パスワード管理ツール Part18

楽天ドライブがハックされたとかでパスワード作り直し、さらにパスキー削除したら楽天ログインできなくなったみたいな報告があるな
パスキーの仕組みは周知されてないし、周知されてもわけわからんから、こういう事例も増えるだろう

いや安全性の面からパスキー構造は公開しないだろ......
一部の技術者達限定の周知だろうな～
調べたけど通知がかなり本物に近く見えたな

>>8
攻撃者は専門家なんだがその前提になんの意味が

>>9
楽天への攻撃者は専門家でパスキー構造を認知してるん？

>>4
オンライン上の保管庫も、ローカル保存と同じで、パスワードを知らないと復号できない仕組みだけどな
盗まれた後の弱さは同じ

>>10
そらそうやろ

>>12
そう思われるエビデンスはあるん？？攻撃した=パスキー構造を認知
みたいな単純計算式じゃないよね？

>>11
よく言われてるけどオンライン上のVaultは攻撃頻度が多いらしいじゃん
盗難後の強度はそりゃそうだけど されるまでの強度？がオフライン型とは段違いじゃん
そういう意味ではオンライン型の意味を感じられない(´・ω・｀)

もちろん、ローカル保存だけで困っていないならそれでよいのでは？
自分は逆に、大事なパスワードをローカルだけで管理したくないという考えなので、
有料のまともなサービスに預けて、その恩恵として複数の端末で同期させている

>>15
>有料のまともなサービス
上記について科学的な定義を述べなさい....しかも複数端末で同期してると....
※同じ家にある複数端末の場合は別に災害耐性は高くないからね？？

自宅の複数端末の同期に関してはデバイスの消失耐性はあるね
ただ複数端末の同期より複数クラウドに逃しておく方が災害耐性も消失耐性も高い
適切にクラウドサーバーが運営されている前提だけどね

2デバイス+複数クラウドの方が理論上はほぼ最適解に近いはず
同期=脆弱性みたいな部分もあるからな～
利便性の向上=脆弱性が完全に0じゃないからな(´・ω・｀)

>>13
パスキーの仕組みってオープンなんだけど？

楽天はFIDO2
キー生成アルゴリスムの種類とかもpublic keyに必要だから
パスキー生成すればすぐわかる情報だよ

ん～みゃ？とりま今回の事件はOSS上の脆弱性が利用されたん？？
それとも未知の脆弱性？？？
なんでハカーは攻撃できたん？？？教えてクレメンス(´・ω・｀)

パスキー構造の話になってるけど普通の公開鍵暗号だぞ？

Googleパスワードマネージャーに脆弱性、マルウェアでパスキー保護を突破可能に
https://pc.watch.impress.co.jp/docs/news/2130538.html

こういう時の為に連携とかはしない方がいいなー
後一応暗号化技術が突破されたわけじゃないらしいね
ｼﾗﾝｹﾄﾞ

暗号自体が破られてたら世界中大パニックだよ
とりあえず今頃5chもできてない

IT界でも数学界でも大パニックだわなw

ユーザーの操作を伴う認証を通っていない

<前レスの続き> チャレンジレスポンスを受け入れてしまうWebサイトで
1. パスキーログイン成功
2. パスキーの公開鍵の更新成功
3. Google鯖に暗号化して保存されている同期パスキーの秘密鍵のうち、マルウェアが動作しているPCのTPM内に存在していない秘密鍵をそのTPMの中に復元できる

Androidのロック解除で数日おきにPINの入力が求められるのと同じように
PCのKeepassを生体認証で開けるようにしていても
時々はパスワードを入力が必要にしないと忘れてしまって危険かもしれない

生体認証にたよりすぎおぢさんも怖いな(´・ω・｀)
やはり複合メソッドが一番いいと思う😥

yubikey買ったんやけど、対応してないサービスが意外に多くてｼｮﾎﾞﾝ
パスキー保存しようとしてもyubikeyを選べない