パスワード管理ツール Part17

!extend:checked:vvvvv:1000:512:donguri=3/1
!extend:checked:vvvvv:1000:512:donguri=3/1
次スレを建てる場合は上記のコマンドをスレ立て時にコピペし3行にしてください


パスワード管理ツール（ソフトウェア）について語るスレです。

前スレ
パスワード管理ツール Part16
https://itest.5ch.net/egg/test/read.cgi/software/1700726576

スクリプト対策のために、どんぐりシステムを導入しています。
どんぐりがわからない方は、次のページを参照してください。
https://nanjya.net/donguri/
https://megalodon.jp/2024-0804-1031-16/https://nanjya.net:443/donguri/

---

VIPQ2_EXTDAT: checked:vvvvv:1000:512:donguri=3/1: EXT was configured

指紋取られたらとか指の動きとか顔認証が緩いとかすごい心配してる人いるけど日々デバイス狙われてる有名人の方だろうか

指切り取られて指紋認証通されることを心配している俺のことだと思うけど
無職な上に、資産がほぼ全て金融資産なので、これを失うとリアルに詰むんです

仕事しながら数百万の貯金と持ち家持っているような典型的なリーマンとは状況が違う

指を切られる状況で命なんて無いから心配しなくていいよ

7割8割くらいハスキーを理解してない人が無駄な心配してるんだよな

日常普通に使うぶんには必要ないけど
究極まで安全を突き詰めるのも技術発展に必要だから一概に無駄とも言えんのよね

指の心配するくらいなら
FIDO2対応のセキュリティキーを
日常・予備・予備の予備として3個1組で利用して日常以外は金庫に入れといたほうがいいんじゃないか
まぁ指の心配をするくらいの状態なら金庫開けさせられると思うけど

トレーダーなので日常的に銀行も証券も使うんです
金融系に使うパスキーも2段階認証の類も持ち歩かないスマホに寄せてありますが
日常的に使うので金庫の中に入れるは無理ですね
利便性とセキュリティのバランスが崩れる

>>896
私もハスキー良くわかってないです

ハスキーボイスですか？シベリアンハスキーですか？

パスキーのタイプミスでごめんて
yubikey2つ買って両方登録して
故障や紛失時のためにひとつは金庫に予備として置いておく
スマホ2台用意して両方登録してひとつを呼びにでもいいが

5chでタイポに突っ込む小学生とか無視してろ

>>896
ここでもパスキーの仕組みわかってない人結構いる気がするわ
適切な備えとしては>>898みたいになるんだけど仕組みがわからないと心配が変な方向にいきだす
スマホの紛失が怖いなら2台3台持って紛失時にロックできるようにすればいい
パスキーのみならアカウント設定画面行って紛失したスマホで登録したキーを消すだけで事足りる

予備ならべつにスマホじゃなくてUSBメモリとかSDカードにバックアップでもいいような気がする

あと、パスキー自体も破られてるからね
もう100%安全ってのはないと思って物理的になんとかするしかない

パスキーが破られてるってマジ？
一大ニュースだけどどこ情報？

・セッションハイジャック
パスキーでログインした後の出来事はどうにもできない。VPN使わずにFreeWifiするとセッション盗まれて終わり
・パスキーハイジャック
ttps://ja.wikipedia.org/wiki/パスキーハイジャック

見た感じほとんどが自衛しっかりできてるなら問題ないものでは？
アカハックされて物理的ななりすましはパスキーだけの問題じゃなくなってるし
フィッシング詐欺は普通は引っかからんでしょ

>>907
>セッションハイジャック
パスキー関係無い
>パスキーハイジャック
他者にデバイスの操作を許したりGoogle、Appleアカウントが乗っ取られること前提でこれもパスキーは破られてない
破られてるのはデバイスに対する物理的なセキュリティとGoogle、Appleアカウントで使ってるパスワードで、結局パスキー以外の脆弱ポイントを突かれてるだけ

XXが破られた！
↓
破られたのはXXとは直接関係ない周辺部分

なのはセキュリティ界隈の風物詩

一般的な話でいいんだけどGitHubにあるオープンソースのパスワード管理ツールってどんなもんかな？
お前らは落として使う？

KeePassXCをDebian公式リポジトリからインストール😎

個人がGitHubにオープンソースでパスワード管理ツールをあげてる
一般的にオープンソースならマルウェアやウイルス、スパイウェアの混入の可能性は低いだろうし悪意のあるコードの記載があっても他の誰かが見つけてくれるのではと完全な他力本願寺
でもみんなが他力本願寺ならアウトで笑えない

そのパスワード管理ツールはうpされてから約半年経っててそもそも人気がないのか誰も危険性を指摘していない
自分はそのツールを使いたくてうずうずしてるんだが誇張なしで命の次に大事な大量のパスワードをこのツールに本当に任せていいのか二の足を踏んでる(´・ω・｀)


>>911

心配なら有名どころ使っとけ

セキュリティ上のオープンソースの利点って利用者が多くて衆人環視にさらされてる状況で初めて発生するから、利用者少ないなら自分でコード見れない限り使わない方がいいよ
それならクローズドの有料サービスの方がいい、サービス自体で利益を得てるから情報抜くインセンティブが低い

人気があったtelegram互換のオープンソースのnekogramも情報収集していた例もあるし
オープンソースだとバグや脆弱性を修正されやすい反面、悪人に先に気づかれて悪用されやすくもあるし

気をつけるしかないね

>>912,914,915,916
ですよね
了解(｀・ω・´)ｼｬｷｰﾝ

他力本願という言葉を安易に乱用してはいけない
自力ではとうしようもない絶望の中で生きる時、
ただひたすら仏に祈りおすがりするしかない
その境地に到達した者だけが言葉の真の意味を知るのです

それは神頼みであって他力本願ではないな

そして　>>913　は他力本願寺だし

>>911
一般的な話なら、オープンクローズ商用関係なく開発者が自分で配布してるものは使わない。今は大丈夫でも買収されてバージョンアップで仕込まれるなんて普通にあるし
>>912が上げてるように第三者がパッケージングしてるものは目が挟まるのでだいぶ違う。審査のあるAppStoreとかね

>>917
ｼｬｷｰﾝｗ 自分で検証する能力がないのなら安全性が証明されているKeePassなどの有名どころ使いなよ
そこら辺を比較検証するならまだ分かる
安全性について検証が必要なGithubみたいな野良アプリを感覚で使うなよｗ

>>911
この質問の時点で新規の情弱さんだと分かる.....

新参に知恵を貸すのが古参の役目じゃ

>>899
こういう人は電子金庫とかにスマホ入れてたら？もしくは別のセキュリティを模索か
スマホはiPhoneとかで色々管理かな？ｼﾗﾝｹﾄﾞ

>>893+895
こういう状況は海外の映画だとあるなー
現実今は闇バイト増えてるから仮想通貨ある人やトレーダーみたいな人は注意した方がいいよ
最近だと盆栽窃盗の闇バイトもあるとさ

>>924
確かにそうなんだけど過去レス見直せみたいなレベルのもあるからなー(どの板にもいるけど🥴)
任意であって義務じゃないからなｗ

昔はソースが公開されてるから安全って言う人には
でもお前は読めないんだろ？ってツッコミが入ったものだけど
今はAIに読ませればいいから
割ときちんと確認できるんだよな

AI（笑）

>>928
1つ忘れてるけどそのAIの確認を検証できる知識もないといけないぞい？
そういうのでヒューマンエラーが起きるのなｗ

無料のAIはどれも向かない
有料の限られたAIでしか無理だぞ

>>931
それも勘違いじゃないかな？無料有料というよりは方式とそのAIのソースコード次第？
ｼﾗﾝｹﾄﾞ

100点じゃないから0点だっていう発想は
日本人の美徳の源でもあるけど
まあ、ね

何も知らない奴が適当言ってる時点で言うことのすべてが信用できない

>>929
AIは、日系アメリカ人のシンガーソングライター、ラッパー。本名、植村 愛 カリーナ。アメリカ合衆国生まれ、鹿児島県鹿児島市育ち。所属レコード会社はEMI Records。

>>930
エンジニアがAIを使ってコード生成しても熟練度が高いとデバッグでかえって効率が落ちるとか笑えない状況になってる
品質の担保が必要ない時はめちゃくちゃ効率がいいのだけどね

>>936
ん～コード生成用の構文を変化させる事で高品質なアウトプットにできるんじゃない？ｼﾗﾝｹﾄﾞ
素人考えだけどなｗ

>>935
音楽作ってる方じゃない方のAIねｗ

人間だけで作る時もチーム全員がエキスパートなんてことはまずないから
品質の担保の苦労の質はそんなに変わらない

でも最近はFable5が出て
体感で人間も結構な割合でこれ未満なんじゃね？って思えてきた

>>937
読みやすさは出来る人間のコードの方が圧倒的
まぁそういう人が少ないのは事実だけど
なんで日本のプログラマはその類いの勉強をしない人が多いのかね

>>910
パスキー破られるって楕円曲線暗号が破られることになるしそんなこと起きたら世界中大パニックになってるわと半分意地悪で聞いてみたら案の定だった

AIにかかせる時には「ここがわからないから書いて欲しい」と部分的にかかせるとかなり良い出来であげてくれるが
長くかかせるほどアラが出やすい印象

自分がある程度理解しているものだと、粗が見えるけど
全くわからないもの書かせる時は「大丈夫なのかな？」と思っているわ
そういうのは致命的な場面では使わないようにしているけど

まぁ日曜プログラマーなので大したことはしないんだけどさ

>>942
1万とか5000行なら分割して構築がいいんじゃない？ｼﾗﾝｹﾄﾞ

ああｃ

ワイが自分で書いたのは一番長いので1500行くらいですね
この長さでもAIに任せるのは不安
まぁ重要じゃなかったり、バグがあっても問題ないなら良いんだろうけど

AIに丸ごと書かせたのだと、多分一番長いので500行くらい、ダメ出しをチャッピーとgeminiにさせあっても完成しないので
claudeに投げたら一応使えそうな状態にはなった

ここなんのスレ状態

底辺プログラマーの掃きだめ

確かに話題がそれてるなｗ
>>945
やはりアンソロピック社のAIがそういう所で優れてるの？ｼﾗﾝｹﾄﾞ

それよりも他の板でBitLockerにバックドアがあったとかいう情報はどうなったん？ｗ

>>949
今月のWindowsUpdateで修正されてる

さすが優秀なIT技術者が多くいる地球やｗ
https://forest.watch.impress.co.jp/docs/news/2116567.html

あ、先月だった

今月のアップデートまだだよな？んー？と思ってたわw

ｄっｇｄ

長くなるので先に結論
スマホ1台だけしか持ってない場合、それがぶっ壊れたあと、新スマホにアカウント設定しようにもできないのでは？説が俺の中で話題に
以下やったこと
スマホAにGoogleアカウントY、スマホBにZ設定している状態で、それぞれのアカウントを入れ替える
なお両アカウントには再設定用の電話番号とメールアドレスを登録済み

まずそれぞれのスマホにY・Z追加（YZそれぞれのスマホ認証をパスするため）
AのZ管理画面からBをログアウト
BのY管理画面からAをログアウト
AからYを、BからZを削除
「A=Z」「B=Y」になり普通に考えたらスマホ認証を要求されないはず
実験としてBを初期化、Yでのログイン試行
「Bをスワイプして表示された番号を入力せよ」と言われる
BにYを設定するのだからBには何も出てこない
他の方法すべて選択したが結局この認証方式以外は選択できず、「スマホを持っていない」という選択肢では「ログインできませんでした」になる

再設定用アドレス類は無意味とわかったので、スマホ1台だけなら初期化すると詰む説が俺の中で話題に
今回は元のスマホがあるので、AにYを再設定し、管理画面からログイン用コードを取得することで解決（Y再設定は認証無しでできた）
なおYの取得をPCのChromeで行ったおかげか25日ぶりなのに追加認証なしでログインできたのが謎

わかりやすい版
Pixel使いのピク太とGalaxy使いのギャラ子がいる
二人は端末を交換することにした
認証をクリアするため両スマホにピク太・ギャラ子のアカウントがある状態を作る
ピク太はGalaxyを使いピク太アカウント管理画面からPixelをログアウト
ギャラ子もPixelを使いギャラ子アカウントからGalaxyをログアウトした
ギャラ子はPixelからピク太を削除、ピク太はGalaxyからギャラ子を削除
これで事実上の入れ替えが完了した

ギャラ子が使う女性用アプリだらけの環境が使いにくかったピク太はGalaxyを初期化、ピク太のアカウントでログインしようとした
しかし「Galaxyをスワイプして表示された番号を入力してください」という認証しか利用できなかった
これからそのGalaxyにピク太のアカウントを設定するのでこの認証は実行できず、他の認証方法を試しても、この認証方法以外は選択できないループが生じた
仕方ないのでギャラ子を呼び戻し、Pixelにピク太のアカウントを再設定、Googleアカウント管理画面からログイン用コードを取得することでピク太は無事ログインできた

勘弁してくれ

普通、スマホは2台以上持っているもんだ。1台？ならセキュリティ以前の問題だよな？

わかってもらいたいと思って書いているように見えない・・
そういう場合は簡潔に要点を絞って書くもんだと思うが

>>949
バグがあったのはBitLockerではなくWindows Defnderで
オフラインスキャンをするためのBitLocker解除を外部から不正に利用できてしまうもの
BitLockerからしてみると正規の解除であり被害者
これをアクセス数を稼ぎたいアフィサイトがバックドアがあったことにして釣り記事を書いたのが真相

>>961
要点
スマホ1台しかないと、それが壊れたときにGoogleアカウントにログインできない
Googleは再設定手段を用意してるように見えて、選択させてくれるとは限らない

だから？予備もなくセキュリティを強化する以前の問題だよな？
スマホが1台しかない？どんだけ貧乏なんだ？

父親、母親、兄弟などのスマホを借りて解除すればいいだけ
結局2台のスマホは必要

iPhoneとandroid。iPhoneとiPhoneまたはandroidとandroidの2刃流が普通だ

どんなマウントだよｗ

「どんだけ貧乏なんだ」←このセリフ完全に思考停止だよなあ
スマホ1台で問題なく運用できるように考えるのが技術発展に繋がるのに
このセリフ言ってる奴はいかにも上から目線で自分の方が詳しいような振りしてるけど
実際は思考を停止したレベル低い人間だよ

>>964
iPhoneはわからないがAndroidは1台だけで運用してきたなら借りても復旧できない
新たな端末で何をしようとも、Googleは壊れた1台目に対して認証コードを発行する
最初から2台以上を用意、1台目でアカウントを発行、2台目以降に同じアカウントを設定、1台目は認証専用のために保管という運用になる
ただしバッテリー劣化がないように定期充電、Androidバージョンが古くなるとGoogleログインができなくなるため、1台目は最低でも5年サイクルくらいで新端末に変更

AI回答
投稿者の言っていることは一理ありますが、少し極端（誤解）な部分もあります。
Googleはセキュリティ上、「いつもと違う不審な環境（初期化直後の端末など）」からのアクセスを非常に警戒します。 そのため、一番安全な「すでにログイン実績のある端末での認証」を強制してしまい、メールやSMSでの認証を後回し（またはロック）にすることがあります。

・本当に1台壊れたら詰むの？
実際には、数日時間を置いたり、信頼できる自宅のWi-Fiからアクセスしたり、事前に発行できる「バックアップコード（印刷しておく使い捨てのパスコード）」を持っていれば1台でも復旧は可能です。

>>966
頭の悪い人も世界に自由に意見を発信できるのがインターネッツのすばらしいところですよ
そのくらい我慢しなさい

Google＜ほれ

Titan Security Key - FIDO2 USB-A/USB-C + NFC
https://store.google.com/product/titan_security_key?hl=ja

>>970
google様のやつのしては案外安いな

vmwareの仮想環境で使うのにこの手のやつ一つ欲しいと思っているんだが
yubikeyのやつが無難だよね？
5000-6000円くらいで売ってるの見る

よくわからないメーカーのやつはもっと安いけど
仮想環境で使うと相性起こしたりトラブった時に対処が大変そうだよなぁとか思っている

お、安くていいね
評判よかったら欲しい

>>962
いややはりBitLockerの問題ではあると思うぞい？
意図的なバックドアかは論争があるだろうけどね

bitlockerの話すればTPMだけで保護するっていう仕組みにそもそも無理があるんじゃないかと思うわ
こういうソフトの脆弱性が見つかるたびに開けられてしまう可能性が・・
あんなのはセキュリティに気を遣っていますっていうポーズにしか見えない

英語圏だと一応そういうのはSecurity theaterとかいうらしいな(セキュリティシアター)
データ暗号化に関してはTrueCrypt系で今だとVeraCryptとかがいいんじゃない？

VeraCryptは毎回マウントが必要 OS統合が弱い 設定が複雑などのデメリットもあるけど
かなり強力なPC向けの暗号化ソフトやなーマルチプラットフォームなのもいいね
ただモバイル用途だとBitLockerやFileVaultの方がいいらしい

bitlockerが悪いとは思っていないけど
pinを併用するとかしてないとザルだと思うんだよね、俺は

自分はbitlocker使っているけどtpmのみにはしていない

VeraCryptが一番総合的にいいらしいけどね
BitLockerは脆弱性事件もあったしどうなんや？

オープンソースって脆弱性もオープンになってあぶなくないの?

>>979
特定の前提条件の元では普通に安全らしいよ～
ただGithubなんかの場合だとアクティブユーザーや編集できる人が少ないと途端に危険になるとか
むしろオープンにする事でセキュリティ強度を上げようとする思想がオープンソースだよぃ

1Passwordのサブスク価格が年額4050円から8200円に値上げだってさ

「1Password」のサブスクリプションがなんと2倍に値上げ、値上げと円安のダブルパンチ？
https://forest.watch.impress.co.jp/docs/serial/yajiuma/2122863.html

ロボフォーム使ってる人に聞きたいんですが
右下からニョキって出てくる有償版勧めてくる通知 これ出さなくする方法教えてください

>>981
たっか
冷静に考えれば自動入力抜きにしたら単なるメモなのに
セキュリティソフトより高いってさあ

>>983
じゃあメモ帳にメモしておきなさい

平文はやばいよｗｗ
>>982
それは一番いいのは有料版買う事だよｗ

>>981
ホーム版は昔から大した機能追加はなく、ビジネス版ばかり重視されてきたのにこの値上げだから、日本以外でもかなり批判されてる

だから、あれほど早く1paasから脱却しろと言ったのに。いまからでも遅くないからセルフホストに移行しなよ。

携帯PHS板だとワッチョイだけで揶揄されてしまう
あの回線から書き込んでいると一発でわかってしまう書き込みだな・・

有料はBitwardenが有利になってきたなぁ
まあよほどのことがない限りKeePassXCで十分ではある

昔何かのタイミングで400円くらいで買ったEnpass使ってる
Windowsのパスキープロバイダ増えたら考えよう

Bitwardenは無料で充分だよー
KeePassが一番いいと思うけどデザインで忌避してる人多いよなー

Bitwarden有料版でできるのってワンタイムパスワード機能とパスワード共有くらいじゃないの？

セルフホストなら無料版で全部使えるけどね