パスワードマネージャの単一障害点。では、なぜ今日はなぜそんなに頻繁に推奨されるのでしょうか？
this の記事の結論は、2017年にパスワードを保護するには、長さとランダム性が必要であるということです。ランダムなパスワードを選ぶことを優先して、「o」を0に変えるなどの小さなハックやテクニックをすべてあきらめることをお勧めします。
その上、これらの長いランダムなパスワードが数十個必要になるため、lastpassやkeepassなどのパスワードマネージャーが必要です。
私は自分のパスワード（パスワードマネージャーへのパスワードを除く）をまったく知らないのが少し怖いです。
他の解決策はありませんか？あるいは、これを少し難しくする方法かもしれません。
その上、これらの長いランダムなパスワードが何十も必要になるため、lastpassやkeepassなどのパスワードマネージャーが必要です。
私は自分のパスワード（パスワードマネージャーへのパスワードを除く）をまったく知らないのが少し怖いだけです。
まあ、それはトレードオフです。強力で複雑なパスワードを取得する代わりに、各パスワードの知識を放棄し、パスワードマネージャーを危険にさらす攻撃者がすべてのパスワードにアクセスする危険をもたらします。
現実世界では、代替手段-人間が覚えやすい弱いパスワードを選択するか、すべてのシステムに同じパスワードを使用するか、すべてのシステムに使用する1つの弱いパスワードを選択するかのどちらかが、最悪のシナリオです。
適切なソリューションを愛する必要はありません。時々、正しい解決策は2つの悪の小さい方です。 （そして率直に言って、優れたパスワードマネージャーは比較的悪が少ないです。）
他の解決策はありませんか？あるいは、これを少し難しくする方法かもしれません。
はい。もう1つの解決策は、フェデレーションでのOTPの使用です。 Google Authenticatorのようなもので、ローテーションパスワードを提供するソフトウェアトークンがあり、それらのパスワードを検証するために使用される「秘密鍵」は、各システムがその秘密にアクセスすることを許可せずに複数のシステムが認証に利用できるようにする1つのエンティティによって所有されます。キー*。
この3番目のオプションには、長所と短所もあります。実際のパスワードがわからない場合は、デバイスに依存して60秒間だけ有効なパスワードを提供すると、さらに煩わしくなります。システムのセキュリティは、いくつかのユースケースで他の2つよりも優れています。ただし、適用性（たとえば、使用するシステムがサポートする場合とサポートしない場合があります）の方が劣ります。
*たとえば、「秘密鍵」であるシードファイルを各RSAインストールにインストールする必要があるRSA SecurIDトークンとは対照的に、シードは複数のエンティティ間で共有されるか、複数のトークンを持っています。
パスワードマネージャーを車や洗濯機のようなツールと考えるのが理にかなっていると思います。私の車がどのように機能するかについての理論を知っています。燃料と空気を取り込んで回転運動を出し、車輪を動かすエンジンがあります。しかし、詳細はわかりません。電子燃料噴射のようなもので、エンジンの燃料をすべてのストロークで調整できます。これはある種の魔法のようです。車の重要な機能であるAからBへの行き方を知っているので、これは実際には問題ではありません。詳細な「方法」を気にすることなく、AからBへの行き方に使用できます。 。
パスワードの場合、私は少しだけ知っています。私は自分のパスワードマネージャー、および長く記憶されたパスワードを使用して他のいくつかの主要な場所にログインできます-基本的に、パスワードマネージャーなしで自分のアカウントにbootstrapアクセスできるようにしたいと思います。たとえば、PayPalのパスワードがわからない、一例を挙げます。曇りではありません。これは、長い文字列です。しかし、車の電子燃料噴射と同じように、問題ではありません。方法の詳細を知らなくても、やりたいこと（Paypalにログイン）に進みます。
ただし、その利点は、そのアカウントを攻撃する人は事実上知識がないことから何かを解決する必要があることです。彼らが私の好きなスポーツチーム、テレビ番組、または本を知っているかどうかは関係ありません。彼らがたまたま私の別のパスワードを知っているかどうかは関係ありません（おそらく、私が使用している他のサービスを実行しています）-発見するパターンはありません。
さて、彼らが私のパスワードを安全に侵入できた場合、はい、彼らはすべてにアクセスできます。ただし、私は2FAを有効にしているため、最初にトークンジェネレーターにアクセスする必要があります。新しいログインがある場合は、警告が表示されます。私の電子メールプロバイダーは、異常なログイン動作を警告します。問題が発生した直後に、何かが間違っているという兆候がたくさんあります。また、パスワードを変更する必要があるすべての場所、つまりパスワードマネージャー自体のリストもあります。 1つのサイトを忘れる心配はありません。
パスワードのクラウドサービスのアイデアが気に入らない場合は理解できます。自分でデータベースファイルをバックアップし、DBパスワードを覚えておくか、定期的に更新されるドライブに保管して、金庫に保管してください。パスワードを印刷して安全に保管することもできます。現代のほとんどの状況では、攻撃を受ける主な方法は、コンピューターの前にいる人ではなく、世界の反対側にいるコンピューターの前にいる人です。彼らはあなたの金庫に入ることができる可能性は低いです！ （明らかに、国民国家の攻撃者と話している場合、予防策は異なる可能性がありますが、その場合、他にも心配する必要があります。）
結局のところ、それはパスワードのエントロピーと強さについてです。つまり、パスワードが何であるかを予測することができず、パスワードのオプションの数が多いということです。多くのエントロピーを作成する最良の方法は、誰も覚えていない長いパスワードを作成することです。
私は「パスワードマネージャーはクールなフロント」の出身です。使用することをお勧めします。単一障害点を恐れている場合：ほとんどのパスワードマネージャーでは、パスフレーズを忘れた場合にデータを回復する方法を設定できます。パスフレーズの代わりにキーファイルを設定することも、どちらかを設定して常にデータを取得できるようにすることもできます。
また、復元情報を実際の金庫のように安全な場所に保存することもできます。以前は、ディスク全体を暗号化するためのリカバリCDを物理的に大きなボールトに保管していました。
パスワードマネージャは、単一障害点です。
私は単に同意しません。より正確には、howを指定する必要があります。これはSPOFです。私が懸念している限り、私は自分のデスクトップの両方でKeepassを使用しますand私の携帯電話と両方のデータベースの同期を保ちます。もちろん、Keepassの開発者が悪になり、プログラムが特定の日付からデータベースを意図的に破壊した場合、私は負けます。しかし、ディスククラッシュが発生した場合（補足的な保護としてデータのバックアップを作成している場合）、デスクトップが破壊された場合、または電話が盗まれた場合でも、バックアップソリューションを利用できます。
したがって、私見、それが正しく使用された場合、パスワードマネージャは少なくとも予想されるリスクの下ではSPOFではありません。 [〜＃〜] i [〜＃〜]ここではSPOFですが、一度死んでしまうと、パスワードを心配する必要はなくなります...
これについて考える別の方法を次に示します。便宜上、パスワードのみが存在します。パスワードを入力する必要がある唯一の理由は、実際には、「回復」を実行する必要がないためです。 「パスワード」ワークフロー。通常、より多くの手順が必要です（たとえば、追加の認証情報と、おそらく私の電話に送信されるワンタイムパスワードなどの帯域外認証）。
パスワードの入力がパスワード回復ワークフローを実行するのと同じくらい不便な場合、問題が発生します。この例としては、パスワードが多すぎて覚えられない場合があります。そのため、物事を簡単にするために、パスワードツールが非常に役立ちます。
パスワードデータベースが失われることを恐れないでください。ほとんどすべてのシステムで、別の方法でサインオンしてパスワードをリセットできます。