某社のユーザー情報漏洩を受けてパスワードを変更した、ってSNSに書いたら、よくそんなにコロコロ変えられるね と驚かれたんだけど、いまどきパスワード管理ソフトを使うのが当たり前なのでむしろ 簡単でしょ？というのがワタシの認識です。
また、先日学生が普通のメモアプリにパスワードとIDを保存して参照していたので、驚いてアドバイスしたところです。
なので改めてパスワード管理のお話を。
ワタシが管理アプリに登録しているログイン情報は800件近く。
そのパスワードを全部覚えるのは無理！
となると、頭だけで覚えようとすると絶対に使いまわしが必要になってしまいとても不健全。
セキュリティ機関の一部は「パスワードは定期的に変えましょう」と言っていたのに、最近は「無理に変えないで」と言い始めています。
でもこれは変えなくてかまわないという意味ではありません。
多くの人がパスワードを変更する際に結局使いまわししたり、より覚えやすい簡単なワードに変えてしまうことが多く、かえって危険になってきてるからそういう言い方に変わっています。パスワードはコロコロ変える方がいいに決まってます。
でも頭で覚えきれるわけがありません。
エンド・トゥ・エンド暗号化(E2EE)アプリを
ChromeやEdgeなどのWebブラウザにパスワードを覚えさせるのは危険と思ったほうがいいでしょう。つい先日までEdgeはパスワードを暗号化せずに読み込む信じられない仕様になっていました。最初は「仕様です」と開き直ったMicrosoftでしたが、ネットで叩かれて慌てて変更しています。
こんな状態ですからパスワード管理ソフトに頼るしかありません。
パスワード管理アプリを使えばランダムなパスワードを自動生成させることも出来ますし、パスワードの文字数も128文字などの長い強固なものにしやすくなります。
そうするとそのパスワード管理ソフトの安全性・信頼性が最大のポイントになってきます。
ユーザーしか見られないEnd to Endの暗号化（E2EE）を採用しているソフトを使用する必要があります。
暗号化していても復号化する鍵を運営業者が持っていると、ユーザーだけでなく運営会社が見ることが出来てしまいます。ユーザーしか見られないE2EEを採用していることがまず一つ目のポイントです。単純に「暗号化してます」というワードに騙されないようにしましょう。
また、E2EEの暗号化がなされていてもユーザ名、サイト名、パスワードなどどの項目が暗号化されているかがアプリによって異なります。メタデータと呼ばれる部分まで暗号化されているかもポイントです。
その他のポイント
暗号化と同様に大切なのが、そのパスワードファイルがどこに保管されるかも重要です。
同期するのでクラウドに保存されますが、そのクラウドのサーバーコンピューター（ストレージ）がどこの国にあるかも重要です。現状はヨーロッパのサーバがより安全で、スイス、ドイツあたりが安全とされています。どこに保存しているかわからないサービスは避けたほうがいいでしょう。
また、一つのOSしか使わない人は現在ほとんどいないと思います。
使用する管理アプリがiOS、Windows、macOS、Androidなど、複数のOSで使えるかもポイントですね。
そして、スマホの各アプリで自動入力が出来たり、パソコンではブラウザにプラグインなどをインストールして自動入力させられるかもポイント。
おすすめは
ではおすすめは？と言われると以下になります。といっても結局はProton Passになるんですが・・・
Apple パスワードアプリ（※条件あり）
Apple社のmacOS、iOS、iPad OSにはAppleのパスワード管理アプリが標準で組み込まれています。キーチェーンアプリと統合させる方向で今後は通常のパスワード管理はパスワードアプリになっていきます。
Appleのパスワードアプリは標準で暗号化はされますが鍵をAppleが持っている状態でE2EEではありません。これではいけません。
Appleのパスワードアプリを使うならiCloudの「高度なデータ保護」機能をオンにする必要があります。デフォルトではオフになっています。
「高度なデータ保護」機能をオンにすることでパスワードだけでなく、iCloudに保管される連絡先、写真、ドライブ、メモなどがE2EE暗号化になります（ただしメールやカレンダーはE2EEにはなりません）。
なのでAppleのパスワードアプリを使うなら「高度なデータ保護」機能をオンにすることが絶対条件です。「高度なデータ保護」機能をオンにする際に暗号化の鍵（キー）が発行されるので、それを絶対に無くさないようにしてください。それを無くすとトラブルの際にAppleですら復旧できなくなります。ですので設定するときは自宅で落ち着いて作業しましょう。
iCloudの設定にある「高度なデータ保護」をオンに。でも保護対象アカウントはオンにできません。また、iPhoneでも設定できますが、キーの保管が必要なのでMacで落ち着いて作業することをおすすめ。
ただし、「高度なデータ保護」機能はファミリーとして管理対象になっている未成年のアカウントではオンにすることが出来ません。学生などはまだまだ管理対象になっている人も多いので使うことが出来ないのです。管理対象から外してもらってオンにすることも出来ますが、身の安全のことも考えると推奨できないので、パスワードは別のアプリで管理することをおすすめします。
もう一つの問題は、Apple製品しか使わない、Appleのエコシステムの中でしか暮らさないという人にはAppleのパスワードアプリで構いませんが、WindowsやAndroidも使うかもしれないという人は避けるべきです。あくまでもAppleエコシステムの中で便利なアプリです。
Proton Pass
最もおすすめできるのはこれまでに何度も紹介しているProton Passです。イチオシですし、ワタシも使っています。
データはメタデータを含めてE2EEの暗号化。データはスイスのサーバに保管され（今後は一部ドイツなどにも置く予定とか）、Apple製品、Windows、Android、Linuxの各OSで使用でき、主要なブラウザにはプラグインのインストールで自動入力も可能です。
基本は無料でも使うことができます。
パスキーも保存できますので、端末に依存せず、どの端末でも同じパスキーが使えます。
有料プランであれば2FAの1タイムパスワード（6桁の数字）も発行させることが出来ますし、無料プランのままなら2FAの数字は別アプリのProton Authenticatorアプリを併用することで発行できます。Proton Authenticatorも2FAのキーも複数のスマホで同期できます。
現在 他のパスワード管理アプリを使っていても、簡単にデータを移行できる機能が用意されています。
以下のADリンクからアカウントの作成ができます。
最初だけ英語で表示されますが「Create a free account」をクリックすると日本語で説明が出てきます。
Bitwarden
以前ワタシも使っていましたが、現在は使用していません。
こちらもE2EEで暗号化されて保存されますが、メタデータは完全にはE2EEの暗号化とはなりません。Proton Passの方が安全性は上です。
Proton Passと同様に複数のOSに対応しており、プラグインでブラウザの自動入力も可能です。
有料プランであれば2FAのデータも保存でき、無料のまま使うならBitwarden Authenticatorという別アプリを併用することで無料で同期させながら2FAも利用できます。このあたりはProton Passと同様です。
Bitwardenを使うなら、アカウント作成時にリージョン（データを置く国、サーバーの場所）を選ぶ必要があります。特に選ばずにアカウントを作成した、という方はアメリカにサーバを置く.comドメインになっているはずです。最近はアメリカの情報機関などがユーザーの情報を好き勝手に見ているようですのであまりおすすめできません。まぁ、犯罪を犯すわけでも無ければこだわらなくても、と思うかもしれませんが、プライバシー的には不安要素です。
ですのでBitwardenを使うなら最初に「.eu」のEUにデータを置くリージョンを選んでアカウントを作成しましょう。GDPRなどプライバシー保護に関してはアメリカよりも厳しいので圧倒的におすすめです。
Bitwardenを使うならデータを置くサーバーはEUを選びましょう！
すでに.comで利用している方は一度データを書き出して、別途EUリージョンでアカウントを作成して読み込ませれば移行できます。移行後は.comのデータは削除。ただどうせそこまで手間をかけるならProton Passに乗り換えることをおすすめします。
1Password
これもだいぶ前にワタシも使っていたものですが現在は使用していません。
当初無料でも使えていましたが、その後同期できる端末台数に制限ができ、現在は有料プランのみとなっています。どんどん条件が悪くなってきたので、現在ワタシはまったく使わなくなっています。
基本はE2EEで暗号化されますがメタデータは暗号化されません。やはりProton Passの方が上です。
有料プランのみなのでこちらも2FAやパスキーも保存できます。
でも有料プランしかありませんので、これから使うならやはりProton Passの方がおすすめです。
といったところが日本ではメジャーなところでしょうか。
少なくともブラウザのパスワード保管機能は使用を避け（ブラウザのソフト設定で機能をオフにできます）、AndroidやWindowsでも標準のパスワード保管機能は避けましょう。
何よりも、平文で保存される一般のメモアプリやワープロソフト、表計算ソフトなどにパスワードを入れておくのは絶対に避けましょう！
コメント