある