パスワード管理ツール Part17

>>806
去年の春頃は本当に震えてた

100-150アカくらいしか監視してなかったと思うけど
Xで3人やられててた、3人とも実害が出る前に気づいて止めてたけど

全部電話注文に切り替えてた人もいたなぁ・・

ただAIにまとめさせただけの文章見ただけでいきなり盲信とか言い出す方がAIアレルギー極まってない？
Googleは物理キーっていうのもパスキーの仕組み自体は変わらんしスマホもある意味物理キーみたいなもん

パスキーを一般人にもわかりやすく説明するの難しいな
同じ仕組みの認証システムがこの世に存在してないから例え話にしようがない
Doctor Strange in the Multiverse of Madnessで例えたらかなり実態に近い説明ができるけど、ドクター・ストレンジの説明から始めないといけないから一般向けじゃない

「ただAIにまとめさせただけ」がいかに危険なことか
まとめというのは取捨選択に判断を要する高等技術かつ誘導の手段

AI自体には意味があるけど結果を貼り付けるのは意味がない
どうせ自分で確認が必要だし
wikiコピペ方がよっぽど意味あるわ

まとめた存在が違うだけでwikiコピペとAI貼り付け何が違うのって感じだし、Googleは物理キー(だから普通のパスキーとは違う)みたいな反応してる方がよっぽどヤバい

信頼性が全然違うぞ
wikiもたまに間違えているけど

そうやって信じるか信じないか基準だからAIまとめに対して具体的な指摘もないまま拒否しちゃうし、パスキーに関しても規格が統一されてないだとか安定してないだとか間違ったことを言っちゃうんだよ
これじゃAI使ってなくても悲惨というかAI丸投げよりひどい

信頼性は大切だろ?
おれもAIは私用でも仕事でも便利に使っているけど(仕事は会社の都合copilotだけど)、仕事のSE系については上陸から下流にまでは嘘が多すぎてかえって疲れる
会議の要約とかは事務処理については本当に優秀なんだけどね
数十分かかった議事録が勝手に出来て微修正をするだけですむのは本当に楽

でもシステム、プログラミングについては検索したときにトップにそれっぽく書かれるけど試してみたらはい嘘でした～が多すぎ
バイブコーディングまで行かなくても平気で変なことするし
謎のIT系会社がよく作る「分かりましたか?w」並みに嘘つき
というか、そういうのから学習しているのかもね

後出しで悪いけどAI自体は嫌いじゃないよ
ただ盲信している人がIT業界でも多くてうんざりして苛立っちゃった
情報工学系に行けば学卒レベルでも分かることに騙されている人多すぎて
かえって仕事を増やすし
ごめんね

AI「パスキー（Passkey）の導入は、オンラインセキュリティにおいて「フィッシング詐欺」という最大の弱点をほぼ完全に封じ込める」

AIを盲信するな。信頼性ゼロ！！！ぎゃおおおん

ぎょおおん

おまいらにとっては常識だろうけど
enpass入っている環境でパスキーを登録しようとしたら
windows標準のパスキー登録画面の前に
enpassへの登録画面が出てきた
こういう挙動するのかー、と思ったわ

ENPASS使ってるけどパスキー登録できるの知らんかった

みんなはパスワードマネージャーのマスターパスワード問題はどうしてる?
Googleアカウントも似た問題があったけどサブスマホを買ったら解決した

それは解決というか先延ばしでは？ｗ

一つくらいは覚えておけばヨシ
勿論簡単な物にしろと言うわけではなく

>>823
サブスマホをどう使っているのかわからないけど、
マスターパスワードのど忘れとサブスマホの文鎮化が重なったら終わりでは？

パスキーの話題が続いてるんでそろそろ移行見据えてメルカリでテストしたけど、iOSアプリからkeepassiumにパスキー登録→データベースクラウド同期→PCのkeepassでログインとあっさりいけたわ
その後YahooでPC登録→スマホログインもできるの確認したしこれで今までと同じ使い勝手でいつでも移行できる

>>825
再設定用のメールアドレス
再設定用の電話番号
1回限りのログインコードを発行して保存

設定しないとグーグルから早く設定しろと催促されるで

GoogleはTOTP設定しておくだけでバックアップコードを発行できるようになる
TOTP設定後にバックアップコード発行しようとしても電話番号も設定しろって言われるけど、一回セキュリティ管理画面に戻って、またバックアップコード発行画面に入ると電話番号スキップできる
スマホにパスキー登録したがスマホ壊れたって場合でも、そのバックアップコードがあれば10回はログイン試行チャンスができる
Appleも同じじゃなかろうか
GoogleやAppleアカウントがパスキーのマスターキーになる仕組みは正直怖いが、これによって他社サービスはバックアップコードなどの仕組みを用意しないで済むようになってる
マスターキーさえ復元できれば他社サービスのパスキーも復元できるから

そんなにアカウント保存が怖いならkeepass使おう

デイトレーダーワイは証券会社の推奨条件を満たすために仕方がなくアカウントに保存している
大体googleかappleのアカウントに保存しろって書いてあるんだよなぁ

>>830
まぁその二社がスマホ会の頭取だからなぁ

GoogleとAppleにベンダーロックインされている皆さん🤭

>>831
そうなんだよなぁ

推奨環境か外れていても動く場合もあるんだが
何かあった時に怖いので極力合わせている

スマホ会なんちゅー会は知らないです

protonのパスマネ使ってる人いたら感想教えて

>>835
数か月前試用したが
カスタムフィールド自動入力非対応で買うのやめた
https://www.reddit.com/r/ProtonPass/comments/1qvgs6y/protonpass_doesnt_recognize_additional_fields/

>>836
ありがとう
そこがないのは痛いな

自動入力使ったことないな
フィッシングサイト避けるためには設定したほうがいいのだろうか

>>838
コピペして入力してるってこと？
自動で入力までいかなくてもドメイン判定でパス表示はしたほうがいいかも
アルファベットの羅列は目視じゃ見分けにくい

PC windows スマホ Androidでどちらも頻繁に使う環境で、ずっとkeepass系を使っていました
スマホアプリにも自動入力できるのでprotonpassにも使い始めているのですが、入力フィールドのカスタマイズ性が低い、pcのときの自動入力ができないなど細かい点が不便です
PC、スマホアプリ共に自動入力可能なものってありますか？

>>840
PC: KeePassXC
Android: KeePassDX

KeePassXC用のブラウザ拡張機能をFirefox等に導入
Download – KeePassXC https://keepassxc.org/download/#browser

Androidの設定で自動入力プロバイダとしてKeePassDXを指定

こうすればどちらも自動入力されるはず

>>840
有料 1Password / Enpass
無料 Bitwarden / KeePass系

ProtonPass
Windowsアプリもブラウザ拡張もあるじゃん
自動入力出来るでしょ？
https://proton.me/ja/pass/download/windows

それが入寮欄の認識率が結構違うらしい

ProtonPass Windows Chromeアドオン
ログインで保存画面出ない、保存でIDかパスワード空になるサイト

三菱UFJ銀行
楽天銀行
auじぶん銀行
三井住友信託銀行
MyJCB等

手動設定は不可

おまいら銀行も保存してんのか

俺は怖くて紙に書いているわ
まぁ紙の方がフィッシングに弱いという考え方もあるのはわかっているんだが
銀行はかなり抵抗がある、俺は

銀行は気分的に無理だな
ましてchromeのアドオンとか・・・・ありえない
keepassなどに保存するにしても名称を銀行などにしないで
またく無関係なものにするし、場合によってはパスワードも分割したり
一部まったく関係ないファイルのコピペにしたりいろいろ足掻くと思う

>>841
>>842
ありがとうございます
keepass以外を初めて触ったのですが、bitwarden(pc版)はカスタムフィールドの横にボタンがあって視覚的に分かりやすくコピーできるのがいいですね
keepassだとアイテム上で右クリック→他のデータ→〇〇をコピーとめんどくさいかつ、フィールドの内容が見えないので不便だったと気付かされました
検索の弱さ、ソート不可、一括操作の弱さなど細かいところはkeepassが強いのでしばらく並行して使ってみたいと思います

keepassって種類があって公式以外のほうがかなり便利じゃなかったっけ？

PCはよほどのこだわりがない限りはKeePassXCがいいかな
わざわざ拡張機能入れなくても必要なことは一通りできる

edgeでkeepassxc使ってると
ブラウザ側にアドオン入れていても
ブラウザ側で新規パスワードを入力した際に
保存しますか？的なダイアログが出ないんだけど
あれは仕様？おまかん？結構不便

用途別にブラウザを使い分けている俺

>>846
銀行こそ自動入力に頼った方が安全だろ
絶対に偽サイトに行くことはないと自負しているなら別だけど

そんな心配ならセルフホストしろよ

>>851
今日はどんなブラ使っているの？

>>854
mae2c

パスワード自動生成にしてると、本当に使えるパスワードを作る力とか、自分を守ってくれることに対する感謝とか、ずっと使い続ける愛情みたいなのが無くなっていく気がする

>>856
KeePassXCもKeePassDXもGPLの自由ソフトウェアなので愛せる

商店街の外れに「手作りパスワードの店」はあった。店主は客の思い出や願いを聞き、一文字ずつ編み込む。忘れられない秘密ほど破られにくい、と彼は静かに微笑んだ。

無料版入れていた頃からの流れでロボフォームにしてる

>>859
満足してるならいいけどカスタム入力欄あると段違いに便利だぞ
どうせそ課金するなら同価格で色々ある

オフラインで通信しないのがいいってのならまずはXC
それ使っててやっぱりネットでも保存して利便性をもっと高めたいなと思ったら
Bitwardenとか無料で試せばいいんじゃね？

ワイはDBだけ外部非公開のNASに入れて
LAN経由で同期とってるわ
キーファイルはローカルに置いている

>>860
ロボフォーム
UIが古いだけで高機能、カスタム入力欄ある

詳細はしらんけどBitwardenちょっと前にやられてなかったっけ？

脆弱性はあったと思うけどやられたとかあったか？

利用率高くて脆弱性一度もないのとかあるの？

>>866
さすがに脆弱性0はどの既存のPWマネにもないんじゃない？
大規模流出やハッキング事件がないとかならありそう？

とりま結構前のレスで言われてたけど設計上Bitwardenの金庫は総当たりに弱いね
1Pass>>KeePass>>>Bitwardenみたいな感じだとさ

>>868 その3つ全て二段階認証（新クライアント利用時）なんだけど？
強度的にはどれも同じだよ？

>>869
認証じゃなくて暗号化方式の方じゃない？Argon2idにできるのが1PassとKeePassのみらしい

2要素認証はどのパスマネもできるはずだけど暗号化方式が強度高いのは少ないとかなんとか

NordPassやProton PassもArgon2idの方式で強度が高いみたいやな

暗号化方式じゃなくて鍵導出の方かな？Argon2idが今一番暗号学的にいいらしいなｗ

BitwardenもArgon2id対応
流出保管庫の保護がマスターパスワードのみなのが欠点>>779

2023.2.0リリースで、BitwardenはPBKDF2の代替オプションとしてArgon2idを追加しました

総合的な?耐性の強度は1Pass>KeePass>Nord,Proton≒Bitwardenみたいやな

今はArgon2id推奨ではあるけどハッシュ関数気にするよりパスワード長くする方が効果でかいよ
でもキーファイルはそうするのに手軽な方法だからキーファイルの有無は大きいかも

ま～素人というか気にしないユーザー層は普通にブラウザ標準のパスマネ使うみたいやけどなｗ

ハッシュ関数なんて天才の数学者達が必死に改良しているから俺たち素人に出来るのはいくつのデータを入れて被りませんでした位
そもそも暗号とか素数とかあの辺の話だし
致命的な脆弱性が無い限り気にしても仕方ないよ

暗号はそりゃ～数学の専門家の世界の話だなー
ただ多くの攻撃者は暗号学の専門家よりも数学が下手糞な連中が多いのか攻撃はほぼ成功しないなｗ

物理学も数学に依存する部分が多いって聞くよね

ワイは工学部出ているんだが
実験を理論で適当に説明するのが普通だったけど
あの紙とペンで理想を突き詰めるような学問無理だわ
手を動かして現実がどう動くか把握する方が好き
やってる人は好きでやっているから平気なんだろうけど

>>863
アプリ入れて確認したけどカスタム入力なかったよPC版だけ？
あとメモがタグもフォルダ分けもできないのつら

>>880
純粋な理系脳というか数学脳じゃないんでしょ....
同級生に近いタイプいたけど本当に数学だけは凄い点数がよくてスラスラ解いてるんだよな

数学はできる方じゃなかったね
理系基準で普通くらいなので並よりはマシではあるが
単体で使える水準ではない感じ

日本だと京大とかに入る人とか山中伸弥教授とかは数学得意そうやな
海外だとChatGPTの経営者のアルトマンとかAppleのヴォズニアックだっけ？
あのタイプはかなり数学得意そうｗ

3日無し

で、セキュリティーキーはYubikeyまたはishield key 2 pro FIDO最強ってことでええん？

Androidでオフライン限定だとKeePassDXしかないですか？
おま環なのか、なぜか顔認証ができないので他のアプリを試してみたいのです

>>887
Keepass2Android Offline

ありがとう
使ってみます

セキュリティゆるゆるのモバイル端末に顔認証のデータ入れるのはおすすめしないわｗ

PC版Chrome用のBitwardenて生体認証でログイン使える？

>>891
使える。

指紋取られたらとか指の動きとか顔認証が緩いとかすごい心配してる人いるけど日々デバイス狙われてる有名人の方だろうか

指切り取られて指紋認証通されることを心配している俺のことだと思うけど
無職な上に、資産がほぼ全て金融資産なので、これを失うとリアルに詰むんです

仕事しながら数百万の貯金と持ち家持っているような典型的なリーマンとは状況が違う

指を切られる状況で命なんて無いから心配しなくていいよ

7割8割くらいハスキーを理解してない人が無駄な心配してるんだよな

日常普通に使うぶんには必要ないけど
究極まで安全を突き詰めるのも技術発展に必要だから一概に無駄とも言えんのよね

指の心配するくらいなら
FIDO2対応のセキュリティキーを
日常・予備・予備の予備として3個1組で利用して日常以外は金庫に入れといたほうがいいんじゃないか
まぁ指の心配をするくらいの状態なら金庫開けさせられると思うけど

トレーダーなので日常的に銀行も証券も使うんです
金融系に使うパスキーも2段階認証の類も持ち歩かないスマホに寄せてありますが
日常的に使うので金庫の中に入れるは無理ですね
利便性とセキュリティのバランスが崩れる

>>896
私もハスキー良くわかってないです

ハスキーボイスですか？シベリアンハスキーですか？

パスキーのタイプミスでごめんて
yubikey2つ買って両方登録して
故障や紛失時のためにひとつは金庫に予備として置いておく
スマホ2台用意して両方登録してひとつを呼びにでもいいが

5chでタイポに突っ込む小学生とか無視してろ

>>896
ここでもパスキーの仕組みわかってない人結構いる気がするわ
適切な備えとしては>>898みたいになるんだけど仕組みがわからないと心配が変な方向にいきだす
スマホの紛失が怖いなら2台3台持って紛失時にロックできるようにすればいい
パスキーのみならアカウント設定画面行って紛失したスマホで登録したキーを消すだけで事足りる

予備ならべつにスマホじゃなくてUSBメモリとかSDカードにバックアップでもいいような気がする

あと、パスキー自体も破られてるからね
もう100%安全ってのはないと思って物理的になんとかするしかない

パスキーが破られてるってマジ？
一大ニュースだけどどこ情報？

・セッションハイジャック
パスキーでログインした後の出来事はどうにもできない。VPN使わずにFreeWifiするとセッション盗まれて終わり
・パスキーハイジャック
ttps://ja.wikipedia.org/wiki/パスキーハイジャック

見た感じほとんどが自衛しっかりできてるなら問題ないものでは？
アカハックされて物理的ななりすましはパスキーだけの問題じゃなくなってるし
フィッシング詐欺は普通は引っかからんでしょ

>>907
>セッションハイジャック
パスキー関係無い
>パスキーハイジャック
他者にデバイスの操作を許したりGoogle、Appleアカウントが乗っ取られること前提でこれもパスキーは破られてない
破られてるのはデバイスに対する物理的なセキュリティとGoogle、Appleアカウントで使ってるパスワードで、結局パスキー以外の脆弱ポイントを突かれてるだけ

XXが破られた！
↓
破られたのはXXとは直接関係ない周辺部分

なのはセキュリティ界隈の風物詩

一般的な話でいいんだけどGitHubにあるオープンソースのパスワード管理ツールってどんなもんかな？
お前らは落として使う？

KeePassXCをDebian公式リポジトリからインストール😎

個人がGitHubにオープンソースでパスワード管理ツールをあげてる
一般的にオープンソースならマルウェアやウイルス、スパイウェアの混入の可能性は低いだろうし悪意のあるコードの記載があっても他の誰かが見つけてくれるのではと完全な他力本願寺
でもみんなが他力本願寺ならアウトで笑えない

そのパスワード管理ツールはうpされてから約半年経っててそもそも人気がないのか誰も危険性を指摘していない
自分はそのツールを使いたくてうずうずしてるんだが誇張なしで命の次に大事な大量のパスワードをこのツールに本当に任せていいのか二の足を踏んでる(´・ω・｀)


>>911

心配なら有名どころ使っとけ

セキュリティ上のオープンソースの利点って利用者が多くて衆人環視にさらされてる状況で初めて発生するから、利用者少ないなら自分でコード見れない限り使わない方がいいよ
それならクローズドの有料サービスの方がいい、サービス自体で利益を得てるから情報抜くインセンティブが低い

人気があったtelegram互換のオープンソースのnekogramも情報収集していた例もあるし
オープンソースだとバグや脆弱性を修正されやすい反面、悪人に先に気づかれて悪用されやすくもあるし

気をつけるしかないね

>>912,914,915,916
ですよね
了解(｀・ω・´)ｼｬｷｰﾝ