パスワード管理ツール Part17

ブラウンってシェーバー？

ブラウザぁ！！

俺はパナソニック派

僕はマクセルイズミ派

結局ジレット

dashlaneというパスワード管理アプリで数名のユーザーの保管してたパスワードがブルートフォース攻撃で流出したらしいけど
もし自分の身に起こったとしたら怖いな
銀行のパスワードが盗まれたら金も取られちまうんだろうか

dashlane試したことあるけど使いにくくてすぐやめたわ

>>751
今どき、新しい端末からのアクセスでパスワードのみで送金できるところなんてないだろ

やっぱ生体認証とパスキーが強いわな
物理でやってくる闇バイトが来ない限り

マスターパスってどこに保存してる？
sms認証とか、救済措置あるといいよな
keepassだから救済措置がない

物理でやってこなくても
自分が物理的に持ち歩いていると怖いわ、パスキーは

パスワードとはまた違ったデメリットがある

>>756
悪い人に指や目玉を切り取られたりが怖いってこと？

>>757
そんなところだね

裏路地で刃物突きつけられて
銀行のパスキー入れろって言われたら俺は即入れるよ

スマホぶん盗られて画面見せつけられたら顔認証なら解除されちゃうね

そうだね

しかしリアルな話すると
最近まで顔認証の端末を部屋置きっ放し認証用にしていたんだが
最近お安い端末で更新したらパスキーは指紋認証使うようになっていて
「これ俺の指詰めて持ったいったらロック解除できちゃうんじゃ・・
首切り落として運ぶよりだいぶハードル低いし」
と思っている

ハードボイルドな世界に住んでらっしゃるのね

臆病なんです

管理がめんどくさいからとネット銀行に全財産いれて
全財産もって歩いてると気がついていない人がたまにいる

闇金ウシジマくんやWorst？だっけの世界観じゃあるまいし一般人がそんな連中に絡まれるのはｗ
今時だと闇バイトくん達が怖いかもな～栃木のごぼう農家の人が狙われたし(´・ω・｀)

>>751
多分この件だと思うけど認証試行であってデータ侵害は今の所確認がないらしいぞいｂ
https://mainichisecu.jp/2026/06/02/dashlane%E5%88%A9%E7%94%A8%E8%80%85%E3%82%A2%E3%82%AB%E3%82%A6%E3%83%B3%E3%83%88%E3%83%AD%E3%83%83%E3%82%AF%E7%99%BA%E7%94%9F%E3%80%81%E3%83%96%E3%83%AB%E3%83%BC%E3%83%88%E3%83%95%E3%82%A9%E3%83%BC/

>>763
ネット銀行じゃなくもネットバンキングで金動かせるから何も変わらんぞ

>>765
攻撃者は20名未満の個人プランユーザーの暗号化された保管庫のコピーをダウンロードすることに成功しました。
https://support.dashlane.com/hc/en-us/articles/36038764990866-Security-advisory-Brute-force-attack-on-Dashlane-user-accounts

英語版の方かー申し訳ない🥴
ん～ただやはり保管庫だけでパスの流出はないらしいですね

>>767
保管庫をコピーされても問題ないだろ。
総当たりされたところで、保管庫に登録されているパスワードを変更する時間は十分にある。

ブルートフォースでロックされたっていうのは問題ないけど保管庫のダウンロードは無条件に問題ないとは言えないんじゃない？
この件はすぐ発覚しててユーザーも少数だから対処できるだろうけど

>>763
あるネット銀行でスマホの端末一つで送金出来てしまうアプリをかなり強く押してきたところがあってスレがメチャクチャ荒れてたわ
「利便性が上がった、これに反発してるのは老害」みたいなのと「スマホなんか使いたくない・スマホで送金しない・スマホ単独で送金出来てしまうのは無理」みたいなのの間でレスバになるしスレは分裂するし酷いもんだった

>>770
こういうインシデントをすぐに検知して、影響範囲を特定して報告してくれるのは、
それで金を取ってる専門サイトだからこそだろうな

保管庫が流出する→流出対象者が保管庫内の登録サイトの個人情報を更新しない
→偶然総当たりでCrackできた犯人がその個人情報を悪用するみたいなパターンは微レ存だとは思うけどあるか？
ん～保管庫の総当たりとか有料AIやスパコンみたいなの欲しいだろうし長時間かけてやる犯罪者なんているの？

>>772
仮想通貨なり証券口座ある人はこういうのに通知用のMailとか登録してるのかな～
それ以外の人でも普通に使用してる人はいるかな？

>>771
う～ん電子通貨(仮想含む)や株ガチ勢とかなら利便性の向上とも言えるが評価が短絡的すぎるかな.....
端末の侵害が起きた時にちと怖いかな =犯罪者の利便性ともいえるし....

>>773
1. LastPassの情報漏洩事件では何が起こったのか？
2022年、攻撃者がLastPassに保存されていた暗号化された保管庫データにアクセスしました。ユーザーがパスワードのローテーションや保管庫のセキュリティ強化を行わなかったため、攻撃者は数年後も脆弱なマスターパスワードを解読し続け、2025年後半にウォレットからの資金流出が発生しました。

https://www.trmlabs.com/resources/blog/trm-traces-stolen-crypto-from-2022-lastpass-breach-on-chain-indicators-suggest-russian-cybercriminal-involvement

あ～LastPassのやつがそれか3年くらいで解析できたのか
どんな方式でマスターパス解析したんだろ？後は流出保管庫がマスターパスのみの保護だったのかな？

ここによると>>776の犯罪者はロシア系だとさ
https://jp.beincrypto.com/russian-actors-linked-to-lastpass-crypto-funds-laundering

>>777
LastPassは暗号方式PBKDF2でGPU解析に弱い
流出保管庫はマスターパスワードのみの保護

流出保管庫の総当たりに強いのはキーファイル対応ソフト、 1Password(SecretKey)

結局暗号アルゴリズム自体が強力でもパスワードが弱かったら破られる
一般ユーザーにパスワードを決めさせること自体がリスク

>>775
投資やってる人たちはむしろ反対してましたね、人によりますけど
札束持ち歩かさせれるようなものなので

>>779
既存のクラウド系だと総当たり対策は1Passwordだけが頭1つ抜けてるんですね
BitwardenはマスターパスのみでArgon2idにしてないと総当たりに弱いのか～
Dashlaneはまだまだらしいので1Passいいかもですな

>>780
そうですけどパスワードマイスターみたいな職業でも作るんですか？
というのは冗談としてパスワード作成マネージャとかですかね～
一般層にはパスワードマネージャ自体がまだまだ身近じゃないらしいので～

>>781
スマホはUSのセキュリティサイトも言ってましたがモバイルは紙同然のセキュリティだとか
それで厳重な認証無しの即送金とか頭おかしいとは思いますわ～

オンライン型は1Passwordが一番ええみたいやなー
ただオフライン型のKeePassもかなりええんとちゃう？Secret Keyみたいなのは
キーファイルやYubiKeyを入れればかなり総当たりにも強いぞい
ただ利便性が1Passwordより落ちるだろうけどねー

>>783
だからパスキーでそもそもパスワードを使わせない方向にシフトしてる
パスマネ使えと言って使ってくれるなら最初から困ってないし、パスマネのパスワードだけはパスマネで管理できないですからね

>>770
問題ないというのは語弊があるだろうけど、
クラウドサービスから保管庫をダウンロードされた＝直ちにパスワードがすべて流出したと思ってる層が多い

1Passwordの2022年のインシデントは特殊な事例でいいのかね？
保管庫(Vault)流出+解析成功で資金流出なんてパターンは大分特殊だよね？
PBKDF2とはいえ総当たりも時間かかるでしょ？

AIに聞いてみたらPBKDF2でも弱いパスワードにしてないと実際のCrackはそこそこ難しいみたい
2022年以降の資金流出は弱いパス設定してた人が抜かれたのかな？

1年前「 グーグルが20億ユーザーに警告、『パスワード』ではなく『パスキー』方式に変更を 」
もうパスキーの流れは止められなくて大手企業もその流れてパスキー必須化やパスキー移行を促してる現状で
ヤフーのサービス全般は来年の春からパスキーだけになるから注意と手順を説明しているYoutubeのコメントを見たら
ヤフーだからって叩く日本人は終わってるな

大手の証券サイトでパスキーエラー出まくって問い合わせ殺到してる繋がりませんって見たな
安定してないパスキー使いたがるのなんでなん

X 安定してないパスキー
O 安定してない証券サイト

日本人のIT技術者のレベルが低くてすみません。

>>790
君も十分ヤフーコメント欄の住人ぽい...w
Googleのエンジニアとかはバリバリパスワードマネージャ使うんだろうが
日本のIT企業内でパスワードマネージャ使用者はどれくらいいるんやろ？

>>792
技術者叩きするんじゃなくて多重下請けとか叩きなｗ

>>791
去年不正送金が何件か起きただろ？
当局から対応を求められた時に「パスキーで対策します」って言えば簡単に通るから
言い換えるとパスキーにしないと客のパスワードがpasswordだったとしても
証券会社側が不正送金の責任を追及されかねないから

>>791
上であったように昔のメールのIMAPのように正しく実装しているアプリやサービスが少ないから

>>793
YoutubeのWindowsとLinuxなどの新情報を紹介するチャンネルを見てると
おすすめでスマホの新情報の動画が出てくるからたまに見るんだけど
ヤフーを使っている人への注意喚起動画なのにそこのコメントでヤフーが叩かれてたから書いた

パスワードを123456にしたりやフィッシングに引っかかるユーザーの根絶など無理なので仕方なく介護としてパスキーを導入せざるを得ないというのが実情
どうしてもパスキーがいいんだパスキーは素晴らしいんだとは誰も言ってません

簡易的なパスワードは知らんけどフィッシングは鴨リストなどがあるのかもなー
ただの妄想だけど闇金ウシジマくんとか裏社会系のマンガに出てくる名簿屋みたいなのがいるのかも？
フィッシング向けの名簿がダークウェブとかに売られてるのかもね

実情はわかるけど、パスキーをどうしても入れたい人や素晴らしいと言ってる人はたくさんいるよ

パスキー（Passkey）の導入は、オンラインセキュリティにおいて「フィッシング詐欺」という最大の弱点をほぼ完全に封じ込めるため、非常に劇的な効果を上げています。

1. Google：フィッシング被害が「ゼロ」に
最も有名な例はGoogleです。彼らは全社員（10万人以上）に対して、パスキーの基盤技術である「FIDOセキュリティキー」の使用を義務付けました。
・導入前の状況: 社員を狙った高度なフィッシング攻撃が絶えませんでした。
・導入後の結果: 物理キーによる認証を必須にして以来、全社員においてフィッシングによるアカウント乗っ取り被害が「0件」になったと報告されています。
・一般ユーザーへの展開: 2023年から一般ユーザーにもパスキーを導入した結果、パスワード認証に比べてログイン成功率が4倍ログイン速度が2倍向上しました。

2. メルカリ（Mercari）：不正ログインの劇的減少
・課題: SMS認証を突破する「フィッシングサイト」や「SIMスワップ」による不正ログインが課題でした。
・対策: 2023年からパスキーを導入。
・効果: パスキーを利用しているユーザーにおいて、フィッシングに起因する不正ログイン被害が実質的に発生しなくなったと報告されています。また、SMSが届かないといったトラブルも減り、ユーザー体験も向上しました。

なんでみんなそんなにAIを盲信してるん？
今のAIなんて情報の入力と欲しい出力(それも酷いとネットソースレベル)が出るように繰り返し学習して、確実性はないけどそれっぽい答えを出すだけだぞ
開発会社は値段を上げる推論型とか格好つけたこと言い始めているけど理屈的には奴らは推論なんかできないぞ

それはそうで、AIの答えはいっそう批判的に読むべき
Googleなんか物理キーの話じゃん

メルカリのパスキー登録しようとしたけど無理だったわ
アップルキーチェーンとか出てきて機種変のとき絶対トラブると思った
Googleアカウントに紐つけるならともかくApple製品にしか使えないアップル系パス管理はやべえ

Windowsでも使えたような気がする

ttps://www.fsa.go.jp/ordinary/chuui/chuui_phishing/20260608.pdf
そりゃパスキーのせいで5000億円奪い取るチャンスがなくなるんだから必死よ
パスキー使うな工作し続けないといかん

Googleアカウント紐付けもアカウントが誤BANされたらおしまい🤭

>>806
去年の春頃は本当に震えてた

100-150アカくらいしか監視してなかったと思うけど
Xで3人やられててた、3人とも実害が出る前に気づいて止めてたけど

全部電話注文に切り替えてた人もいたなぁ・・

ただAIにまとめさせただけの文章見ただけでいきなり盲信とか言い出す方がAIアレルギー極まってない？
Googleは物理キーっていうのもパスキーの仕組み自体は変わらんしスマホもある意味物理キーみたいなもん

パスキーを一般人にもわかりやすく説明するの難しいな
同じ仕組みの認証システムがこの世に存在してないから例え話にしようがない
Doctor Strange in the Multiverse of Madnessで例えたらかなり実態に近い説明ができるけど、ドクター・ストレンジの説明から始めないといけないから一般向けじゃない

「ただAIにまとめさせただけ」がいかに危険なことか
まとめというのは取捨選択に判断を要する高等技術かつ誘導の手段

AI自体には意味があるけど結果を貼り付けるのは意味がない
どうせ自分で確認が必要だし
wikiコピペ方がよっぽど意味あるわ

まとめた存在が違うだけでwikiコピペとAI貼り付け何が違うのって感じだし、Googleは物理キー(だから普通のパスキーとは違う)みたいな反応してる方がよっぽどヤバい

信頼性が全然違うぞ
wikiもたまに間違えているけど

そうやって信じるか信じないか基準だからAIまとめに対して具体的な指摘もないまま拒否しちゃうし、パスキーに関しても規格が統一されてないだとか安定してないだとか間違ったことを言っちゃうんだよ
これじゃAI使ってなくても悲惨というかAI丸投げよりひどい

信頼性は大切だろ?
おれもAIは私用でも仕事でも便利に使っているけど(仕事は会社の都合copilotだけど)、仕事のSE系については上陸から下流にまでは嘘が多すぎてかえって疲れる
会議の要約とかは事務処理については本当に優秀なんだけどね
数十分かかった議事録が勝手に出来て微修正をするだけですむのは本当に楽

でもシステム、プログラミングについては検索したときにトップにそれっぽく書かれるけど試してみたらはい嘘でした～が多すぎ
バイブコーディングまで行かなくても平気で変なことするし
謎のIT系会社がよく作る「分かりましたか?w」並みに嘘つき
というか、そういうのから学習しているのかもね

後出しで悪いけどAI自体は嫌いじゃないよ
ただ盲信している人がIT業界でも多くてうんざりして苛立っちゃった
情報工学系に行けば学卒レベルでも分かることに騙されている人多すぎて
かえって仕事を増やすし
ごめんね

AI「パスキー（Passkey）の導入は、オンラインセキュリティにおいて「フィッシング詐欺」という最大の弱点をほぼ完全に封じ込める」

AIを盲信するな。信頼性ゼロ！！！ぎゃおおおん

ぎょおおん

おまいらにとっては常識だろうけど
enpass入っている環境でパスキーを登録しようとしたら
windows標準のパスキー登録画面の前に
enpassへの登録画面が出てきた
こういう挙動するのかー、と思ったわ

ENPASS使ってるけどパスキー登録できるの知らんかった

みんなはパスワードマネージャーのマスターパスワード問題はどうしてる?
Googleアカウントも似た問題があったけどサブスマホを買ったら解決した

それは解決というか先延ばしでは？ｗ

一つくらいは覚えておけばヨシ
勿論簡単な物にしろと言うわけではなく

>>823
サブスマホをどう使っているのかわからないけど、
マスターパスワードのど忘れとサブスマホの文鎮化が重なったら終わりでは？

パスキーの話題が続いてるんでそろそろ移行見据えてメルカリでテストしたけど、iOSアプリからkeepassiumにパスキー登録→データベースクラウド同期→PCのkeepassでログインとあっさりいけたわ
その後YahooでPC登録→スマホログインもできるの確認したしこれで今までと同じ使い勝手でいつでも移行できる

>>825
再設定用のメールアドレス
再設定用の電話番号
1回限りのログインコードを発行して保存

設定しないとグーグルから早く設定しろと催促されるで

GoogleはTOTP設定しておくだけでバックアップコードを発行できるようになる
TOTP設定後にバックアップコード発行しようとしても電話番号も設定しろって言われるけど、一回セキュリティ管理画面に戻って、またバックアップコード発行画面に入ると電話番号スキップできる
スマホにパスキー登録したがスマホ壊れたって場合でも、そのバックアップコードがあれば10回はログイン試行チャンスができる
Appleも同じじゃなかろうか
GoogleやAppleアカウントがパスキーのマスターキーになる仕組みは正直怖いが、これによって他社サービスはバックアップコードなどの仕組みを用意しないで済むようになってる
マスターキーさえ復元できれば他社サービスのパスキーも復元できるから

そんなにアカウント保存が怖いならkeepass使おう

デイトレーダーワイは証券会社の推奨条件を満たすために仕方がなくアカウントに保存している
大体googleかappleのアカウントに保存しろって書いてあるんだよなぁ

>>830
まぁその二社がスマホ会の頭取だからなぁ

GoogleとAppleにベンダーロックインされている皆さん🤭

>>831
そうなんだよなぁ

推奨環境か外れていても動く場合もあるんだが
何かあった時に怖いので極力合わせている

スマホ会なんちゅー会は知らないです

protonのパスマネ使ってる人いたら感想教えて

>>835
数か月前試用したが
カスタムフィールド自動入力非対応で買うのやめた
https://www.reddit.com/r/ProtonPass/comments/1qvgs6y/protonpass_doesnt_recognize_additional_fields/

>>836
ありがとう
そこがないのは痛いな

自動入力使ったことないな
フィッシングサイト避けるためには設定したほうがいいのだろうか

>>838
コピペして入力してるってこと？
自動で入力までいかなくてもドメイン判定でパス表示はしたほうがいいかも
アルファベットの羅列は目視じゃ見分けにくい

PC windows スマホ Androidでどちらも頻繁に使う環境で、ずっとkeepass系を使っていました
スマホアプリにも自動入力できるのでprotonpassにも使い始めているのですが、入力フィールドのカスタマイズ性が低い、pcのときの自動入力ができないなど細かい点が不便です
PC、スマホアプリ共に自動入力可能なものってありますか？

>>840
PC: KeePassXC
Android: KeePassDX

KeePassXC用のブラウザ拡張機能をFirefox等に導入
Download – KeePassXC https://keepassxc.org/download/#browser

Androidの設定で自動入力プロバイダとしてKeePassDXを指定

こうすればどちらも自動入力されるはず

>>840
有料 1Password / Enpass
無料 Bitwarden / KeePass系

ProtonPass
Windowsアプリもブラウザ拡張もあるじゃん
自動入力出来るでしょ？
https://proton.me/ja/pass/download/windows

それが入寮欄の認識率が結構違うらしい

ProtonPass Windows Chromeアドオン
ログインで保存画面出ない、保存でIDかパスワード空になるサイト

三菱UFJ銀行
楽天銀行
auじぶん銀行
三井住友信託銀行
MyJCB等

手動設定は不可

おまいら銀行も保存してんのか

俺は怖くて紙に書いているわ
まぁ紙の方がフィッシングに弱いという考え方もあるのはわかっているんだが
銀行はかなり抵抗がある、俺は

銀行は気分的に無理だな
ましてchromeのアドオンとか・・・・ありえない
keepassなどに保存するにしても名称を銀行などにしないで
またく無関係なものにするし、場合によってはパスワードも分割したり
一部まったく関係ないファイルのコピペにしたりいろいろ足掻くと思う

>>841
>>842
ありがとうございます
keepass以外を初めて触ったのですが、bitwarden(pc版)はカスタムフィールドの横にボタンがあって視覚的に分かりやすくコピーできるのがいいですね
keepassだとアイテム上で右クリック→他のデータ→〇〇をコピーとめんどくさいかつ、フィールドの内容が見えないので不便だったと気付かされました
検索の弱さ、ソート不可、一括操作の弱さなど細かいところはkeepassが強いのでしばらく並行して使ってみたいと思います

keepassって種類があって公式以外のほうがかなり便利じゃなかったっけ？

PCはよほどのこだわりがない限りはKeePassXCがいいかな
わざわざ拡張機能入れなくても必要なことは一通りできる

edgeでkeepassxc使ってると
ブラウザ側にアドオン入れていても
ブラウザ側で新規パスワードを入力した際に
保存しますか？的なダイアログが出ないんだけど
あれは仕様？おまかん？結構不便

用途別にブラウザを使い分けている俺

>>846
銀行こそ自動入力に頼った方が安全だろ
絶対に偽サイトに行くことはないと自負しているなら別だけど

そんな心配ならセルフホストしろよ

>>851
今日はどんなブラ使っているの？

>>854
mae2c

パスワード自動生成にしてると、本当に使えるパスワードを作る力とか、自分を守ってくれることに対する感謝とか、ずっと使い続ける愛情みたいなのが無くなっていく気がする

>>856
KeePassXCもKeePassDXもGPLの自由ソフトウェアなので愛せる

商店街の外れに「手作りパスワードの店」はあった。店主は客の思い出や願いを聞き、一文字ずつ編み込む。忘れられない秘密ほど破られにくい、と彼は静かに微笑んだ。

無料版入れていた頃からの流れでロボフォームにしてる

>>859
満足してるならいいけどカスタム入力欄あると段違いに便利だぞ
どうせそ課金するなら同価格で色々ある

オフラインで通信しないのがいいってのならまずはXC
それ使っててやっぱりネットでも保存して利便性をもっと高めたいなと思ったら
Bitwardenとか無料で試せばいいんじゃね？

ワイはDBだけ外部非公開のNASに入れて
LAN経由で同期とってるわ
キーファイルはローカルに置いている

>>860
ロボフォーム
UIが古いだけで高機能、カスタム入力欄ある

詳細はしらんけどBitwardenちょっと前にやられてなかったっけ？

脆弱性はあったと思うけどやられたとかあったか？

利用率高くて脆弱性一度もないのとかあるの？

>>866
さすがに脆弱性0はどの既存のPWマネにもないんじゃない？
大規模流出やハッキング事件がないとかならありそう？

とりま結構前のレスで言われてたけど設計上Bitwardenの金庫は総当たりに弱いね
1Pass>>KeePass>>>Bitwardenみたいな感じだとさ

>>868 その3つ全て二段階認証（新クライアント利用時）なんだけど？
強度的にはどれも同じだよ？

>>869
認証じゃなくて暗号化方式の方じゃない？Argon2idにできるのが1PassとKeePassのみらしい

2要素認証はどのパスマネもできるはずだけど暗号化方式が強度高いのは少ないとかなんとか

NordPassやProton PassもArgon2idの方式で強度が高いみたいやな

暗号化方式じゃなくて鍵導出の方かな？Argon2idが今一番暗号学的にいいらしいなｗ

BitwardenもArgon2id対応
流出保管庫の保護がマスターパスワードのみなのが欠点>>779

2023.2.0リリースで、BitwardenはPBKDF2の代替オプションとしてArgon2idを追加しました

総合的な?耐性の強度は1Pass>KeePass>Nord,Proton≒Bitwardenみたいやな

今はArgon2id推奨ではあるけどハッシュ関数気にするよりパスワード長くする方が効果でかいよ
でもキーファイルはそうするのに手軽な方法だからキーファイルの有無は大きいかも

ま～素人というか気にしないユーザー層は普通にブラウザ標準のパスマネ使うみたいやけどなｗ

ハッシュ関数なんて天才の数学者達が必死に改良しているから俺たち素人に出来るのはいくつのデータを入れて被りませんでした位
そもそも暗号とか素数とかあの辺の話だし
致命的な脆弱性が無い限り気にしても仕方ないよ

暗号はそりゃ～数学の専門家の世界の話だなー
ただ多くの攻撃者は暗号学の専門家よりも数学が下手糞な連中が多いのか攻撃はほぼ成功しないなｗ

物理学も数学に依存する部分が多いって聞くよね

ワイは工学部出ているんだが
実験を理論で適当に説明するのが普通だったけど
あの紙とペンで理想を突き詰めるような学問無理だわ
手を動かして現実がどう動くか把握する方が好き
やってる人は好きでやっているから平気なんだろうけど

>>863
アプリ入れて確認したけどカスタム入力なかったよPC版だけ？
あとメモがタグもフォルダ分けもできないのつら

>>880
純粋な理系脳というか数学脳じゃないんでしょ....
同級生に近いタイプいたけど本当に数学だけは凄い点数がよくてスラスラ解いてるんだよな

数学はできる方じゃなかったね
理系基準で普通くらいなので並よりはマシではあるが
単体で使える水準ではない感じ

日本だと京大とかに入る人とか山中伸弥教授とかは数学得意そうやな
海外だとChatGPTの経営者のアルトマンとかAppleのヴォズニアックだっけ？
あのタイプはかなり数学得意そうｗ

3日無し

で、セキュリティーキーはYubikeyまたはishield key 2 pro FIDO最強ってことでええん？

Androidでオフライン限定だとKeePassDXしかないですか？
おま環なのか、なぜか顔認証ができないので他のアプリを試してみたいのです

>>887
Keepass2Android Offline

ありがとう
使ってみます

セキュリティゆるゆるのモバイル端末に顔認証のデータ入れるのはおすすめしないわｗ

PC版Chrome用のBitwardenて生体認証でログイン使える？

>>891
使える。

指紋取られたらとか指の動きとか顔認証が緩いとかすごい心配してる人いるけど日々デバイス狙われてる有名人の方だろうか

指切り取られて指紋認証通されることを心配している俺のことだと思うけど
無職な上に、資産がほぼ全て金融資産なので、これを失うとリアルに詰むんです

仕事しながら数百万の貯金と持ち家持っているような典型的なリーマンとは状況が違う

指を切られる状況で命なんて無いから心配しなくていいよ

7割8割くらいハスキーを理解してない人が無駄な心配してるんだよな

日常普通に使うぶんには必要ないけど
究極まで安全を突き詰めるのも技術発展に必要だから一概に無駄とも言えんのよね

指の心配するくらいなら
FIDO2対応のセキュリティキーを
日常・予備・予備の予備として3個1組で利用して日常以外は金庫に入れといたほうがいいんじゃないか
まぁ指の心配をするくらいの状態なら金庫開けさせられると思うけど

トレーダーなので日常的に銀行も証券も使うんです
金融系に使うパスキーも2段階認証の類も持ち歩かないスマホに寄せてありますが
日常的に使うので金庫の中に入れるは無理ですね
利便性とセキュリティのバランスが崩れる

>>896
私もハスキー良くわかってないです

ハスキーボイスですか？シベリアンハスキーですか？

パスキーのタイプミスでごめんて
yubikey2つ買って両方登録して
故障や紛失時のためにひとつは金庫に予備として置いておく
スマホ2台用意して両方登録してひとつを呼びにでもいいが

5chでタイポに突っ込む小学生とか無視してろ

>>896
ここでもパスキーの仕組みわかってない人結構いる気がするわ
適切な備えとしては>>898みたいになるんだけど仕組みがわからないと心配が変な方向にいきだす
スマホの紛失が怖いなら2台3台持って紛失時にロックできるようにすればいい
パスキーのみならアカウント設定画面行って紛失したスマホで登録したキーを消すだけで事足りる

予備ならべつにスマホじゃなくてUSBメモリとかSDカードにバックアップでもいいような気がする

あと、パスキー自体も破られてるからね
もう100%安全ってのはないと思って物理的になんとかするしかない

パスキーが破られてるってマジ？
一大ニュースだけどどこ情報？

・セッションハイジャック
パスキーでログインした後の出来事はどうにもできない。VPN使わずにFreeWifiするとセッション盗まれて終わり
・パスキーハイジャック
ttps://ja.wikipedia.org/wiki/パスキーハイジャック

見た感じほとんどが自衛しっかりできてるなら問題ないものでは？
アカハックされて物理的ななりすましはパスキーだけの問題じゃなくなってるし
フィッシング詐欺は普通は引っかからんでしょ

>>907
>セッションハイジャック
パスキー関係無い
>パスキーハイジャック
他者にデバイスの操作を許したりGoogle、Appleアカウントが乗っ取られること前提でこれもパスキーは破られてない
破られてるのはデバイスに対する物理的なセキュリティとGoogle、Appleアカウントで使ってるパスワードで、結局パスキー以外の脆弱ポイントを突かれてるだけ

XXが破られた！
↓
破られたのはXXとは直接関係ない周辺部分

なのはセキュリティ界隈の風物詩

一般的な話でいいんだけどGitHubにあるオープンソースのパスワード管理ツールってどんなもんかな？
お前らは落として使う？

KeePassXCをDebian公式リポジトリからインストール😎

個人がGitHubにオープンソースでパスワード管理ツールをあげてる
一般的にオープンソースならマルウェアやウイルス、スパイウェアの混入の可能性は低いだろうし悪意のあるコードの記載があっても他の誰かが見つけてくれるのではと完全な他力本願寺
でもみんなが他力本願寺ならアウトで笑えない

そのパスワード管理ツールはうpされてから約半年経っててそもそも人気がないのか誰も危険性を指摘していない
自分はそのツールを使いたくてうずうずしてるんだが誇張なしで命の次に大事な大量のパスワードをこのツールに本当に任せていいのか二の足を踏んでる(´・ω・｀)


>>911

心配なら有名どころ使っとけ

セキュリティ上のオープンソースの利点って利用者が多くて衆人環視にさらされてる状況で初めて発生するから、利用者少ないなら自分でコード見れない限り使わない方がいいよ
それならクローズドの有料サービスの方がいい、サービス自体で利益を得てるから情報抜くインセンティブが低い

人気があったtelegram互換のオープンソースのnekogramも情報収集していた例もあるし
オープンソースだとバグや脆弱性を修正されやすい反面、悪人に先に気づかれて悪用されやすくもあるし

気をつけるしかないね

>>912,914,915,916
ですよね
了解(｀・ω・´)ｼｬｷｰﾝ

他力本願という言葉を安易に乱用してはいけない
自力ではとうしようもない絶望の中で生きる時、
ただひたすら仏に祈りおすがりするしかない
その境地に到達した者だけが言葉の真の意味を知るのです

それは神頼みであって他力本願ではないな

そして　>>913　は他力本願寺だし

>>911
一般的な話なら、オープンクローズ商用関係なく開発者が自分で配布してるものは使わない。今は大丈夫でも買収されてバージョンアップで仕込まれるなんて普通にあるし
>>912が上げてるように第三者がパッケージングしてるものは目が挟まるのでだいぶ違う。審査のあるAppStoreとかね

>>917
ｼｬｷｰﾝｗ 自分で検証する能力がないのなら安全性が証明されているKeePassなどの有名どころ使いなよ
そこら辺を比較検証するならまだ分かる
安全性について検証が必要なGithubみたいな野良アプリを感覚で使うなよｗ

>>911
この質問の時点で新規の情弱さんだと分かる.....

新参に知恵を貸すのが古参の役目じゃ

>>899
こういう人は電子金庫とかにスマホ入れてたら？もしくは別のセキュリティを模索か
スマホはiPhoneとかで色々管理かな？ｼﾗﾝｹﾄﾞ

>>893+895
こういう状況は海外の映画だとあるなー
現実今は闇バイト増えてるから仮想通貨ある人やトレーダーみたいな人は注意した方がいいよ
最近だと盆栽窃盗の闇バイトもあるとさ

>>924
確かにそうなんだけど過去レス見直せみたいなレベルのもあるからなー(どの板にもいるけど🥴)
任意であって義務じゃないからなｗ

昔はソースが公開されてるから安全って言う人には
でもお前は読めないんだろ？ってツッコミが入ったものだけど
今はAIに読ませればいいから
割ときちんと確認できるんだよな

AI（笑）

>>928
1つ忘れてるけどそのAIの確認を検証できる知識もないといけないぞい？
そういうのでヒューマンエラーが起きるのなｗ

無料のAIはどれも向かない
有料の限られたAIでしか無理だぞ

>>931
それも勘違いじゃないかな？無料有料というよりは方式とそのAIのソースコード次第？
ｼﾗﾝｹﾄﾞ

100点じゃないから0点だっていう発想は
日本人の美徳の源でもあるけど
まあ、ね

何も知らない奴が適当言ってる時点で言うことのすべてが信用できない

>>929
AIは、日系アメリカ人のシンガーソングライター、ラッパー。本名、植村 愛 カリーナ。アメリカ合衆国生まれ、鹿児島県鹿児島市育ち。所属レコード会社はEMI Records。

>>930
エンジニアがAIを使ってコード生成しても熟練度が高いとデバッグでかえって効率が落ちるとか笑えない状況になってる
品質の担保が必要ない時はめちゃくちゃ効率がいいのだけどね

>>936
ん～コード生成用の構文を変化させる事で高品質なアウトプットにできるんじゃない？ｼﾗﾝｹﾄﾞ
素人考えだけどなｗ

>>935
音楽作ってる方じゃない方のAIねｗ

人間だけで作る時もチーム全員がエキスパートなんてことはまずないから
品質の担保の苦労の質はそんなに変わらない

でも最近はFable5が出て
体感で人間も結構な割合でこれ未満なんじゃね？って思えてきた

>>937
読みやすさは出来る人間のコードの方が圧倒的
まぁそういう人が少ないのは事実だけど
なんで日本のプログラマはその類いの勉強をしない人が多いのかね

>>910
パスキー破られるって楕円曲線暗号が破られることになるしそんなこと起きたら世界中大パニックになってるわと半分意地悪で聞いてみたら案の定だった

AIにかかせる時には「ここがわからないから書いて欲しい」と部分的にかかせるとかなり良い出来であげてくれるが
長くかかせるほどアラが出やすい印象

自分がある程度理解しているものだと、粗が見えるけど
全くわからないもの書かせる時は「大丈夫なのかな？」と思っているわ
そういうのは致命的な場面では使わないようにしているけど

まぁ日曜プログラマーなので大したことはしないんだけどさ

>>942
1万とか5000行なら分割して構築がいいんじゃない？ｼﾗﾝｹﾄﾞ

ああｃ

ワイが自分で書いたのは一番長いので1500行くらいですね
この長さでもAIに任せるのは不安
まぁ重要じゃなかったり、バグがあっても問題ないなら良いんだろうけど

AIに丸ごと書かせたのだと、多分一番長いので500行くらい、ダメ出しをチャッピーとgeminiにさせあっても完成しないので
claudeに投げたら一応使えそうな状態にはなった

ここなんのスレ状態

底辺プログラマーの掃きだめ

確かに話題がそれてるなｗ
>>945
やはりアンソロピック社のAIがそういう所で優れてるの？ｼﾗﾝｹﾄﾞ

それよりも他の板でBitLockerにバックドアがあったとかいう情報はどうなったん？ｗ

>>949
今月のWindowsUpdateで修正されてる

さすが優秀なIT技術者が多くいる地球やｗ
https://forest.watch.impress.co.jp/docs/news/2116567.html

あ、先月だった

今月のアップデートまだだよな？んー？と思ってたわw

ｄっｇｄ

長くなるので先に結論
スマホ1台だけしか持ってない場合、それがぶっ壊れたあと、新スマホにアカウント設定しようにもできないのでは？説が俺の中で話題に
以下やったこと
スマホAにGoogleアカウントY、スマホBにZ設定している状態で、それぞれのアカウントを入れ替える
なお両アカウントには再設定用の電話番号とメールアドレスを登録済み

まずそれぞれのスマホにY・Z追加（YZそれぞれのスマホ認証をパスするため）
AのZ管理画面からBをログアウト
BのY管理画面からAをログアウト
AからYを、BからZを削除
「A=Z」「B=Y」になり普通に考えたらスマホ認証を要求されないはず
実験としてBを初期化、Yでのログイン試行
「Bをスワイプして表示された番号を入力せよ」と言われる
BにYを設定するのだからBには何も出てこない
他の方法すべて選択したが結局この認証方式以外は選択できず、「スマホを持っていない」という選択肢では「ログインできませんでした」になる

再設定用アドレス類は無意味とわかったので、スマホ1台だけなら初期化すると詰む説が俺の中で話題に
今回は元のスマホがあるので、AにYを再設定し、管理画面からログイン用コードを取得することで解決（Y再設定は認証無しでできた）
なおYの取得をPCのChromeで行ったおかげか25日ぶりなのに追加認証なしでログインできたのが謎

わかりやすい版
Pixel使いのピク太とGalaxy使いのギャラ子がいる
二人は端末を交換することにした
認証をクリアするため両スマホにピク太・ギャラ子のアカウントがある状態を作る
ピク太はGalaxyを使いピク太アカウント管理画面からPixelをログアウト
ギャラ子もPixelを使いギャラ子アカウントからGalaxyをログアウトした
ギャラ子はPixelからピク太を削除、ピク太はGalaxyからギャラ子を削除
これで事実上の入れ替えが完了した

ギャラ子が使う女性用アプリだらけの環境が使いにくかったピク太はGalaxyを初期化、ピク太のアカウントでログインしようとした
しかし「Galaxyをスワイプして表示された番号を入力してください」という認証しか利用できなかった
これからそのGalaxyにピク太のアカウントを設定するのでこの認証は実行できず、他の認証方法を試しても、この認証方法以外は選択できないループが生じた
仕方ないのでギャラ子を呼び戻し、Pixelにピク太のアカウントを再設定、Googleアカウント管理画面からログイン用コードを取得することでピク太は無事ログインできた

勘弁してくれ

普通、スマホは2台以上持っているもんだ。1台？ならセキュリティ以前の問題だよな？

わかってもらいたいと思って書いているように見えない・・
そういう場合は簡潔に要点を絞って書くもんだと思うが

>>949
バグがあったのはBitLockerではなくWindows Defnderで
オフラインスキャンをするためのBitLocker解除を外部から不正に利用できてしまうもの
BitLockerからしてみると正規の解除であり被害者
これをアクセス数を稼ぎたいアフィサイトがバックドアがあったことにして釣り記事を書いたのが真相

>>961
要点
スマホ1台しかないと、それが壊れたときにGoogleアカウントにログインできない
Googleは再設定手段を用意してるように見えて、選択させてくれるとは限らない

だから？予備もなくセキュリティを強化する以前の問題だよな？
スマホが1台しかない？どんだけ貧乏なんだ？

父親、母親、兄弟などのスマホを借りて解除すればいいだけ
結局2台のスマホは必要

iPhoneとandroid。iPhoneとiPhoneまたはandroidとandroidの2刃流が普通だ

どんなマウントだよｗ

「どんだけ貧乏なんだ」←このセリフ完全に思考停止だよなあ
スマホ1台で問題なく運用できるように考えるのが技術発展に繋がるのに
このセリフ言ってる奴はいかにも上から目線で自分の方が詳しいような振りしてるけど
実際は思考を停止したレベル低い人間だよ

>>964
iPhoneはわからないがAndroidは1台だけで運用してきたなら借りても復旧できない
新たな端末で何をしようとも、Googleは壊れた1台目に対して認証コードを発行する
最初から2台以上を用意、1台目でアカウントを発行、2台目以降に同じアカウントを設定、1台目は認証専用のために保管という運用になる
ただしバッテリー劣化がないように定期充電、Androidバージョンが古くなるとGoogleログインができなくなるため、1台目は最低でも5年サイクルくらいで新端末に変更

AI回答
投稿者の言っていることは一理ありますが、少し極端（誤解）な部分もあります。
Googleはセキュリティ上、「いつもと違う不審な環境（初期化直後の端末など）」からのアクセスを非常に警戒します。 そのため、一番安全な「すでにログイン実績のある端末での認証」を強制してしまい、メールやSMSでの認証を後回し（またはロック）にすることがあります。

・本当に1台壊れたら詰むの？
実際には、数日時間を置いたり、信頼できる自宅のWi-Fiからアクセスしたり、事前に発行できる「バックアップコード（印刷しておく使い捨てのパスコード）」を持っていれば1台でも復旧は可能です。

>>966
頭の悪い人も世界に自由に意見を発信できるのがインターネッツのすばらしいところですよ
そのくらい我慢しなさい

Google＜ほれ

Titan Security Key - FIDO2 USB-A/USB-C + NFC
https://store.google.com/product/titan_security_key?hl=ja

>>970
google様のやつのしては案外安いな

vmwareの仮想環境で使うのにこの手のやつ一つ欲しいと思っているんだが
yubikeyのやつが無難だよね？
5000-6000円くらいで売ってるの見る

よくわからないメーカーのやつはもっと安いけど
仮想環境で使うと相性起こしたりトラブった時に対処が大変そうだよなぁとか思っている

お、安くていいね
評判よかったら欲しい

>>962
いややはりBitLockerの問題ではあると思うぞい？
意図的なバックドアかは論争があるだろうけどね

bitlockerの話すればTPMだけで保護するっていう仕組みにそもそも無理があるんじゃないかと思うわ
こういうソフトの脆弱性が見つかるたびに開けられてしまう可能性が・・
あんなのはセキュリティに気を遣っていますっていうポーズにしか見えない

英語圏だと一応そういうのはSecurity theaterとかいうらしいな(セキュリティシアター)
データ暗号化に関してはTrueCrypt系で今だとVeraCryptとかがいいんじゃない？

VeraCryptは毎回マウントが必要 OS統合が弱い 設定が複雑などのデメリットもあるけど
かなり強力なPC向けの暗号化ソフトやなーマルチプラットフォームなのもいいね
ただモバイル用途だとBitLockerやFileVaultの方がいいらしい

bitlockerが悪いとは思っていないけど
pinを併用するとかしてないとザルだと思うんだよね、俺は

自分はbitlocker使っているけどtpmのみにはしていない

VeraCryptが一番総合的にいいらしいけどね
BitLockerは脆弱性事件もあったしどうなんや？

オープンソースって脆弱性もオープンになってあぶなくないの?

>>979
特定の前提条件の元では普通に安全らしいよ～
ただGithubなんかの場合だとアクティブユーザーや編集できる人が少ないと途端に危険になるとか
むしろオープンにする事でセキュリティ強度を上げようとする思想がオープンソースだよぃ

1Passwordのサブスク価格が年額4050円から8200円に値上げだってさ

「1Password」のサブスクリプションがなんと2倍に値上げ、値上げと円安のダブルパンチ？
https://forest.watch.impress.co.jp/docs/serial/yajiuma/2122863.html

ロボフォーム使ってる人に聞きたいんですが
右下からニョキって出てくる有償版勧めてくる通知 これ出さなくする方法教えてください

>>981
たっか
冷静に考えれば自動入力抜きにしたら単なるメモなのに
セキュリティソフトより高いってさあ

>>983
じゃあメモ帳にメモしておきなさい

平文はやばいよｗｗ
>>982
それは一番いいのは有料版買う事だよｗ

>>981
ホーム版は昔から大した機能追加はなく、ビジネス版ばかり重視されてきたのにこの値上げだから、日本以外でもかなり批判されてる

だから、あれほど早く1paasから脱却しろと言ったのに。いまからでも遅くないからセルフホストに移行しなよ。

携帯PHS板だとワッチョイだけで揶揄されてしまう
あの回線から書き込んでいると一発でわかってしまう書き込みだな・・

有料はBitwardenが有利になってきたなぁ
まあよほどのことがない限りKeePassXCで十分ではある

昔何かのタイミングで400円くらいで買ったEnpass使ってる
Windowsのパスキープロバイダ増えたら考えよう

Bitwardenは無料で充分だよー
KeePassが一番いいと思うけどデザインで忌避してる人多いよなー

Bitwarden有料版でできるのってワンタイムパスワード機能とパスワード共有くらいじゃないの？

セルフホストなら無料版で全部使えるけどね

NASのdockerにvaultwarden入れてつかっています。
ただ、パスワードとワンタイムパスワード機能を一つにしておくとNASが死んだとき、
アカウント関係に一切ログインできなくなるかもしれないのでワンタイムパスワード機能は使うのやめました。
だったら、Bitwardenに戻ってもいいんじゃね？とおもう今日このごろ

>>992
ファイル添付
あと転送もだっけ？

>>994
NAS分解して有線接続すればいけるんじゃ？
ｼﾗﾝｹﾄﾞ

tes

こっち使い終わってから次のスレ立てしたほうがいい
パスワード管理ツール Part16
https://egg.5ch.io/test/read.cgi/software/1700726576/

>>994
docker使えるってそこそこ良いグレードのやつだな

質問いいですか

このスレッドは１０００を超えました。
新しいスレッドを立ててください。
life time: 682日 16時間 43分 45秒

5ちゃんねるの運営はUPLIFT会員の皆さまに支えられています。
運営にご協力お願いいたします。


───────────────────
《UPLIFT会員の主な特典》
★ 5ちゃんねる専用ブラウザからの広告除去
★ 5ちゃんねるの過去ログを取得
★ 書き込み規制の緩和
───────────────────

会員登録には個人情報は一切必要ありません。
4 USD/mon. から匿名でご購入いただけます。

▼ UPLIFT会員登録はこちら ▼
https://uplift.5ch.io/

▼ UPLIFTログインはこちら ▼
https://uplift.5ch.io/login