パスワードマネージャーの選び方と使いこなし方

ウェブサイトが侵害されると、盗まれたメールアドレスとパスワードの組は、たいてい最初の攻撃者の手にとどまりません。取引され、自動化ツールに投入されて、メールプロバイダー、ショップ、SNS、ゲームプラットフォームで、同じ組み合わせが試されます。この手法はクレデンシャルスタッフィングと呼ばれ、パスワードを使い回す人がいて初めて成立します。一般のアカウントが乗っ取られる、最もよくある手口のひとつです。

固有のパスワードは、その連鎖を断ち切ります。各アカウントに長くランダムな専用パスワードがあれば、あるサービスでの漏えいは、そのサービスの中にとどまります。問題は、数十ものランダムな文字列を覚えられる人はいないという点です。まさにそれが、パスワードマネージャーの役目です。

パスワードマネージャーは、ログイン情報を暗号化された保管庫に入れ、ひとつのマスターパスワードで開きます。信頼できる端末では、指紋や顔認証で開けることも多いです。新規登録やパスワード変更のときに長いランダムなパスワードを生成し、サインイン時には自動入力してくれます。

自動入力は、目立たないフィッシング対策にもなります。マネージャーは、保存したログイン情報を正確なウェブサイトのアドレスと照合するため、通常、そっくりのドメインで銀行のパスワードを提示することはありません。よく使うログインページなのに突然マネージャーが認識しなくなったら、手で入力する前にいったん止まって、アドレスを確認してください。

多くのマネージャーは、パスワードの保管以外もこなします。よくある追加機能は、バックアップコードや復旧情報のためのセキュアノート、パスキーの保管、保存したパスワードが既知の漏えいに出てきたときの通知、弱いパスワードや使い回しの警告、家族やチームとの安全な共有などです。

まずは暗号化です。エンドツーエンド暗号化、ゼロ知識設計と呼ばれることもある方式を探してください。保管庫が自分の端末上で暗号化され、提供元が中身を読めないという意味です。公開されたセキュリティ文書や独立した監査は、企業がこれを真剣に受け止めていることを示す良い目印です。

次に、自分が使うあらゆる場所、つまり使っているブラウザー、スマートフォン、パソコンで動作し、それらの間で問題なく同期できるかを確認します。保管庫自体も二要素認証に対応しているべきで、できれば認証アプリやセキュリティキーが使えるものが望ましく、盗まれたマスターパスワードだけでは開けないようにします。

最後に、入る前に出ることを考えておきましょう。優れたマネージャーは、標準的な形式でデータをエクスポートでき、囲い込まれることがありません。マスターパスワードを忘れたらどうなるかも読んでください。復旧キットや信頼できる連絡先を用意するサービスもあれば、厳格なゼロ知識設計では復旧手段がまったくないこともあり、その場合は、安全に保管した緊急用シートが欠かせません。

ブラウザーやOSには、今や高機能なパスワードマネージャーが備わっています。GoogleパスワードマネージャーはChromeとAndroidに組み込まれ、Apple製品にはiCloudキーチェーンで同期するパスワード管理機能があり、Microsoft EdgeはMicrosoftアカウントにパスワードを保存します。追加費用がかからず、すでに端末に入っていて、それぞれのエコシステムの中では自動で同期されます。

限界は、そのエコシステムです。iPhoneとWindowsパソコンを組み合わせたり、複数のブラウザーを行き来したりすると、内蔵型はどこでも快適についてくるとは限りません。Protonのようなプライバシー重視の提供元が出すものを含む単体型のマネージャーは、プラットフォームやブラウザーをまたいで動作し、たいていはより豊富な共有機能、セキュアノート、柔軟な整理機能を備えています。

どちらを選んでも、パスワードの使い回しよりはるかに良いです。毎日実際に使えるほうを選び、ログイン情報を複数のマネージャーに分散させるのは避けてください。どれが最新のコピーなのか、分からなくなりやすいからです。

マスターパスワードは、覚えておかなければならない唯一のパスワードなので、短く複雑なものではなく、長くて覚えやすいものにしましょう。関連のない複数の単語からなるパスフレーズは、入力しやすく、短い記号の羅列よりずっと推測されにくくなります。ほかでは絶対に使わないでください。

マネージャーの二要素認証は今すぐ有効にし、バックアップコードや緊急用キットは、たとえば家の安全な場所に紙で置くなど、オフラインで保管してください。マネージャーに復旧手段があるなら、締め出されてからではなく、今のうちに設定しましょう。

そのうえで、いくつかの設定を調整します。短時間操作がなければ保管庫をロックする、再起動後はマスターパスワードや生体認証を要求する、セキュリティ修正を受け取れるようアプリとブラウザー拡張機能を最新に保つ、といった設定です。

多くのマネージャーは、ブラウザーに保存したパスワードや、ほかのマネージャーからエクスポートしたパスワードを、通常はCSVファイルでインポートできます。このファイルは暗号化されていない平文のテキストなので、エクスポートしたらすぐにインポートして、削除してください。ダウンロードフォルダーやごみ箱に残ったコピーも、忘れずに消してください。

インポート後、単体型のマネージャーに移行したなら、新しいログイン情報が二か所に残らないよう、ブラウザー自身のパスワード保存をオフにします。続いてマネージャーのセキュリティレポートを開き、使い回しや弱いパスワードの修正に着手しましょう。ほかのすべてをリセットできるメールアカウントから始め、次に金融、仕事、SNSのアカウントへ進みます。

一晩ですべてを変える必要はありません。残りのパスワードは、そのサイトに次にサインインするときに更新すれば、数週間で、保管庫の大半が固有の生成パスワードになります。

メール、共有ドキュメント、注文ページで届いたログイン情報は、スクリーンショットや平文のメモではなく、マネージャーに入れるべきです。ウェブサイトのアドレス、ユーザー名、パスワードで新しいエントリーを作り、復旧用メール、バックアップコード、ほかのセットアップ情報は、エントリーのメモ欄に追加しましょう。

rStockでアカウントを購入した場合、納品された内容は、注文に紐づく納品記録として注文ページに表示されます。それをマネージャーにコピーし、そのうえでパスワードを新しく生成したものに変更し、自分の復旧オプションを設定して、二要素認証を有効にしてください。これを早めに済ませれば、納品後に取引トラブルを申し立てられる限られた期間のうちに、すべてが動作するかどうかも確認できます。こうしたアカウントは、必ずブランドの利用規約に沿って使ってください。rStockは、この記事に挙げたどのブランドとも提携していません。

アカウントを保護できたら、メモ、チャット、テキストファイルに貼り付けた余分なコピーを削除しましょう。現在のパスワードが存在する場所はマネージャーだけにすべきで、そうすれば更新も簡単で、ほかの人には見つけにくくなります。