パスワードマネージャーは本当に安全？その仕組みと安全なサービスの選び方

パスワードマネージャーを使う目的は、有料・無料、オープンソースか独自開発かを問わず、パスワードを安全に保管・管理することにあります。

しかし、数十個ものパスワードを管理するうえで大きな利便性を発揮してくれる一方で、パスワードマネージャー自体は本当に安全に使えるのでしょうか？

なぜパスワードマネージャーが必要なのか？

パスワードはインターネット利用に欠かせない存在です。10年前なら覚えるべきパスワードはほんの数個で済みましたが、現在では平均的なユーザーが約100個のパスワードを持っていると言われています。パスワードを使い回したり、紙に書き留めたりしない限り、すべてを記憶しておくのは事実上不可能です。

パスワードマネージャーとは、パスワードを安全に保存・管理するためのソフトウェアです。単にセキュアな形で記録しておくだけのものもあれば、強固なパスワードを自動生成し、アプリやウェブページへのログインを自動入力してくれるものもあります。

パスワードマネージャーには多くのメリットがありますが、最大のポイントは利便性とオンラインセキュリティの両立です。オンライン上のデータのほとんどは暗号化によって保護されているため、パスワードはできる限り強固なものである必要があります。特に、二要素認証（2FA）をほとんどのサイトやアプリで設定していない場合、パスワードが唯一の防御線となるためなおさらです。

パスワードマネージャーはパスワードをどう守るのか

パスワードマネージャーには主に2種類あります。1つはデバイスベース型で、ログイン情報をデバイス内に直接保存します。もう1つはウェブベース型で、パスワードを企業のサーバー上に保管し、複数のデバイス間でデータを同期できるタイプです。

どちらの場合でも、暗号化されたログイン情報にアクセスする唯一の方法はマスターパスワードの使用です。ただし、ウェブベース型を選ぶ場合は、パスワードを暗号化されていない状態でサーバーに保存しないサービスを選ぶことが重要です。

たとえば、LastPassというパスワードマネージャーは「ゼロナレッジポリシー」を採用し、エンドツーエンド暗号化によってパスワードを保護しています。LastPassでは、パスワードはデバイスから送信される前に暗号化され、復号はユーザーのデバイス上でのみ行われます。

この仕組みにより、悪意あるハッカーだけでなく企業の従業員でさえパスワードへのアクセスが極めて困難になり、最高レベルのプライバシーとセキュリティが実現されます。

さらに、パスワードマネージャーは、オンラインセキュリティにおいて最も重要な習慣である「定期的なパスワード変更」を、かつてないほど実行しやすくしてくれます。すべてのパスワードを自分で覚えておく必要がないため、3ヶ月ごとなどのサイクルで計画的にまとめて変更できます。

パスワードマネージャーアプリは安全なのか？

無料のパスワードマネージャーサービスを利用しようと考えているなら、まず「その企業を信頼できるか」という点が最も重要です。企業は利益を得る必要があり、利用料金以外の方法で収益を上げている可能性があるからです。

たとえばLastPassは無料プランを提供しています。無制限のパスワード保存、自動保存・自動入力、パスワードジェネレーター、2FAが利用可能です。しかし、無料サービスとしては良すぎる話ではないのでしょうか？

当然ながら、無料アカウントは有料アカウントと同じメリットを享受できません。LastPassの場合、サポート体制とサーバーのダウンタイムについて考慮する必要があります。

パスワードはLastPassの企業サーバーに保存され、デバイスのローカルには保存されないため、サーバーがダウンすると一時的にログイン情報へアクセスできなくなる可能性があります。また、無料アカウントには基本サポート機能しか含まれておらず、緊急時にパスワードを復旧するのが難しくなることもあります。

それでも、LastPassはパスワード管理を任せる企業としては最も安全な部類に入ります。ただし、「セキュリティ」と「プライバシー」はイコールではありません。LastPassを運営するのはLogMeIn社で、同社はユーザーのセキュリティを重視していますが、プライバシーについてはそうとは言い切れない面があります。

LogMeInのプライバシーポリシーによれば、個人情報や個人を特定できるあらゆるデータは厳密に非公開として扱われることになっています。

しかし、行動データについては話が別です。同社はユーザーのIPアドレスから、LastPass上で最もよく使われるサイト、ハードウェアのスペック、位置情報、言語設定に至るまで幅広いデータを記録しています。これらはユーザー分析やカスタマイズされた広告配信のために、系列の第三者企業と共有されます。

企業によって方針はさまざまです。無料・有料を問わずパスワードマネージャーのアカウントを作成する前に、必ず企業のプライバシーポリシーと、過去のセキュリティ脆弱性・インシデントの記録を確認しましょう。万能な正解はありませんが、自分のパスワードとデータを預ける企業が自分と同じ価値観を持っているかどうかは確認できます。

パスワードマネージャーが安全かどうかを見分ける方法

他のアプリやソフトウェアと同様に、パスワードマネージャーの安全性は、それを運営する企業とユーザーへの配慮の度合いに左右されます。パスワードマネージャーを選ぶ前に、自分自身に次の質問をしてみましょう。

他の人にパスワードを見られる可能性はあるか？

プライバシーとセキュリティの両面から、ゼロナレッジポリシーを採用し、エンドツーエンド暗号化を使用しているパスワードマネージャーを選びましょう。これにより、データは使用時のみ復号され、保存中や転送中は常に暗号化された状態が保たれます。

データはローカルか、企業サーバーか？

一部のパスワードマネージャーは、パスワードをデバイスのローカルにのみ保存します。この方式はデバイス間の同期が不便になるだけでなく、セキュリティを維持する責任も自分自身に委ねられることを意味します。ただし、企業サーバーと比べると攻撃の標的になりにくいという利点もあります。

セキュリティ記録は十分にクリーンか？

長い歴史を持つテック企業であれば、少なくとも一度はセキュリティインシデントやデータ漏洩を経験しているものです。

特定のパスワードマネージャーに登録する前に、その企業について簡単に検索してみましょう。最新のセキュリティインシデントや脆弱性を調べ、発生頻度が高すぎたり被害が深刻だったりする場合は、別のサービスを選んだほうが賢明です。

二要素認証（2FA）に対応しているか？

パスワードマネージャーはすべてのパスワードを一箇所に集約します。だからこそ、マスターパスワードに加えて第二の防御線を設けることが重要です。2FA技術はすでに広く普及しており、ほとんどのアプリで有効化できます。

もしパスワードマネージャーが2FAに対応していないなら、ユーザーデータのセキュリティに対する本気度が低いのかもしれません。

パスワードマネージャーアプリのセキュリティはどの程度か

パスワードマネージャーは何も使わない場合より確実に安全ですが、その安全性が自分の基準に達しているかどうかを判断できるのは本人だけです。

ただ、すべてのパスワードマネージャーが同等に安全だとは言えないのは確かです。各サービスは価格、利便性、セキュリティなど、それぞれ異なる要素に優先順位を置いています。まず自分自身が何を重視したいのかを明確にしておくことが、後悔しない選択につながります。