180個のパスワードを安全に保存および管理するにはどうすればよいですか


146

さまざまなWebサイトやWebサービス用に約180個のパスワードを持っています。これらはすべて、パスワードで保護された1つのExcelドキュメントに保存されます。リストが長くなるにつれて、そのセキュリティについてますます懸念しています。

パスワードで保護されたExcelドキュメントは、どれだけ安全ですか、または安全でないと言えますか?この多くのパスワードを安全で管理しやすい方法で保存するためのベストプラクティスは何ですか?

Excelの方法は簡単だと思いますが、セキュリティの面が心配です。


Cyber​​Arkなどの商用製品がニーズを満たします。
イヴァンチャウ

回答:


207

私のお気に入りのパスワード保存ツールはKeePassです:

ここに画像の説明を入力してください

KeePassとは何ですか?

今日、多くのパスワードを覚えておく必要があります。Windowsネットワークログオンのパスワード、電子メールアカウント、WebサイトのFTPパスワード、オンラインパスワード(Webサイトメンバーアカウントなど)などが必要です。リストは無限です。また、アカウントごとに異なるパスワードを使用する必要があります。どこでも1つのパスワードのみを使用し、誰かがこのパスワードを取得すると、問題が発生するため...深刻な問題。泥棒はあなたの電子メールアカウント、ウェブサイトなどにアクセスできます。想像もできません。

KeePassは無料のオープンソースパスワードマネージャーで、安全な方法でパスワードを管理できます。すべてのパスワードを1つのデータベースに入れることができます。このデータベースは、1つのマスターキーまたはキーファイルでロックされています。したがって、1つのマスターパスワードを覚えているか、キーファイルを選択するだけでデータベース全体のロックを解除できます。データベースは、現在知られている最良かつ最も安全な暗号化アルゴリズム(AESおよびTwofish)を使用して暗号化されます。詳細については、機能のページをご覧ください


保存できるパスワードの数に制限はありますか?

理論的にのみ。必要なだけエントリをデータベースに入れることができますが、ある時点でUSBキーまたはHDDがいっぱいになります。

変更されたパスワードを自動的に同期する方法はありますか?

いいえ、あなたが期待するほどではありません。
これを定期的な手動プロセスにすることをお勧めします。これは自動化できないため、自動化しないでください

すべてのパスワードエントリに有効期限を設定するのが好きです。 ここに画像の説明を入力してください
その後、パスワードを定期的に変更することを忘れません。WebサイトのURLをパスワードエントリと共に保存するので、簡単なプロセスです。

このソフトウェアを使用して、FacebookなどのWebサイトに自動的にログオンできますか?

いいえ、自動ではありません(少なくとも私の知る限り)。しかし、ここでオートタイプが役立ちます。たとえば、Facebookの場合、これは私の自動入力設定です。

ここに画像の説明を入力してください

ご覧のとおり、さまざまなブラウザータイトル用に3つの構成を作成しました。これによりfacebook.com、に移動してCtrl+ Alt+を押すだけAで、ユーザー名とパスワードが自動的に入力されてログインします。

同じウィンドウタイトルに複数のユーザー名/パスワードの組み合わせがある場合、使用するパスワードエントリを尋ねるポップアップウィンドウが表示されます。

モバイルはどうですか?

モバイルデバイスでKeePassコンテナー形式をサポートするアプリがあります。しかし、私はそれらから離れています。私の携帯電話にあるKeePassデータベースの考えが気に入らないのです。

QR Code Generatorプラグインを使用して単一のパスワードのみを転送することを好みます。パスワードからQRコードを生成し、携帯電話でスキャンできます。スキャンしたコンテンツをクリップボードにコピーできるアプリがあれば役立ちます。

ここに画像の説明を入力してください


3
Dropboxに置くと、携帯電話でも、どこでも開くことができます(ポータブルバージョンもあります)。さらに、Lastpassにインポートできます。かなりの選択
イヴォFlipse

2
@Oliverこれは私が必要とする単なるツールのようです。私は間違いなくこれを試してみます。有効期限機能は便利です!そして、自動タイプは十分に単純です。一部のウェブサイトでは、メールで送信するリンクをクリックしてパスワードの変更を確認する必要がある場合があることを理解しています。そのため、私が想像した方法で自動同期機能を実行すると、パスワードの同期と自動更新に失敗します。これがWindows以外のOSでも機能することはプラスです。ダンケ・オリ!;)
サミール

9
Dropboxで使用するためのセキュリティを追加する場合は、パスワードと組み合わせてキーファイルを使用し、パスワードにアクセスするコンピューターまたはデバイスに手動でコピーします(Dropboxにキーを保存しないでください)。知る限り、これはファイルシステムにアクセスする必要があるため、Androidおよびルート化されたiOSデバイスでのみ機能しますが、キーファイルがなければ、パスワードファイルはほとんど解読できません。
チャド・レヴィ

2
KeePass 2はWindows専用であることに注意してください(少なくとも、Linux上の無料のMonoインタープリターは非常に貧弱に動作していました)。MacとLinuxで使用するKeePassXと呼ばれるKeePass 1の古いクローンがあり、非常にうまく機能します。
リード

2
@Reid:私の経験から、KeePass2はMonoでうまく機能します。justいだけで、それはMono対.NETのことです。
-grawity

68

使いやすいExcelパスワードクラッカーがいくつかあるようです。

私は、1passwordLastPassなどのパスワード管理システムを使用します。これは、モバイルを含むいくつかのOSで動作します。

これらには、ほとんどのブラウザ用のプラグインがあり、パスワードやその他の情報をWebフォームに入力できます。1passwordは、ブラウザーにブックマークを設定して自動的にログインすることもできます(アプリを使用するには、最初にマスターパスワードを使用する必要があります)

1passwordには、クレジットカード、銀行口座、その他の情報を保存するためのメモ、アカウント(電子メール、ftpなど)、テンプレートも保存できます。商用ですが、最大20個のアイテムを入力できる無料のデモを入手できます。

2つの違いの1つは、1passwordはデータをローカルにのみ保存することです(dropboxなどを使用して暗号化されたデータを同期できますが)、Lastpassは(アクセスする必要がありますか?データ、Dropboxなどの必要なし


4
Excelのパスワードは非常に簡単に解読されます。Google Excelのパスワードクラッカー。多くのオプションが表示されます。ラストパスの場合は+1。以前はRoboformを使用していましたが、クロスプラットフォームであるため、Lastpassの方が好きでした。パスワードジェネレーターを使用して、パスワードをランダム化します。
ケンドール

23
LastPassの+1-LastPassは非常に優れているため、すべての素敵なフォーマットと写真の答えがKeePassであることは残念です。また、データをオンラインで保存するため、データを失うことを心配する必要はありません(また、ローカルにキャッシュするため、サーバーがダウンすることを心配する必要もありません)が、TNO(誰も信頼しない)を使用してすべてを暗号化するため、LastPassは実際に見ることができませんパスワード。絶対完璧と呼ぶプログラムはほとんどありませんが、LastPassはその1つです。
BlueRaja-ダニーPflughoeft

3
また、LastPassはAndroid / iPhoneを介した2要素認証もサポートするようになりました。つまり、パスワードにアクセスするために、最初に誰かがオーセンティケーターアプリ(30秒ごとにランダムコードを生成)を起動するために携帯電話を盗む必要があります。
-glenneroo

3
@Sammy:はい、ほとんどの機能は永久に無料です。お支払いが必要な機能は、モバイルアプリと多要素認証のみです。これらには「プレミアムアカウント」(年間12ドル)が必要です。作者はプログラムから金持ちになろうとはしていません-私はプレミアム機能を使用しませんが、それでも感謝の気持ちを示すためにプレミアムアカウントに支払います。私は通常、オープンソースプロジェクトにのみ寄付するので、何かを教えてくれます:)
BlueRaja-ダニーPflughoeft

2
LastPassは便利ですが、ほとんどがクローズドソースであり、LogMeInに買収されています。LastPassのサーバは、(少なくとも部分的に)複数回を突破されており、そして「そのクライアントが許可していること、ユーザーが悪質なWebサイトを訪問したときてLastPassユーザーのヴォールトから任意のドメインの平文パスワードを読んだ」(Mar2017)現在」とてLastPassバイナリを..バイナリが存在しない場合でも、悪意のあるサイトが保護されたLastPassボルトからパスワードを盗むことを
許可

49

Lastpassをしばらく使用していますが、強くお勧めします。いくつかの素晴らしいブラウザプラグインと、より安全なパスワードを簡単に作成できる一連の機能があります。

ブラウザプラグインは、ログイン情報を自動的に入力します(プラグインにログインしたとき)。また、エクスポート機能もあるため、データベースを取得して、たとえばKeePassにインポートできます。また、追加のセキュリティのために2段階認証を使用します。

デスクトップクライアント:

デスクトップクライアント

ブラウザプラグイン:

ブラウザプラグイン


1
@PITaylorありがとう!LastPassを間違いなくテストします。しかし今のところ、KeePassを評価する時間をもう少し与えます。
サミール

4
私がLastPassが好きな大きな理由は、複数のコンピューターでパスワードのセットを簡単に共有でき、ランダムなコンピューターのパスにWebインターフェースからいつでもアクセスできるからです。
PlTaylor

2
ラストパスを使用しますが、2つの欠点があります。1)サーバーがダウンする可能性があります(技術的な問題、または会社が廃業するなど)2)一部の会社は、あなたが会社からパスワーク情報を送信しているため、許可しません。
ケルタリ

1
LastPassは便利ですが、ほとんどがクローズドソースであり、LogMeInに買収されています。LastPassのサーバは、(少なくとも部分的に)複数回を突破されており、そして「そのクライアントが許可していること、ユーザーが悪質なWebサイトを訪問したときてLastPassユーザーのヴォールトから任意のドメインの平文パスワードを読んだ」(Mar2017)現在」とてLastPassバイナリを..バイナリが存在しない場合でも、悪意のあるサイトが保護されたLastPassボルトからパスワードを盗むことを
許可

このリンクはここに残しておきます。ハント氏は私よりもずっといいと言っているからです。 troyhunt.com/...
PlTaylor

10

私が個人的に使用しているのは、Password Hasherプラグイン(Firefox用)です。

Password Hasherがどのように役立つか:

  • 強力なパスワードを自動的に生成します。
  • 1つのマスターキーは、多くのサイトで異なるパスワードを生成します。
  • サイトタグを「バンプ」することにより、パスワードをすばやくアップグレードします。
  • すべてのサイトを一度に更新せずにマスターキーをアップグレードします。
  • 異なる長さのパスワードをサポートします。
  • 数字や句読点などの特別な要件をサポートします。
  • 特殊文字を使用しないようにハッシュワードを制限することをサポートします。(新着!)
  • すべてのデータをブラウザの安全なパスワードデータベースに保存します。
  • サイトタグとオプション設定を使用してポータブルHTMLページを生成します。これにより、拡張機能がインストールされていない任意のマシンの任意のブラウザーでハッシュワードを生成できます。(新着!)
  • マーカーボタンを追加して、任意のWebサイトでパスワードのマスクを解除できます。(新着!)
  • 非常に使いやすい!

ここに画像の説明を入力してください


6
彼らはforgottonされるだろうどこか他に格納する必要があります
user151019

Chrome用のポートもあります。
リシマハラジ

6
@kutschkem:いいえ、パスワードをどこかに保存する必要はありません。プラグインがおそらく行うこと(少なくともこれは私がやる方法です)は、サイトタグとマスターパスワードの連結をハッシュ化することです。 、 見る?)。もちろん、マスターパスワードはまだ強力である必要があります。利点は、すべてのパスワードが異なるだけでなく、非常に異なることです(少なくともハッシュ関数が優れている場合)。
デアホッホステープラー

あり、IE用のポートは非常にハンサムな人によって書かれたが、
BlueRaja -ダニーPflughoeft

@マシュー:それはすべてのパスワードストレージソリューションに当てはまります...
BlueRaja-ダニーPflughoeft

9

私は個人的にPasswordMakerを使用して、マスターパスワードとサイトのURLからパスワードを生成しています。プロジェクトはかなり成熟しており、オープンソースで安定しています。Firefox(拡張機能として)、Linux CLI、Androidなどで使用できます。

使い方:

警告-このセクションの専門用語です!PasswordMakerに2つの情報を提供します。「マスターパスワード」-好きな1つのパスワード-と、パスワードが必要なWebサイトのURLです。一方向ハッシュアルゴリズムの魔法により、PasswordMakerはデジタルフィンガープリントとも呼ばれるメッセージダイジェストを計算します。これはWebサイトのパスワードとして使用できます。一方向ハッシュアルゴリズムには多くの興味深い特性がありますが、PasswordMakerで大文字になっているのは、結果の指紋(パスワード)が「生成に使用された入力について何も明らかにしない」ことです。言い換えれば、誰かがあなたの生成したパスワードを1つ以上持っている場合、その人があなたのマスターパスワードを導出したり、他のパスワードを計算したりすることは計算上実行不可能です。


4

サードパーティのアプリケーションを信頼して、重要なパスワードを保存することは危険です。特に、潜在的にオンラインで接続できるアプリケーションや、他のプログラムのプロセスへのアクセスを許可するアプリケーション。さらに重要なのは、非オープンソースのものを信頼することです。

私の意見では、より安全な方法は、重要なパスワードをテキストファイル(.TXT)に保存し、dsCrypt.exeによってAESアルゴリズムでファイルを暗号化することです。あなたがdsCryptにあなたのメインのパスワードを入力する必要があります一度だけ、あなたがすることができます暗号化/復号化限りdsCryptが実行されているように、メインパスワードを毎回再入力あなたを求めずに、あなたのパスワードテキストファイルを何回も。Windowsの起動時にdsCryptを自動実行し、メインパスワードを1回入力できます。必要なのは、パスワードファイル(.txt)をdsCryptにドラッグアンドドロップして、パスワードが必要なときに暗号化を解除することです。


dsCryptをPGP / GPG、TrueCryptデリバティブ、LUKSなどに置き換えることも同様に良いでしょうが、それでも+1
Xen2050

しかし、あなたの答えには欠陥があります:dsCrypt.exeはサードパーティのソフトウェアです:-)!私は、exeを介して再コンパイルできるオープンソースプログラムを信頼することを好みます
-spiritoo

0

KeePassXのコミュニティフォークであるKeePassXCをお勧めします。KeePassXは、KeePass Password Safeのネイティブクロスプラットフォームポートであり、新機能とバグ修正で拡張および改善し、機能豊富で完全なクロスプラットフォームで最新のオープンなソースパスワードマネージャー。

このクライアントは、Surveillance Self-Defenseでも推奨されています。

主な機能KeePassXC

  • AES、Twofish、またはChaCha20暗号化によるパスワードおよびその他のプライベートデータの安全な保管
  • クロスプラットフォーム、修正なしでLinux、WindowsおよびmacOSで実行
  • KeePass2、KeePassX、MacPass、KeeWeb、その他多くのファイル形式との互換性(KDBX 3.1および4.0)
  • SSHエージェントの統合
  • ログインフォームに自動的に入力するための、サポートされているすべてのプラットフォームでの自動入力
  • 追加のセキュリティのためのキーファイルとYubiKeyチャレンジ/レスポンスサポート
  • TOTP生成(Steam Guardを含む)
  • 他のパスワードマネージャー(LastPassなど)からのCSVインポート
  • コマンドラインインターフェース
  • スタンドアロンのパスワードおよびパスフレーズジェネレーター
  • パスワード強度メーター
  • データベースエントリのカスタムアイコンとWebサイトファビコンのダウンロード
  • データベースのマージ機能
  • データベースが外部で変更されたときの自動リロード
  • Google Chrome、Chromium、Vivaldi、およびMozilla Firefox用のKeePassXC-Browserとのブラウザ統合。
  • (レガシー)KeePassHTTPコネクタは、Mozilla FirefoxおよびGoogle Chromeで使用でき、Safariではpassafariで使用できます。

-4

メモ帳と.txtファイルを使用します。私のアドバイスが必要な場合は、サードパーティのソフトウェアを使用しないことをお勧めします。彼らはあなたのパスワードを盗んでいないことをどこから知っていますか?
したがって、テキストファイルを使用するのが最適です。
また、プログラマーである場合は、エンコードを使用してデータを保護するシンプルなものを自分で作成することをお勧めします。それが最良の解決策です。


2
暗号化されたパスワードマネージャーのデータベースがプレーンテキストファイルよりも脆弱である可能性があります。後者は、コンピューターでパスワードpasswordをすばやく検索する次のマルウェアによって収集されるためです
Twisty Impersonator 14年

1
少なくとも、GPG / PGPか何かを使用してテキストファイルを暗号化するもの、およびその1つのパスワードを覚えて
Xen2050
弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.