パスワードマネージャーは、サービスごとに異なるパスワードを作成し、保管し、自動入力するための仕組みです。
使い回しを減らしたい場合は、製品名や料金より先に、保管方式、復旧手段、認証方式、対応端末を確認します。
製品の暗号化方式、監査、料金、無料プラン、保存上限は変更されるため、契約前に各製品の公式情報を確認してください。
パスワードマネージャーとは何か
パスワードマネージャーは、複数サービスのログイン情報を保管し、必要なときに呼び出すソフトウェアまたはサービスです。
主な機能は、パスワードの生成、保管、自動入力、複数端末での同期です。
サービスごとに異なるパスワードを使うと、あるサービスの認証情報が漏れた場合に、同じ組合せで別のサービスへ侵入される連鎖を抑えやすくなります。
保管方式は製品によって異なります。
サービス提供者が平文の保管内容を知らない設計を掲げる製品もありますが、暗号化の範囲、鍵の管理、復旧の条件は製品ごとに公式仕様を確認してください。
なぜ必要なのか
パスワードを使い回すと、一つのサービスで漏れた認証情報が、別のサービスへのログイン試行に使われる可能性があります。
このような自動ログイン試行は、一般にパスワードリスト攻撃と呼ばれます。
サービスごとに異なるパスワードを設定すれば連鎖の条件を減らせますが、人がすべてを暗記する運用は続けにくいものです。
パスワードマネージャーは、覚える情報を減らしながら、サービスごとのパスワードを分けるために使います。
JPCERT/CCも、パスワード管理のために信頼できる専用ツールを使い、IDとパスワードを保存する方法を案内しています。
便利な点と限界
自動生成と自動入力
パスワードマネージャーは、サービスごとに異なる文字列を生成して保管できます。
自動入力を使えば、毎回手入力する負担を減らせます。
自動入力は手入力を減らす機能ですが、端末が侵害されている場合や、偽サイトに自動入力してしまう場合まで防ぐ機能ではありません。
同期と共有
複数端末で同じ保管庫を使える製品があります。
同期の方式、共有機能、共有相手の権限、共有解除の方法は製品ごとに異なります。
家族やチームで共有する場合は、ログイン情報をメールやチャットに貼り付けず、公式の共有機能と権限を確認します。
漏えい確認と安全なメモ
漏えい確認、強度確認、セキュアメモ、ファイル添付などの機能は、製品やプランによって異なります。
機能があることだけで安全性を判断せず、何を検知し、どのデータを送信し、どの期間保存するかを公式情報で確認してください。
安全性を確認する仕組み
保管庫の暗号化
パスワードマネージャーには、保管庫を暗号化して保存すると公式に説明する製品があります。
暗号化アルゴリズム、暗号化する項目、暗号鍵の生成場所、同期時の保護範囲は製品ごとに異なります。
「暗号化している」という説明だけで、端末上の入力、表示、復旧情報まで保護されるとは限りません。
マスターパスワードと多要素認証
保管庫を開くためのマスターパスワードは、他のサービスで使わず、推測されにくい長い文字列にします。
マスターパスワードを紙に保管する場合は、保管場所を他人に見られないようにします。
パスワードマネージャー自体に多要素認証を設定できる場合は、復旧手段と一緒に確認します。
多要素認証を設定しても、端末がすでにログイン済みで侵害されている場合や、復旧手段を攻撃者に変更された場合の影響は別に確認する必要があります。
ゼロ知識を掲げる製品の確認
ゼロ知識は製品ごとに定義と対象範囲が異なるため、製品自身の公式説明で確認する用語です。
例えばBitwardenは、保管庫を暗号化し、サービス側がマスターパスワードを復元できない設計として説明しています。
これはBitwardenの公式説明であり、他の製品へそのまま適用できません。
製品が公開する暗号化の範囲、認証情報の扱い、復旧方法、監査資料を確認してください。
ブラウザ内蔵機能と専用製品
ブラウザやOSには、ログイン情報を保存して自動入力する標準機能があります。
追加の契約やアプリを増やさずに始められる一方、対応ブラウザ、同期範囲、共有、復旧、監視機能は環境によって異なります。
専用サービスは、複数ブラウザや複数OSで使う場合、保管庫の共有やセキュアメモが必要な場合に候補になります。
その代わり、マスターパスワード、契約、復旧、サービス提供者への依存が増えます。
ブラウザ内蔵機能と専用製品のどちらが上位ということではありません。
使う端末、ブラウザ、家族やチームとの共有、復旧方法を先に決めて選びます。
選定基準
保管と暗号化
- 何が端末側で暗号化されるか
- 同期中と保存中の暗号化範囲
- 暗号鍵とマスターパスワードの扱い
- 監査資料や仕様書を公開しているか
認証と復旧
- 多要素認証やセキュリティキーに対応するか
- マスターパスワードを忘れた場合の手段
- 予備端末や家族による緊急アクセスの条件
- 復旧手段を無効化、変更できるか
端末と利用方法
- 利用するOSとブラウザに対応するか
- 自動入力の対象と確認方法
- オフライン時に保管庫を使えるか
- 共有と権限管理が必要か
契約と費用
- 無料プランと有料プランの機能差
- 料金の通貨、請求周期、更新条件
- 試用期間、解約方法、解約後のデータ扱い
- 保存数、端末数、共有人数の上限
料金と条件は変更されるため、記事内の目安を購入判断に使わず、申込み画面と公式規約で確認してください。
確認できた製品の比較
次の表は、各社の公式資料で確認できた機能だけを整理したものです。
| 製品または機能 | 公式資料で確認できる内容 | 申込み前に確認する項目 |
|---|---|---|
| Google Password Manager | Googleアカウントまたは端末へのパスワードとパスキーの保存、自動入力、漏えいしたパスワードの確認を公式に案内しています | 対応端末、同期、復旧情報、保存内容、アカウントの公式設定 |
| Appleの「パスワード」 | パスワード、パスキー、確認コード、Wi-Fiパスワードの管理と、条件付きの端末間利用を公式に案内しています | Apple Account、iCloud設定、対応OS、共有、復旧方法 |
| Bitwarden | 保管庫の暗号化と、マスターパスワードをサービス側で復元できない設計を公式に説明しています | マスターパスワードを忘れた場合の条件、対応端末、料金、解約後のデータ |
製品名や料金を先に決めると、必要な復旧手段や対応端末を見落としやすくなります。
先に要件を決め、候補にした製品の公式仕様、規約、監査資料を同じ項目で確認してください。
公式資料で確認できない暗号化範囲、監査、料金、無料プラン、保存上限は、製品の特徴として断定せず、申込み画面と公式規約で確認します。
無料プランと有料プラン
無料プランでも、パスワードの生成、保管、自動入力などの基本機能を使える製品があります。
一方で、端末数、共有、漏えい確認、ファイル添付、サポート、復旧方法に制限が設けられる場合があります。
有料プランの料金だけでなく、解約後に保管庫へアクセスできるか、データを書き出せるか、共有がどう変わるかを確認します。
無料か有料かを先に決めず、必要な機能と復旧条件がそろうプランを選びます。
導入、移行、復旧の準備
- 使う端末、ブラウザ、アカウントの優先順位を決めます。
- 公式サイトや公式アプリからアカウントを作成します。
- 他のサービスで使っていないマスターパスワードを設定します。
- 多要素認証、予備端末、復旧コードなど、製品が提供する復旧手段を確認します。
- 既存のパスワードを移行します。
- ブラウザから書き出したCSVなどの一時ファイルは、移行後に削除します。
- メール、金融、決済、クラウドなど、影響の大きいアカウントから固有パスワードへ変更します。
- 移行後に、自動入力の接続先と保存内容を確認します。
インポートや自動入力の手順は、製品、OS、ブラウザによって異なります。
画面名を古い記事だけで判断せず、利用中の製品の公式ヘルプで確認してください。
保護できない問題
パスワードマネージャーは、認証情報を分けて管理する助けになります。
次の問題を単独で解決する機能ではありません。
- 端末のマルウェアによる画面、クリップボード、保管庫の窃取
- 偽サイトへのログインや自動入力
- メールやSMSで認証コードを渡す行為
- サービス側のデータ侵害そのもの
- マスターパスワードや復旧手段の漏えい
- ログイン後のセッションやCookieの盗用
- 端末の紛失、盗難、覗き見
パスワードマネージャーは、端末更新、多要素認証、フィッシング対策、復旧手段の保管と組み合わせて使います。
よくある質問
復旧条件を公式資料で確認できない製品は選べますか？
復旧条件を確認できないまま、重要なアカウントの保管先に選ぶわけにはいきません。
公式ヘルプ、規約、申込み画面で、マスターパスワードを忘れた場合、予備端末を失った場合、解約した場合の扱いを確認します。
複数端末で使わない場合も専用サービスを選ぶべきですか？
複数端末での同期や共有が不要なら、ブラウザやOSの標準機能を先に比較します。
専用サービスを選ぶのは、複数OSでの利用、共有、セキュアメモなど、標準機能だけでは足りない要件がある場合です。
参考資料
最終更新日：