パスワード管理ツール Part18

!extend:checked:vvvvv:1000:512:donguri=3/1
!extend:checked:vvvvv:1000:512:donguri=3/1
次スレを建てる場合は上記のコマンドをスレ立て時にコピペし3行にしてください


パスワード管理ツール（ソフトウェア）について語るスレです。

前スレ
パスワード管理ツール Part17
https://egg.5ch.io/test/read.cgi/software/1724456979/

スクリプト対策のために、どんぐりシステムを導入しています。
どんぐりがわからない方は、次のページを参照してください。
https://nanjya.net/donguri/
https://megalodon.jp/2024-0804-1031-16/https://nanjya.net:443/donguri/

---

VIPQ2_EXTDAT: checked:vvvvv:1000:512:donguri=3/1: EXT was configured

googleで動画ログイン出来るようになったな
これからはパスマネも動画保存必要になってきたか

2つあるしﾜｯﾁｮｲ有り.....

AIの性能向上が著しい昨今ですが、未だ発見されてない脆弱性使ってオンラインパスワード保管庫クラッキングされそうで怖い

だったらZKeePass使えばいいじゃん.....
なんでわざわざオンライン型使うのかわからんｗ
まーこういうタイプはローカルにしたら今度は災害耐性ガーとか言うんだろうなｗ

前スレで残り少しだからワッチョイなしを消化しようという事で
ワッチョイなしの方を埋めたが
ない方がいいやつもいるみたいで別に建てられたな
埋めた意味なかった

楽天ドライブがハックされたとかでパスワード作り直し、さらにパスキー削除したら楽天ログインできなくなったみたいな報告があるな
パスキーの仕組みは周知されてないし、周知されてもわけわからんから、こういう事例も増えるだろう

いや安全性の面からパスキー構造は公開しないだろ......
一部の技術者達限定の周知だろうな～
調べたけど通知がかなり本物に近く見えたな

>>8
攻撃者は専門家なんだがその前提になんの意味が

>>9
楽天への攻撃者は専門家でパスキー構造を認知してるん？

>>4
オンライン上の保管庫も、ローカル保存と同じで、パスワードを知らないと復号できない仕組みだけどな
盗まれた後の弱さは同じ

>>10
そらそうやろ

>>12
そう思われるエビデンスはあるん？？攻撃した=パスキー構造を認知
みたいな単純計算式じゃないよね？

>>11
よく言われてるけどオンライン上のVaultは攻撃頻度が多いらしいじゃん
盗難後の強度はそりゃそうだけど されるまでの強度？がオフライン型とは段違いじゃん
そういう意味ではオンライン型の意味を感じられない(´・ω・｀)

もちろん、ローカル保存だけで困っていないならそれでよいのでは？
自分は逆に、大事なパスワードをローカルだけで管理したくないという考えなので、
有料のまともなサービスに預けて、その恩恵として複数の端末で同期させている

>>15
>有料のまともなサービス
上記について科学的な定義を述べなさい....しかも複数端末で同期してると....
※同じ家にある複数端末の場合は別に災害耐性は高くないからね？？

自宅の複数端末の同期に関してはデバイスの消失耐性はあるね
ただ複数端末の同期より複数クラウドに逃しておく方が災害耐性も消失耐性も高い
適切にクラウドサーバーが運営されている前提だけどね

2デバイス+複数クラウドの方が理論上はほぼ最適解に近いはず
同期=脆弱性みたいな部分もあるからな～
利便性の向上=脆弱性が完全に0じゃないからな(´・ω・｀)

>>13
パスキーの仕組みってオープンなんだけど？

楽天はFIDO2
キー生成アルゴリスムの種類とかもpublic keyに必要だから
パスキー生成すればすぐわかる情報だよ

ん～みゃ？とりま今回の事件はOSS上の脆弱性が利用されたん？？
それとも未知の脆弱性？？？
なんでハカーは攻撃できたん？？？教えてクレメンス(´・ω・｀)

パスキー構造の話になってるけど普通の公開鍵暗号だぞ？

Googleパスワードマネージャーに脆弱性、マルウェアでパスキー保護を突破可能に
https://pc.watch.impress.co.jp/docs/news/2130538.html

こういう時の為に連携とかはしない方がいいなー
後一応暗号化技術が突破されたわけじゃないらしいね
ｼﾗﾝｹﾄﾞ

暗号自体が破られてたら世界中大パニックだよ
とりあえず今頃5chもできてない

IT界でも数学界でも大パニックだわなw

ユーザーの操作を伴う認証を通っていない

<前レスの続き> チャレンジレスポンスを受け入れてしまうWebサイトで
1. パスキーログイン成功
2. パスキーの公開鍵の更新成功
3. Google鯖に暗号化して保存されている同期パスキーの秘密鍵のうち、マルウェアが動作しているPCのTPM内に存在していない秘密鍵をそのTPMの中に復元できる

Androidのロック解除で数日おきにPINの入力が求められるのと同じように
PCのKeepassを生体認証で開けるようにしていても
時々はパスワードを入力が必要にしないと忘れてしまって危険かもしれない

生体認証にたよりすぎおぢさんも怖いな(´・ω・｀)
やはり複合メソッドが一番いいと思う😥

yubikey買ったんやけど、対応してないサービスが意外に多くてｼｮﾎﾞﾝ
パスキー保存しようとしてもyubikeyを選べない

yubikey持ってるけどkeepassのパスワード開けるときしか使ってない

企業が漏洩ラッシュだな

日本企業はシステムをケチり過ぎているから
セキュリティーエンジニアへの報酬も低すぎるし
セキュリティー以外のエンジニアへの報酬も低いけど

それ以前に昨今の流出を見てると、
なんで機密性が高い情報を保存するDBを素でつなぐ設計にしているのか、暗号化もしていないのか、不必要に危ない情報を保存しているのかイミフメイ
メーカー子会社の俺でさえ常識なのに

システムを理解してる管理職がいない
権限のない現場が上申してもわからないから後回しにされる
悲しいねぇ

メーカー子会社なんて上流階級だろ
ググってそれっぽい設定を入れてみて動いたらOK
ができるだけでもリーダーになれる世界ではないだろ？