パスワードマネージャー

パスワードマネージャーは、パスワードを自動的に生成、自動入力、保存することで、パスワード疲れを防ぐソフトウェアプログラムです。^{[1] [2]これは、}ローカルアプリケーションまたはオンラインショップやソーシャルメディアなどのWebアプリケーションで実行できます。^[3] Webブラウザーには、パスワードマネージャーが組み込まれていることがよくあります。 パスワードマネージャーは通常、ユーザーが保存されたパスワードにアクセスするには、ロックを解除するための単一のパスワードを作成して記憶する必要があります。 パスワードマネージャーは、多要素認証を統合できます。

パスワードを安全に保存するために設計された最初のパスワード管理ソフトウェアは、ブルース・シュナイアーによって作成されたPassword Safeで、1997年9月5日に無料ユーティリティとしてリリースされました。^[4] Microsoft Windows 95用に設計されたPassword Safeは、シュナイアーのBlowfishアルゴリズムを使用してパスワードやその他の機密データを暗号化しました。Password Safeは無料ユーティリティとしてリリースされましたが、米国からの暗号化の輸出規制により、当初は米国およびカナダの市民と永住者のみがダウンロードできました。^[4]

2024 年 10 月現在、 Google Chrome^{[アップデート]}に組み込まれている Google パスワード マネージャーが最も使用されているパスワード マネージャーとなっています。^[要出典]

これらは、Chrome、Safari、Firefox、Edge などの Web ブラウザに直接組み込まれています。ブラウザが使用されているデバイス上で基本的なパスワード管理に便利にアクセスできます。ただし、デバイス間での安全な同期や強力な暗号化などの機能が欠けているものもあります。

これらは、ユーザーのデバイスにインストールされるスタンドアロン アプリケーションです。パスワードはローカルに保存されるため、強力なセキュリティが提供されますが、アクセスはその特定のデバイスに制限される場合があります。人気のあるオープン ソース オプションには、KeepassXC、KeePass、Password Safeなどがあります。

これらは、パスワードを暗号化された形式でリモート サーバーに保存し、サポートされているインターネット接続デバイスからのアクセスを許可します。通常、自動同期、安全な共有、強力な暗号化などの機能を提供します。例としては、1Password、Bitwarden、Dashlane などがあります。

これらは企業向けに設計されており、組織内のアクセス資格情報を管理します。既存のディレクトリ サービスやアクセス制御システムと統合され、多くの場合、ロールベースの権限や特権アクセス管理などの高度な機能を提供します。

これらの物理デバイス (多くの場合、USB キー) は、パスワード管理のセキュリティをさらに強化します。YubikeyやOnlyKeyなど、アカウント/データベース アクセス用の安全なトークンとして機能するものもあれば、OnlyKey のようにパスワードのオフライン ストレージを提供するものもあります。

一部のアプリケーションでは、パスワードが暗号化されていないファイルとして保存されるため、マルウェアや個人情報を盗もうとする人が簡単にパスワードにアクセスできるようになります。

一部のパスワード マネージャーでは、アプリケーションが読み取るために保存されたパスワードを暗号化するために使用されるキーを形成するために、ユーザーが選択したマスター パスワードまたはパスフレーズが必要です。このアプローチのセキュリティは、選択したパスワードの強度 (マルウェアによって推測される可能性があります) と、パスフレーズ自体が悪意のあるプログラムや個人が読み取ることができるローカルに保存されないことに依存します。マスター パスワードが侵害されると、保護されているすべてのパスワードが脆弱になる可能性があります。つまり、単一のエントリ ポイントによって機密情報の機密性が侵害される可能性があります。これは、単一障害点として知られています。

パスワード マネージャーは認証情報に強力なセキュリティを提供しますが、その有効性はユーザーのデバイスのセキュリティにかかっています。デバイスが、データの盗難に長けた Raccoon などのマルウェアに侵害された場合、パスワード マネージャーの保護は無効になる可能性があります。キーロガーなどのマルウェアは、パスワード マネージャーへのアクセスに使用されるマスター パスワードを盗み、保存されているすべての認証情報に完全にアクセスできるようにします。クリップボード スニファーは、マネージャーからコピーされた機密情報をキャプチャできます。また、マルウェアによっては、暗号化されたパスワード ボールト ファイル自体を盗むこともあります。つまり、パスワードを盗むマルウェアに感染したデバイスは、パスワード マネージャーのセキュリティ対策を回避し、保存されている認証情報を脆弱なままにすることができます。^[5]

パスワード認証技術と同様に、キーロギングや音響暗号解読は「マスターパスワード」を推測またはコピーするために使用される可能性があります。一部のパスワードマネージャは、このリスクを軽減するために仮想キーボードの使用を試みていますが、それでもキーロガー^[要出典]に対して脆弱です。キーロガーはキーストロークを取得し、機密情報にアクセスしようとしている人物にどのキーが押されたかを送信します。

クラウドベースのパスワードマネージャーは、ログイン認証情報を一元的に保存する場所を提供します。しかし、このアプローチはセキュリティ上の懸念を引き起こします。潜在的な脆弱性の 1 つは、パスワードマネージャー自体でのデータ漏洩です。このような事態が発生した場合、攻撃者は大量のユーザー認証情報にアクセスできる可能性があります。2022年に発生した LastPass に関連するセキュリティ インシデントは、このリスクの例です。^[5]

一部のパスワードマネージャーにはパスワードジェネレーターが含まれている場合があります。パスワードマネージャーが、このプログラムによって生成されるすべてのパスワードに対して「シード」をランダムに生成するという弱い方法を使用している場合、生成されたパスワードは推測可能になる可能性があります。2021年のKaspersky Password Managerの場合のように、パスワード生成方法の欠陥により予測可能なパスワードが生成された事例が記録されています。^{[6] [7]}

カーネギーメロン大学の研究者による2014年の論文によると、ブラウザはログインページのプロトコルがパスワードの保存時と異なる場合（HTTPとHTTPS）パスワードの自動入力を拒否するが、一部のパスワードマネージャーは暗号化された（HTTPS）サイトに保存されたパスワードの暗号化されていない（HTTP）バージョンのパスワードを安全でない方法で入力していた。さらに、ほとんどのマネージャーはiframeやリダイレクトベースの攻撃に対する保護が不十分で、複数のデバイス間でパスワード同期を使用すると追加のパスワードが露出する可能性がある。^[8]

さまざまな有名なウェブサイトがパスワードマネージャーをブロックしようとしたが、公に異議を唱えられるとしばしば撤回した。^{[9] [10] [11]}挙げられた理由には、自動化された攻撃からの保護、フィッシングからの保護、マルウェアのブロック、または単に互換性を拒否することなどが含まれる。IBMのTrusteerクライアントセキュリティソフトウェアには、パスワードマネージャーをブロックするための明確なオプションがある。^{[12] [13]}

このようなブロックは、情報セキュリティの専門家から、ユーザーのセキュリティを低下させると批判されている。 ^{[11] [13]}典型的なブロックの実装には、autocomplete='off'関連するパスワードウェブフォームでの設定が含まれる。そのため、このオプションは現在、Firefox 38、^[14] Chrome 34、^[15]やSafari 7.0.2以降などの暗号化されたサイトでは無視される。 ^[16]

• パスワードマネージャーのリスト
• セキュリティトークン
• スマートカード
• 暗号化