【SSS】ガチ勢分析!KeePassのココがすごい

KeePass パスワード管理ソフト
この記事は約8分で読めます。

セキュリティ王者KeePass Password Safe(通称キーパス)を、ここぞとばかりに使い倒した当サイトが、怒涛の勢いで紹介していく。

KeePassを知らない方にワクワクを押し付けるので、心の準備をしておこう。

スポンサーリンク

何でもかんでも暗号化される

KeePassのデータベースに記入したログインID(ユーザー名)・パスワードは当然ながら、メモや添付ファイル(免許証画像などに最適)、ようするにすべてが暗号化される。

ただ、どのパスワード管理ソフトでも暗号化するのは当たり前なので、実際に魅力があるのは添付ファイル無制限くらいだ。

そして、それらのデータを利用する際に必要なパスワードは、マスターパスワード1つだけだ!

なお、クラウド型にすると「マスターパスワード1つ理論」が崩壊するので注意(今見ても意味不明なので無視推奨)。

ちゃんとやれば問題はなく、むしろセキュリティ意識がどの程度か掴めるはずだ。

謎の文字、上位のANSI文字を使える

他のパスワード管理ソフトにまず実装されていないため、1文字でも入れておけば総当たり攻撃にあったとしても、「ANSI文字を含めない攻撃は無意味」抽選を無理やり増やせる。

いくら総当たり攻撃をしても、ANSI文字を最初から試行対象に入れていないのなら、永遠に解読できないということだ。

ただし、サービス側がANSI文字に対応していることは海外でも30%ほどで(私の経験談)、日本のサービスにいたってはまず対応されていない=パスワードを設定できない

少々面倒くさいが強力かつ基礎であるため、できるなら癖をつけて毎回試してみよう。

登録時にANSI文字を含めたものを使い、受け付けてくれなかったら普通のパスワード管理ソフトと同様、大小英数記号を含めたパスワードで妥協する使い方をしよう。それでも十分なセキュリティだ。

つまり、他のパスワード管理ソフトでANSI文字がない原因は、利便性を考慮した結果。

スポンサーリンク

オープンソースで不正が仕込めない

ソースコードが公表されているオープンソースは、他のアプリにも組み込めたり(流用して昇華)、こっそり悪いコードを仕込むこともできる。

だが、現役バリバリの技術者が、勉強がてらに人気であれば人気であるほど確認してくれる

どんどんバグが改善され、史上最強化するということだ。

「企業秘密でコードが公開されていないパスワード管理ソフト」より、数の暴力でチェック回数が多くなるため、必然的に安全が洗練されていく。

  • 大勢がチラ見するためセキュリティ爆上げ
  • 洗練された結果、時代にあった新機能ぞくぞく
  • オープンソースから刺激され、KeePassですらない別の上位互換の誕生

といったことも抽選され、世の中が良くなる可能性を秘めたとんでもシステムなのだ。

ぷっぷ
ぷっぷ

オープンソース自体が凄いよ!

バグ報奨金プログラムを開始

AppleやGoogleなど、最高峰の企業がしているようなバグ報奨金プログラムを、KeePassも開始した。

参考EU-FOSSA – KeePass(英語)

危険なバグであればあるほど報酬は跳ね上がるぞ! 最高で25,000ユーロ(約300万)のようなので、バグ発見能力をお持ちの方は、ルールを確認して獲物を狩ろう。

これにより、通常は動かないであろうお金目当ての技術者も確認するため、より一層バグ発見に拍車がかかる。

ぷっぷ
ぷっぷ

Bug Bounty Hunter(バグバウンティハンター)って名乗れるかも!

スポンサーリンク

自由度の高い自動入力

KeePassは「自動入力をしたいウィンドウを開いた状態」で「自動入力コマンドを入力」すると、Twitterのように定番かつ簡素なログイン画面や、

自動入力

複数項目のジャパンネット銀行でも、スマートに高速ダダダダ入力できる。

ただ、自由度が高いかわりに細かく設定していく必要があるため、メリットだけ強奪することはできず、学ぶ時間と妥協は必須だろう。

当サイトではその辺の難しい設定を真似して終わらせるよう、高度な設定を以下の記事でわかりやすく、

自動入力コマンドはカンニングページを用意している。

ブラウザ以外やオフラインでも自動入力

人気のパスワード管理ソフトはブラウザ拡張機能であることが多く、「ブラウザに表示される自動入力」はできるが、「ブラウザを使わないアプリなどのログイン」はペタペタ貼りを強制される。

KeePassなら問答無用でどのウィンドウも自動入力に設定でき、ネット接続ですら必要ない

「ブラウザを経由しないログインを豊富に使っている」なら、一番満足に使えるパスワード管理ソフトだろう。

参考対象のウィンドウで自動入力させたいウィンドウを指定

さらに、ブラウザ拡張を使用しない=拡張機能に何か仕込まれる抽選を除外でき、なんちゃってセキュリティも獲得。

スポンサーリンク

意図的に負荷をかけて解読を遅らせる

この機能は、万が一データの入ったファイルが盗まれた際に、意図的に負荷をかけて解読を遅らせ、孫の世代はおろか宇宙推定寿命まで解読させない保険として使う。

メモリ消費を強制して負荷をかけるArgon2は、比較的新しい技術でもあり激レアだ。

どうやらクラウド型の1Password・bitwarden・LastPassでは利便性の関係(クロスプラットフォーム?)によりArgon2を導入しづらいようだが、KeePassは元々クラウド型ではないためアッサリ実装された。

パスワードを試すたび「指定したメモリを強制」されるため、高速解読をしようとも無駄にメモリを消費していき、激烈に遅くなる。効率的なGPUやASICを使った高速攻撃に対して、絶大な効果を発揮できるわけだ。

このように現代的かつ強すぎるため、当サイトは過大評価している。

ゆえに是非とも使いたいところだ。

こちらの効果的だがわかりにくい設定も、当サイトの記事でカンニングをしていき、知識の習得を無視して無理やりセキュリティ向上をさせよう。

参考ChaCha20・Argon2

スポンサーリンク

キーファイル最強伝説

クラウド型パスワード管理ソフトは、なんといってもいろんな端末、スマホやパソコンで自然に使えるのが最大の魅力だ(クロスプラットフォーム)。

KeePassはそれができないからオフラインでも自動入力が使え、Argon2で負荷をかけたり尋常じゃないセキュリティを上乗せできるが、外部のクラウドストレージに置いて読み取る使い方をすれば真似できる。

ここで活躍するのがキーファイルといって、KeePassを開く際に使うマスターパスワードとは別の、ファイル型の鍵だ。クラウドからデータベースが盗まれても、自分の端末にキーファイルを置いておけば、自分の端末から盗む手間を増やせる

クラウドに侵入しても、同時に所有者の端末に不正侵入=無理難題を押し付けるわけだ。

クラウドに不正侵入されると告知される → パスワードを変更する人が多数予想される → 犯人側は同時に盗まなければ意味がないと悟る。キーファイルとArgon2が活躍するとはいえ、未知の新技術が発明されるとまずいので、変えずに放置は推奨しない。

ご覧のとおり、クラウドに侵入されているのにもかかわらず限りなく無敵なのが魅力。

これは、「自社クラウドのパスワード管理ソフトユーザーが、喉から手が出るほど羨む機能」なので、喉から手を出そう。

ぷっぷ
ぷっぷ

ベロベロバ~(๑´ڡ`๑)

もう一度言うが、「データベースをクラウド」・「キーファイルは自分の端末に置く」であって、両方ともクラウドに置くとキーファイルも盗まれて意味がないぞ!

スポンサーリンク

KeePassへGO!

途中で気づいたかもしれないが、セキュリティを求めると利便性は落ちていく

それでも惚れ込んだ・納得したのなら、わかりにくいインストールを画像つきで説明させていただくので、使っていこう。

Androidで使うなら、Keepass2Androidアプリ以外考えられないので、そちらを使うといい。

ここまで言っておきながら、iPhoneユーザーはアプリが微妙なのでオススメできない。

追記:2019年4月8日

コメント欄で買い切り有料だがまともなiOSアプリ:KyPass 4を教えてもらった。ただ、想像していたオープンソースとは違ったため、詳しくはコメント欄でのやりとりを確認をしよう。

無料でやりくりしたいのなら、クラウド型にもオープンソースのbitwardenが君臨しているので、妥協としては申し分ない。

コメント

  1. 匿名 より:

    bitwardenのgpg署名が見当たらないのですが、どこにありますか?

    • ぷっぷ ぷっぷ より:

      な、なにそれー!(゚~゚o)
      Dockerがなんなのかわからないレベルのため、高度すぎてよくわかりません……。
      ですが、GNU Privacy Guard(GnuPGまたはgpg)のことでしょうか?GitHubの方でも検索しましたがよくわからず。
      ただ、gpgという単語がよく出現するフォーラムを発見しました。
      私が見てもよくわかりませんが(すごく違う気がする)、役に立つ可能性を込めて参照リンク置いておきますね(๑´ڡ`๑)
      参照BitwardenのGithubリポジトリでコミットやタグに署名する
      違ったらごめんなさい! 普通にないのかも?

  2. お娟 より:

    このサイトのおかげで一度は諦めていたKeePassをWindowsやAndroidで安全&快適に使用できるようになりました。

    ありがとうございますm(_)m KeePass作者よりも、ぷっぷ様にDonateしたい気分です♪

    ところで、今度はChromeBookで利用しようかと思っているのですが、こういう↓Chromeの拡張機能についてはどう思われますか?

    参照Kee – Password Manager

    管理人様の見解をお聞かせ頂ければ幸いです。よろしくお願いいたします。

    • ぷっぷ ぷっぷ より:

      私もこのサイトのおかげで書きながら使えるようにしたので(自動入力とかほんとそう)、ぷっぷさんありがとうございます自演オラァ( っ・∀・)≡⊃ ゚∀゚)・∵.
      今だ! Donate拒否バリアー.:*:`☆((((ヽ(*´Д`)ノ))))☆: お金持ちになる予定なのでお気持ちだけもらいます!

      Chromebookいいですよね~! 拡張じゃなくてアプリも使えるので、プレイストアにいってKeepass2Androidアプリも最悪使えますが、やっぱ拡張自動入力してくれるならそっちがいいな~。
      調べたところ、お娟さんの言ってる「Kee Vault(キーボールト:有料?)」は公式のダウンロードリストに載ってるので、人気かどうかは知りませんが問題はなさそうです!
      ちなみに、公式のダウンロードリストに載っていない人気のChrome拡張機能は「CKP – KeePass integration for Chrome」っていうやつかな? 個人的には紹介されていないので、避けたほうが無難です(全然更新されてないヤバみ)。

      Kee Vaultからほとばしるいい感じ感がでていますので、日本語にも対応してるしイケイケかな(*゚▽゚)
      Chrome拡張にはレビューがないから参考にならないけど、Firefoxアドオンには結構レビューついてましたので、参考にしてください!
      やっぱKeePassユーザーはFirefoxが必然的に多いですね。
      参考Kee – Password Manager – Firefox (ja) 向け拡張機能を入手
      よくみたらURLが「Keefox」で、作者のページにもkeefoxって書いてあってクリックするとKee Vaultに飛ばされる。
      これ評判良かったと思われるKeefoxだったやつじゃん∩(・∀・∩ 聞いたことある! 名前変えてたのね。

      • お娟 より:

        長文の返信ありがとうございます!

        なるほど、Keepass HPで紹介されていれば一定の信用があると見ても良いのですね!

        では早速と思いきや、月額2$もかかるのですね!

        う~んどうしようと思いきや、ご紹介頂いたCKPというのが、更新されているではありませんか!

        これはもう試してみるしかありませんね、いいですよね?

        • ぷっぷ ぷっぷ より:

          ほんとだ……CKP2017年後半だったのに、ちょうどコメント投稿日に更新されてる(笑)
          というか、Kee Vaultが有料なの知らなかったのですか!(゚~゚o)ウゥーン
          やっぱり、私だったら公式で紹介されていないのは絶対使わないです(;´д`)
          一定の信用としては弱いかもしれないけど、多すぎる商品の選別として時間浮かしも込めて、バッサリ選択肢からカットするための決断としても使っているからです。
          それがKeePassの弱みってのがわかってるし、他に似たようなのがあるので通常はそちらを優先します!

          使えるかどうかわからないのが、KeePassXCですかね。Kee Vaultが有料なのを知っているかと思ってあえて述べなかったのですが、こちらが最有力っぽいです!
          ただーし、Chromebookで使えるのかわからず、使えるのはあくまでWindows・Mac・Linuxとなっていて、使えるのはGoogle Chrome拡張機能です。
          拡張機能だけで機能するなら問題ないのですが、KeePassXC-Browser Migrationには「接続」しないと通信できないと述べられてるので、連携は必須かと思います。
          そして、Chrome bookにKeePassXCをインストールできないため、他のPCでKeePassXCをインストール → 上記の設定をして連携する → Chrome bookのChrome拡張機能で使えるといったことができるかどうか不明であり、これができないと多分使えません(´・ω・`)
          というより、どこぞのクラウドにデータを上げていない時点で100%使えないような……。
          つまり、できなかった場合お娟さんの時間は消失し、嫌々Keepass2AndroidをChrome bookで使うことになるでしょう。
          なお、KeePassXCは当サイトで推奨する存在しないキーボードの「F16」が対応していないため、存在するキーボードボタンかつ使わないF9かF8に切り替える必要がある点に注意!
          参考強制的に半角にするF16の設定

          追記:CKPやっぱ問題あったっぽいです(゚~゚o)
          もう修正されてるかもしれないけど、Redditでのやり取りを見ると結構長い間放置されてた模様。
          この中でCKPの代わりに分裂したのが「Tusk」と呼ばれていて、なんと公式に載ってる!しかもChrome bookがどうのこうのって書いてあります!

          _人人人人人人_
          > これだー <
           ̄Y^Y^Y^Y^Y^Y^ ̄

          Tuskの公式サイトも置いておきます(CKPとの比較も有)。Firefoxアドオンもあるよ! 仕様はスマホアプリ系と同じ、アップしたクラウドから読み取るシンプルな仕様のようです。
          公式Tusk – Modern KeePass for the browser

          • お娟 より:

            なるほど、TUSKですか~。これはいいことを聞きました!

            ありがとうございます^^

            ちなみに、更新頻度がやや低いような気がしますが、どうなんでしょう?気のせいでしょうか?

            • ぷっぷ ぷっぷ より:

              4ヶ月と6ヶ月は普通の部類かな~(゚~゚o)
              ましてやほぼ個人のため、大体は1年2ヶ月くらいまでは許容範囲で、それ以上は移転警戒(開発中止意識)。1年半はそろそろヤバみ、2年は確定NGと決めてます(KeePass関係なくどのジャンルでもそう)。

              基本人間は1年を意識して「ヤバい!」と感じるはずなので、開発者が1年放置するのは個人的に良い印象を持っていないですが、どうみても私の「気がする系」の話なので、参考にする程度でお願いします!

              大体は何かあってから修正(常時見るわけではないため)、時間が空きすぎると適当に更新したくなる症候群に開発者は掛かるはず(適当)

  3. Slug.V より:

    お疲れ様です、いつも楽しく拝見させていただいております。
    KeePassについて時折「iOSにいいアプリがない」と嘆いておられるようですが、”KyPass”は如何でしょう?
    https://itunes.apple.com/jp/app/kypass-4-password-manager/id1258708743
    # 自分のレビューが載っててちょっと恥ずかしい
    これには「KeePass関連なのにプロプラ」という特大の欠点こそありますが、他には日本語化されていない点にだけ目を瞑ればiOS12のPassword Manager APIにも完全対応しChacha20+Argon2なkdbxだって取り扱える素晴らしいKeePassクライアントです。
    当方ではこれと自力でホストしたNextcloud(アプリパスワードを生成してのWebDAV接続)をここ1年ちょっと利用していますが、(細かいバグは見当るものの)大きな問題には見舞われることなく運用を続けられています。
    # 余談:自力ホストしたNextcloudには、Nextcloud App StoreからKeeWebを入れることができます。Nextcloud Files内のKeePassデータベースファイルを直接開けるようにするためにはちょっと手間が要りますが、こいつが整備済みであればネットカフェからでも自分のデータベースにアクセスできて重宝します

    • ぷっぷ ぷっぷ より:

      結構な記事で嘆いてしまったため、訂正するとなると億劫です 笑
      プロプラが何なのかわからなかったのでお聞きしたいのですが(プチプラ「プチプライスの略」かと思った)、「プロプライエタリ」、つまりオープンソースではなくなったということなんでしょうか? コード読めないけど、コードらしきものが見つけられない……
      この業界、難易度の振れ幅がすごいから困るー∩(・∀・∩

      とりあえず、個人的には有料の選択肢に賛成ですので、広めるとしたらその件はうまく言えるから問題なし! Mozillaのプログラマーも、ついこの間儲からない言ってたし…… オープンソースはやっぱり毒ですね。
      参考それはお金を稼ぐように設計されていないため、オープンソースはお金を稼ぐことはありません(英語)

      日本語化はどこもしょうがないとして、Password Manager APIいいな~ Safariでのパスワード呼び出しが超絶簡単になるやつだと思うんですけど、iPhone持ってないから確かめようが! お金ー
      しかもkdbx4に対応しているとか、魅力的!
      Nextcloudは私の環境構築資金源が死亡しているため割愛。お金ー

      とりあえず、オープンソースかどうかの確認がとれ次第、『iOSは「bitwarden」か「kypass」がいいよ!』という方針に切り替えます。
      【審議中】 ( ´・ω) (´・ω・) (・ω・`) (ω・` )

      kypassの評判は以下のreddit(英語)を参考。普通にいい評判しかなーい(*゚▽゚)
      iPhone用の最高のKeePassアプリ? MiniKeePassまたはKyPass?

      • Slug.V より:

        丁寧なお返事ありがとうございます。
        YES、プロプライエタリ(独占的)ライセンス……という意味で「この時は言っていたのですが」以下に書く通りよくよく見るとどうも怪しいということに気が付いたんです。
        ただ、これは実際にiPhoneやiPadを使ってアプリをインストールしないとわからない内容なので長文になって申し訳ないのですが以下に詳述します。

        Kyuran社ではGitHubのようなところでソースコードの公開を行っている形跡が全くなく、基本的にソフトウェアのリリース先もApp Storeのみに絞ってあります。私はこの様子をみて「KyPassはプロプラ(ライセンス)に違いない!」と早合点していたのですが、今現在手元で動いているKyPassの歯車ボタンから出るSettings->About->LIBRARIES->KyuranApplicationを開くと(大項目がライブラリとなっていながら)この項目には”Main application”とあり、ライセンスがMITであるらしい(但し、バージョンっぽく見える1.0という謎の数字とその”MIT”という三文字しか書かれておらず、「実は違う意味だ」ということもあるかもしれませんが……)ことがわかりました。
        これがそのまま「Main applicationとはこのアプリ自体のことで、それにはMITライセンスが適用される!」という意味で正しければKyPassはいわゆる「許容的なフリーソフトウェアライセンス」に属するため、これをプロプラと言うのは間違いです。
        # もうちょっと情報が得られないかと過去に使っていたiPhone上でKyPassを削除して入れ直して何かライセンス条項的なのが現れないか見てみましたが、実際やってみてもそういうのは無かったことをつい今確認しました

        さて、この状況をどう解釈すべきなのでしょうか。
        MITライセンスが宣言されてはいるものの、現実にはソフトウェアを解析したり、改変を施して再ビルドしたりするためにソースの開示を申請しても突っぱねらたりなしのつぶてになったりする可能性を考えねばなりません。コピーレフトじゃないからそういう状況も許される?でも、OSIの言う「10の条件」は著しく破ることになりますし、SFLC辺りにすごく怒られそうな気がします。
        参考:エンジニアは間違いなく知るべきOSSのきほんのき – Kekeの日記
        参考:GitHub – redbug26/kypass: KeePass client for macOS & iOS

        この辺りが大変曖昧で、すぐ近くに愉快な訴訟ワールドが広がる感じという印象ですね(汗
        そんなわけで事実上、現時点ではやはりプロプライエタリ・ソフトウェアと同じ扱いをするしかないものと愚考します。

        それはそれとして、ぷっぷ先生自身がが「有料賛成!バイナリ配布バッチこーい!」というスタンスならばKyPassオッケーだと思いますよ。私が毎日使えてる訳ですし。
        # 私個人はゆるいフリーソフトウェア指向、オープンソース指向ではありますがそれらを主義にする根性はないのでKyPassでもWindowsやiOSでも代えられない価値があれば使っていますし、「流行ったら虫唾が走るわ!」みたいなことも無いのでこうして紹介している感じです。むしろ流行れ。

        iOS12のPassword Manager APIですが、こいつの特にすげー所はSafari以外のアプリのIDパス入力画面でもアプリごとのURL(出所不明。内部のplistにでも書いてあるのでしょうか)で自動でサーチされて入力できることでして、OS側から手入れがされることの有り難みを最大限感じることができます。例えば、DiscordアプリのIDパス入力画面ではKyPassの専用画面からdiscordapp.comというURLで自動検索されます。勿論自動検索をキャンセルして手で検索ということも普通にできるので隙がない。

        それから、私自身がNextcloud利用者なのでついついNextcloudが軸の自己中表記になっており大変失礼しました。KyPassはiCloud Drive, Dropbox, OneDrive/同Business, Googleドライブ, box.netといろんなSaaSファイル同期サービスもサポートしており、手元ではDropboxと個人用OneDriveでそれぞれ数ヶ月実用できた実績があるのでとりまご安心ください。
        # と言いつつ、ぷっぷ先生自身ももっと儲かって個人用VPSにNextcloudを構築できるよう祈ります
        # なお明確にプロプラ積極支持のスタンスならNextcloudではなくOwnCloudを使うと日本語サポートバッチリで幸せになれるかもかも

        こんな感じで、あとは先生自身の審議を楽しみに待ちます(笑

        • ぷっぷ ぷっぷ より:

          先生だなんて褒め上手! まだ早いー(*´ω`*)
          とりあえず唐突な辛口になってしまいますが、審議の結果は否決です 工工工エエェェ(゚Д゚)ェェエエ工工工

          以下邪道な理由

          • 現役バリバリの、私より詳しいSlug.Vさんの文章から哀愁が漂ってる
          • 現役バリバリユーザーが調べた結果、プロプライエタリと同じ扱いにした

          「何言ってるんだ」と思われかねないけど、基本的に自分より詳しい、しかも現役で使用しているユーザーからの情報は宝であり、とても信頼できる情報です。
          その情報から哀愁を感じる=どこかで本人が納得していないことの表れが明確にでており、否決という判断となりました。
          ※この時間短縮判別技術は、できる上司が使うであろう能力から拝借。

          さらに補足すると、「私の想像するオープンソース」とはかけ離れていて、素人目ですが「なんか違う感」が拭いきれません。これはSlug.Vさんの感じているナニカと同じものだと思われます。
          といっても、提示してくださったOSIの「10の条件」とだいぶ違うからではあるけども(゚~゚o)
          私の想像するオープンソースとは、「それを宣伝文句として大々的に公開すること」です。
          自分たちにプラスになることなのに(売上にも繋がる)、それを大々的に説明しないオープンソースは、お金稼ぎとしての宣伝が下手っぴか、意図的に書いていないかの2択しかありません。
          というのが追い打ち否決ポイントです(゚~゚o)

          でも、「再配布の自由=そのかわり有料禁止?」だと思うけど、過去私がSourceForgeのKeePassフォーラムを見た際、KeePass創造主が「アプリに広告とか載せるのは気に入らない的な発言を言っていた発言(本人じゃない 笑)」を発見したのに、今じゃ広告どころか最初から有料のツールが公式に載ってるんですよねー(前はなかったと思う)。
          もはやOSIのルールを気にしていないのか、最初からその話が嘘だったのかはわからないけど、ライセンスが曖昧になっているのか、黙認してるのかも。
          どんどん曖昧になってきた(*´ω`*) いつかコード開示のことをフォーラムで聞かなきゃいけなくなるかもしれないけど、今は放置するー

          ただ、これはこれでiPhone用として優秀だし、「こういう選択肢はあるよ!」として、私がバリバリのiPhoneユーザーなら確実に紹介している事案です!
          って、今Slug.Vさんがこのコメント欄で魅力を伝えた結果と同じになっちゃった∩(・∀・∩ パクっちゃおー
          なお、私がお金持ちになるのはまだまだかかります(めちゃめちゃサボってる。今月まだ0記事……)

          KyPassはiCloud Drive, Dropbox, OneDrive/同Business, Googleドライブ, box.netといろんなSaaSファイル同期サービスもサポート

          わかりやすくありがとうございます。BOXも使えるなんて!
          Nextcloudの件は全然構いませんし、このサイトの読者層に刺さりそうなコメントでとても嬉しいです!
          皆どこまでのレベルを目指しているのか、どこに滞在しているのか、「Nextcloud」の名前がでただけでとても参考になるのデース(*´ω`*)

          追記:今から始めるiPhoneユーザーには引き続きbitwardenを勧めちゃうけど、この記事を見る人はiPhone持ちKeePassユーザーの人もいるだろうし、このやり取りとkypassの存在を知らせておくことにします!

          • Slug.V より:

            審議ありがとうございます、お疲れ様でした。ライセンスの件は私としても「念の為改めて調べてみたら悪い意味で衝撃の結果」だったし、否決もしゃーなしです。これなら真っ正面からEULA掲げてプロプラ宣言(ただ本家がGPLv2なので要クリーンルームでしょうが)してくれた方が余程スッキリしますよねぇ。

            ではまた時々顔出すかもです

  4. うらうら より:

    偶然たどり着いた記事がとても参考になったので、lastpassから絶賛移行中です。
    keepassとbitwardenの両方を併用しつつ使い心地を試しています。
    ところで、どこかで触れられているのかもしれませんが、家に据え置きのPCの盗難対策はどうされてますか?
    たとえば、windowsのログインパスワードの管理とか?(そもそもwindowsのログインパスワードは脆弱ということも耳にしますが……)
    では

    • ぷっぷ ぷっぷ より:

      盗難対策は「お金持ちになってからでいいかなー」と後回しにしてたので、どこにも書いてないうえ、ほとんどやってないです(*゚▽゚)
      ただ、どうするかはだいたい決めていますので、参考になるよう置いておきます。
      ベストはお金持ちになって良い住宅に入りつつ、VeraCryptでOS暗号化かなー(゚~゚o)

      • すごく切断に時間のかかるセキュリティワイヤーで(データ抜き取り対策をしていないと役に立たない)
      • 帰宅時間を悟らせないIoTライトで在住アピール(必殺技:パーティを装う)
      • 入り口が一つ・塀などを越えて入れない、廊下ですら室内構造の建物に住む(オートロック・お金必須)ただし、ロープなしでも入れそうな屋上に近いのは避ける
      • 【罠用】USBを差し込むとあら不思議、パソコンが壊れますUSBメモリ(データも壊れるか未調査)
      • 【理想】あるか知らないけど、指定したログイン失敗後勝手にデータを消してくれるシステム(スパイ映画とかでありそうなやつならなおよし!)
      • 【一番現実的?】VeraCrypt、またはBitLockerでOSそのもの?取られたくないものを暗号化(うらうらさんの言っているWindowsのログインパスワードが脆弱かどうかは知らないので、ここでは無視します(´ε`;))
      • 許可していないUSBメモリ禁止設定(ホワイトリスト設定)Windowsのパスワード・PIN入力時にUSBメモリを読み込まないか要確認

      デスクトップなので、盗難追跡・遠隔消去が使えないのがべらぼうに痛いです。戸締まり重要!
      オススメはこちらから反撃できる、壊れるUSBメモリですね。
      近くにあることで差し込みたい好奇心を煽り、自ら差し込ませる罠にかけてデータをショートさせたいところですが(この用途なら合法だと思うし!)、そこからデータを抜けるのか、そもそもデータ破壊が成立しているのかわかりません……
      さらに効果を高めるコンボ:Windowsにログインする際、指定したUSBメモリで解錠する設定にして(有料ソフト必須?)、本物は別の場所、破壊用USBメモリをパソコンのわかりやすいところに付ける(ノートならキーホルダーのように付け、セキュリティ音痴を装う)。
      そうすると付属しているUSBの鍵アピール度がMAXになるため、ほぼ確実に差し込んでくれるはずです。
      この反撃、最強だと思うんだけどなー∩(・∀・∩
      データ抹消ができなくても、あわよくばパソコンを中古に出させない心意気も大事!オラァ( っ・∀・)≡⊃ ゚∀゚)・∵.
      まだお金持ちじゃないので未検証だらけですが、こんな対策を未来ではする予定です!

  5. うらうら より:

    ありがとうございます!

    なるほど~。視点を変えれば「盗難追跡・遠隔消去が【使える】」スマホはむしろ対策しやすいんですね~。目からウロコ。

    PCにさほど重要なデータが入っているわけじゃないですけど、やっぱり他人に見られたくないものも入ってますし、暗号化されているとはいえ、keepassなどのデータが人の手に渡るのは気持ち悪いです。

    ちなみに、過去に空き巣に入られた経験があるので、できればPC(というかSSDやHDD)が盗まれても「データは安心なのでPCを新調するだけでOK」な状態にしておきたいんですよね~。

    その時の空き巣は現金だけの被害でしたけど、外国人の窃盗団とかだと、現金以外も金目のものならごっそりいかれそうな気がして……

    家そのものセキュリティー対策は、私も今すぐはできません。(田舎の古い家なんで小手先の防犯対策じゃどうにもなりません。)

    データの破壊は効果的ですけど、スマホほどお手軽じゃない&確実じゃないのと、「簡単にデータが破壊できる」という状態しておくということにちょっとビビります。(まあ、大事なデータはクラウドに残っているはずですが……)

    「OS(の入ってるディスク?)の暗号化」は考えたことがあるんですが、それってPC起動時に【強固な】パスワードが必要になりますよね?

    そうすると、PC起動時なんで「パスワード管理ソフトとは別の【長~い】パスワードをもう1つ覚えて、なおかつ手入力しなきゃいけないんだよな~??なんか面倒だな……」と思って実行には移せてません。

    いろいろヒントをもらったので「お手軽さをなるべく犠牲にしない」ワガママな方法を考えてみます。(無理かな?)

    • ぷっぷ ぷっぷ より:

      デスクトップに無線とかGPSをつけさえすれば、Preyで遠隔できなくはなさそうだけど、あきらかに専門知識がいるうえスパイ映画並の対策で非現実的ー(´ε`;)
      ちなみに、Preyは警察へスムーズに情報を渡せるようにする機能が付いているようです(通報しないと犯人が反省しないので必須)。細かい機能や使い方は一切知りません 笑 「実は使いづらい」とか知らない!

      (゚~゚o)ウゥーン 肝心の遠隔消去をデスクトップで使える方法って、知ってる限りないんですよね~ と思って調べたらそれっぽい公式のがあった……一言も消去の話でてこないけど!
      参考紛失した Windows デバイスを探し、ロックする
      「Windows 遠隔消去」で検索してみると、そこそこ出てきますね。デスクトップとは一言も書かれてないので多分ダメですオラァ( っ・∀・)≡⊃ ゚∀゚)・∵.

      というか、遠隔消去ってスマホと違ってパソコンだと、一発消しただけじゃ消えてないらしいんですよね(スマホも実際に消えてるか知らないけど!)。
      仮に遠隔消去機能を見つけたとしても、一回しか消していない程度のものは何の意味もないし、ベストな解決法がないって追い打ちをかけてるかも。
      そのためにOSもろとも暗号化?させて、その上から消すように仕込むのかなー? 何も検証してないから、想像だけで言っちゃってごめんなさい 笑

      「OS(の入ってるディスク?)の暗号化」は考えたことがあるんですが、それってPC起動時に【強固な】パスワードが必要になりますよね?

      そうすると、PC起動時なんで「パスワード管理ソフトとは別の【長~い】パスワードをもう1つ覚えて、なおかつ手入力しなきゃいけないんだよな~??なんか面倒だな……」と思って実行には移せてません。

      たしかそうです(゚´Д`゚)゚。 いまのところ、それを簡略化できる落としどころは見つかってません! USBキーが仮に反応しても、家に侵入を許している条件だと微妙~
      PC起動時のせいで、いろいろな小技が封じられて使いづらいです(´ε`;)
      ぱっと浮かんだのは、「ゲーミングキーボードだかに指定したコマンドを設定して、PC起動時でも指定したコマンド入力後、自動でパスワード入力をしてくれる」という裏技みたいなのしか想像できないですね∩(・∀・∩ 動くか知らないけど!

      結論:完璧に近いパソコン側で可能なデスクトップ盗難対策はない
      ※盗まれた後はほぼ確実に「暗号化解除されないか」・「データ消去は正常におこなわれたのか」に悩むことになり、確認するすべがないため絶対的な安心が存在しない。

      犯人に対しての、小賢しいアピールまとめ!

      • 室内で動物を飼う
      • ライトご在宅アピール
      • 何らかのセンサーで働く監視カメラみたいなもの
      • HDDなど記憶装置に手を差し伸べると破壊してくれる謎の装置の開発、または脅しの大音量アラーム

      答え:お金 オラァ( っ・∀・)≡⊃ ゚∀゚)・∵.

      • うらうら より:

        >というか、遠隔消去ってスマホと違ってパソコンだと、一発消しただけじゃ消えてないらしいんですよね(スマホも実際に消えてるか知らないけど!)。

        そう言われてみれば、HDDの消去ソフトとか何度も上書きする設定がありますね。

        >答え:お金 オラァ( っ・∀・)≡⊃ ゚∀゚)・∵.

        そうですね~。泥棒が入れない家に住むのが一番ですね~。

        ただ、お金持ちのVIPなんかは家が立派でも身内にスパイがいたりなんかして……。
        心配しだしたらキリがないっすね。

        とりあえず、今のところは(面倒なので)OSごと暗号化ではなく、ログイン後に使うデータを暗号化して妥協しておきます。
        キーファイルは生の状態で置いておくしかないですけど、そこはしょうがないです。

        ではまた

        • ぷっぷ ぷっぷ より:

          とりあえず、今のところは(面倒なので)OSごと暗号化ではなく、ログイン後に使うデータを暗号化して妥協しておきます。

          私もそうします∩(・∀・∩
          OS暗号化は、ちょっと真剣に考えるようにします……(´ε`;)