パスワードボールトとは何か、その目的は？

在宅勤務が新しい日常になりつつある現在、個人データと仕事データの安全を確保する方法について考えることが重要です。世界中でサイバー犯罪が蔓延するに伴い、ハッカーがしばしば悪用する主な資産の1つがパスワードです。私たちは皆、さまざまなアプリケーションやアカウントに対して単一のパスワードを使用すべきではないことを理解していますが、単一のパスワードの方がより便利で覚えやすいため、多くのユーザーは依然としてこのようなパスワードを使用しています。

しかし、これと同じくらい、個人システムにパスワードボールトまたはパスワードマネージャーを設定することは簡単です。こうすることで、情報漏えいのリスクを回避できます。詰まるところ、たった1つのパスワード、つまり、「マスターパスワード」を覚えるだけですみます。本記事を読んで、パスワードボールトとパスワードマネージャーに関する完全ガイドをご確認ください。

パスワードボールトとは何か

パスワードボールト（場合によってはパスワードマネージャー、パスワード保管庫、またはロッカーと呼ばれます）は、パスワード、ログイン資格情報（アプリケーションやアカウントにオンラインでアクセスするために使用する情報）、ドキュメント、イメージ、および安全なデジタルロケーション内にあるその他の機密情報などのデータ保存に使用される、暗号化されたスペースです。多くの場合、パスワードボールトには、1つのマスターパスワードが使用されています。マスターパスワードを適切に復号化できれば、ユーザーはボールト内の残りのパスワードにアクセスできるようになります。マスターパスワードは、ユーザーの個人データとユーザーの仕事データをサイバー犯罪から安全に保護することを目的として設計されています。パスワードボールトの目的は、ユーザーがさまざまなデジタルプラットフォームにわたってパスワードを複製しないようにすることにあります。

パスワードマネージャーとパスワードボールトという用語はしばしば区別なく使用されますが、大半のパスワードボールトには、その機能にすでに統合された管理ソフトウェアが含まれています。技術的には、パスワードボールトは、パスワードと機密データを分類すると同時に、効率化のために「ワンクリック」ログインを有効化するパスワードマネージャーです。パスワードボールトとは、パスワードとデータをデジタル的に保存するパスワードマネージャーソフトウェアの暗号化された部分を意味します。

多くの場合、パスワードボールトには、ユーザー向けの多数の機能が含まれます。これらは、ボールト、パスワードセキュリティセンター、管理ツールの3つのセクションに分類できます。ボールト自体は通常、（パスワードだけではなく）幅広いドキュメントとイメージを保存できます。これらには、コンピューター、モバイルデバイス、またはタブレットデバイスを介して簡単にアクセスできます。パスワードセキュリティセンターでは、高度な暗号化を用いてデータを保護します。これには、新しいパスワードの作成や古い/弱いパスワードの置換のための「パスワード生成機能」、弱いパスワードや重複パスワードを使用しているときに警告する「パスワードチェッカー」、パスワードがオンラインで漏えいしているときに警告する「漏えい検知」も含まれます。また、ユーザーが異なるWebページやアプリケーションを使用しようとするときにパスワード、アカウント詳細、アドレスを記憶する「自動入力」機能も含まれます。

パスワードボールトとパスワードマネージャーは、仕事の上でも個人的にもオンラインで安全を確保する上で極めて重要です。これらは、どのようなハードウェアを使用しているか、またはハードウェアをどこで使用しているかとは関係なく、情報の安全性を確保する上でデジタルライフに不可欠な存在です。

パスワードボールトは安全か？

世界中のサイバーセキュリティの専門家は、パスワードボールトが、パスワードと機密データを保護する上で最もシンプルで簡単な方法であり、安全であると見なされていることに、全員一致で合意しています。マスターパスワードが「強力」なパスワードである限り、機密情報がハッキングされる確率は非常に低くなります。強力なパスワードは、十分に長く（10～12文字）、特殊文字、数字、大文字、小文字の組み合わせを含んでいます。

にもかかわらず、パスワードボールトとパスワードマネージャーが依然としてハッキングされる可能性があることを理解することが重要です。ただし、パスワードはユーザー側で暗号化されてから、安全なhttpsプロトコルを介してクラウドに移動するため、パスワードは安全です。256ビットAES（Advanced Encryption Standard）などの業界標準の暗号化を解読することはほとんど不可能です。このため、ハッカーがボールト自体に「入れた」としても、ハッカーは入っている間に何でもできるわけではありません。また、大半のオンラインパスワードボールトはマスターパスワードに対するアクセス権を保存または所有していないため、「入る」ことさえ、その可能性は高くありません。

バイナリで暗号化された数字が列をなして格納されていくパスワードボールト。

パスワードボールトの仕組み

パスワードボールトとパスワードマネージャーは、資格情報を暗号化することで機能します。この際、ボールトはマスターパスワードを使用してロックされます。侵害が起こる場合、このマスターパスワードのため、ハッカーにできることは、暗号化されたコード行を盗むことのみです。現在、最も優れたパスワードマネージャーは、最新の強力な暗号化アルゴリズム256ビットAESを使用してデータを暗号化しています。2005年に世界中で採用された256ビットAESは、最新のデジタルテクノロジーによって幅広く使用されている暗号鍵です。

Advanced Encryption Standardは暗号化の仕様であり、256ビットとは、ランダムな文字列に対して「2の256乗」通りの組み合わせが使用可能であることを意味します。組み合わせの数が増えるにつれ、正しい組み合わせを総当たり攻撃するのがより困難になります。この種の暗号鍵は「秘密鍵暗号アルゴリズム」と呼ばれます。これは、「公開鍵暗号アルゴリズム」より安全であると見なされています。公開鍵暗号では、公開鍵を使用してデータを暗号化し、秘密鍵を使用して復号化します。秘密鍵の暗号化では、同じ秘密鍵を使用してデータを暗号化および復号化します。つまり、秘密鍵はデバイスから離れることがないため、デバイスの安全性が高まります。

これは、パスワードボールトの仕組みに関する理解の1つの側面です。ただし、パスワードボールトの内部的な働きの定義は、ユーザーがどのような種類のボールトを使用しているか、またはアクセスできるかによって決まります。従来、ボールトにはローカル、オンライン、トークン/USBの3種類があります。

ローカルパスワードボールト

その名前が示唆するように、ローカルパスワードボールトとローカルパスワードマネージャーは、ログイン資格情報とその他のデータを暗号化し、これらをローカルマシンに保存することで機能します。「オフライン」パスワードボールトと呼ばれることもあるように、暗号化されたデータをコンピューター、ノートPC、タブレット、またはスマートフォンに保存できます。パスワードが格納されている暗号化されたファイルは通常、パスワードマネージャープログラム自体の外部に保存されます。ユーザーがオンラインであるときにハッカーがアクセスできるのはボールトのみであるため、オフラインパスワードストレージは役に立ちます。このため、デバイスが盗まれない限り、パスワードは安全です。しかし、これは主な短所でもあります。デバイスが盗まれるか紛失した場合、ボールトもなくなります。ローカルパスワードボールトでは、デバイスの同期も難しくなります。なぜなら、同期や更新が機能するには、すべてのデバイスが同時にオンラインである必要があるからです。

オンラインパスワードボールト

オンラインまたはWebベースのパスワードボールトは、企業や個人ユーザーによって一様に最も幅広く使用されている種類のパスワードマネージャーです。この種のボールトでは、プロバイダーのサーバーによってホストされているクラウドに暗号化データが保存されます。いつでもどこからでもパスワードにアクセスできるため、この方がより便利です。このボールトは、「ゼロ知識」の原則と呼ばれるプロセスによってプロバイダーからも保護されています。つまり、パスワードボールトは、ユーザーのデータをプロバイダーのサーバーに送信する前に、デバイス上で暗号化します。このため、プロバイダーはパスワードデータにアクセスできません。多くの場合、ユーザーはボールトにアクセスするために、プロバイダーのパスワードマネージャークライアント、シンプルなブラウザー拡張機能、またはプロバイダーのWebサイト上でホストされているWebアプリケーションのいずれも使用できます。つまり、緊急時にどこからでもパスワードにアクセスできます。主な短所は、認証のために常にインターネット接続（したがって、パスワードやその他のドキュメントへのアクセス）が必要なことです。

トークン/USBパスワードボールト

「ステートレスボールトまたはステートレスマネージャー」とも呼ばれるトークン/USBパスワードボールトでは、特定のオンラインアカウントをロック解除するための鍵が含まれるUSBドライブなどのハードウェアを使用します。このシナリオにはパスワードボールトは実際には存在しません。なぜなら、ユーザーが特定のアカウントにアクセスするために新しいトークンが（外部デバイスに）作成されるからです。これは、機密にアクセスするためのすべての資格情報が別のデバイスに保存されることを意味します。つまり、その他のデバイスとの同期は必要ありません。これにマスターパスワードを追加すると、2要素認証を使用できます。大きな短所は、これらのステートレスボールトを作成するために使用するソフトウェアの多くがオープンソースであり、専門家でない場合はセットアップやトラブルシューティングが複雑であることです。

スマートフォンでパスワードボールトを使用している人

私にはパスワードボールトが必要か

私たちの生活を一変したパンデミック以降、世界中の多くの企業とその従業員は、恒久的にリモートワークに切り替え始めました。残念ながら、個人ネットワークや大手企業によって使用されているクラウドベースのサービスとしてのソフトウェア（SaaS）アプリケーションの弱点のため、サイバー攻撃の成功件数が大幅に増加しました。2021年、サイバー攻撃の平均数は約15%増加しました。このことを念頭に置きながら、仕事にPCを使用している場合は特に、自宅や職場でパスワードボールトを使用することをお勧めします。

パスワードボールトを使用すると、すべてのパスワードを追跡できるだけでなく、新しいパスワードを生成したり、古いバージョンを現在のボールトに変更（またはインポート）したりできます。また、新しいアプリケーションに対して新しいパスワードの強度が十分ではない場合は通知してくれます。調査の結果、「弱い」と分類されたパスワードは、ハッカーがごくわずかな知識または労力でほぼ瞬時に解読できることが報告されています。たとえば、総当たり攻撃を使用する場合、盗まれたユーザー名とパスワードの組み合わせがWebサイトのログインポータルに自動的に挿入されます。ユーザー名とパスワードの組み合わせが正しく一致したら、ハッカーはユーザーのアカウントと個人情報に不正にアクセスできます。あらゆるユーザーのシステム内の最大のぜい弱性の1つである、ユーザーがオンラインで作業する際の骨の折れる作業とリスクを、パスワードマネージャーがすべて引き受けてくれます。

カスペルスキーのパスワードマネージャーには、AES 256ビットの暗号化によって保護された保管庫があります（「2の256乗」通りの組み合わせが使用可能で、ハッカーがこれをロック解除するには宇宙が誕生してからの時間よりも長い時間がかかります）。また、カスタムマスターパスワードも用意されています（あなたが作成したパスワード、カスペルスキーのジェネレーターが作成したパスワード、またはモバイルデバイス上の指紋や顔IDを介して作成されたパスワードのいずれか）。カスペルスキーパスワードマネージャーのライト版ではプレミアム版の機能をすべてお使いいただけますが、保存可能なパスワードと機密文書の数は最大15のみです。

関連記事やリンク