# 保存したパスワードはどこにあり、ほかに誰が開けるのか > 一度でも「パスワードを保存」を押したなら、あなたはすでにパスワードマネージャーを使っている。面白い問いはパスワードがどこにあるかではなく、それを開くのに何が必要かだ。そしてそこでは Chrome と Safari と Firefox はまったく似ていない。 2026-08-30 · David Carrero · password.es Original: https://password.es/ja/blog/hozon-shita-password-wa-doko-ni-aru/ --- 画面の下に出てくるあの小さな窓で一度でも「パスワードを保存」を押したことがあるな ら、あなたはすでにパスワードマネージャーを使っている。**誰にも教わらず、自分で選 んだわけでもないのに、持っている。** おそらく百件ほど入った状態で。 パスワードについて最も繰り返される問いが「良いものをどう作るか」ではなく「自分の ものはどこにあるか」である理由は、これで説明がつく。人々はセキュリティの手引きを 探しているのではない。存在すると知っているのに見つけられない一覧を探しているのだ。 一覧は存在する。だが、それがどこに保存されているかは、ほとんど誰も尋ねない次の問 いの答えに比べれば、はるかに重要ではない。**それを開くには何が必要なのか。** ## 何を使っているかによる保存場所 **Chrome** では Google のパスワードマネージャーの中にある。二か所に同時に存在す る。パソコンの中の複製と、Google アカウントの中の複製が同期されている。 `passwords.google.com` か、ブラウザーの設定から見られる。 **Safari、iPhone、Mac** では iCloud キーチェーンの中にある。最近は専用のアプリ、 「パスワード」もできた。考え方は同じで、端末の中と Apple アカウントの中だ。 **Firefox** ではプロファイル内の二つのファイルにある。名前は知っておく価値があ る。暗号化された利用者名とパスワードが入った `logins.json` と、それを復号する鍵が 入った `key4.db` だ。Mozilla はまさにその名前で、そのように文書化している。 **Edge** では Microsoft アカウントの中に、Chrome と同じ仕組みで。**Android** で は、たとえ端末の設定から開いたとしても、Chrome が使うのと同じ Google のマネージ ャーだ。 ここまでが、あなたが探していた答えだ。ここから先が、何かを変える部分になる。 ## 三つのモデルと、それが等価でない理由 三つとも「あなたのパスワードは暗号化されています」と言う。三つとも本当で、しかも どれ一つとして同じ意味ではない。変わるのは**鍵を誰が持っているか**だからだ。 **Apple のキーチェーンは端から端まで暗号化されている。** それを開く鍵を Apple は 知らない。鍵はあなたの信頼済みの端末の中にしか存在しない。Apple はこれをセキュリ ティ文書で公開しており、ありがたい細部を一つ添えている。システムは試行回数を制限 する。自社のインフラの内側からでさえ、力ずくで試せないようにするためだ。有効にす るものは何もない。すでにそうなっている。 **Google ではその方式は存在するが、任意だ。** 既定では、あなたのパスワードは暗号 化されて送られ、暗号化されて保存される。ただし鍵を管理するのは Google だ。これは 変えられる。*同期パスフレーズ*、あるいは入り口によっては端末内暗号化を設定すれ ば、鍵はあなたの手の中だけに残る。実務上の差は非常に大きいのに、ほとんどの人は一 度も有効にしていない。そんなものがあると誰も説明しなかったからだ。代償があり、そ れは丸ごと言わねばならない。**そのパスフレーズを忘れたら、保存したパスワードは誰 にも取り戻せない。** それこそが「あなただけ」という言葉の意味だ。 **Firefox では、プライマリパスワードがなければ、暗号化はあなたのファイルを持つ者 から守ってくれない。** これはこの記事で最も居心地の悪い部分であり、そう言っている のは私たちではなく Mozilla だ。プライマリパスワードを設定していなければ、プロファ イルから `logins.json` と `key4.db` を複製した者は誰でも、あなたの資格情報を読め る。二つのファイルは一緒に旅をする。片方が錠前を、もう片方が鍵を運ぶ。プライマリ パスワードを設定することが、その鍵を暗号化し、対を断ち切る。 ## 現実の筋書きは映画ではない パスワードを盗まれる場面を想像するとき、人はサーバーを攻撃する誰かを思い浮かべ る。実際に起きる二つの場面は、もっとずっと家庭的だ。 一つ目は、**ロックが外れたあなたのパソコンに触れる誰か**。技術は何もいらない。一 覧はブラウザーの設定の二クリック先にあり、平文で表示するために OS のパスワードを 求められたとしても、そのパスワードは同居している人や、あなたが打つのを見た人が知 っている。 二つ目は、**ブラウザーのプロファイルを複製するプログラム**。何もこじ開けない。フ ァイルを持ち去り、別の場所でゆっくり開くだけだ。この種のソフトは業界で固有の名を 持つほど一般的で、*インフォスティーラー* と呼ばれる。「でも暗号化されているはず」 という言葉が、常にその次の問いを必要とする理由はまさにこれだ。暗号化されている、 結構——では鍵はどこにある。 この二つ目に対して、Apple のモデルは持ちこたえる。Google のものはパスフレーズを有 効にしていれば持ちこたえる。プライマリパスワードのない Firefox は、何も持ちこたえ ない。 ## 効果の大きい順にすべきこと **一つ。** Firefox を使っているなら、プライマリパスワードを設定する。プライバシー 設定のチェックボックス一つで、この一覧の中では、労力あたりの防御力が群を抜いて高 い変更だ。 **二つ。** Chrome や Android を使っているなら、Google のマネージャーに入り、端末 内暗号化か同期パスフレーズを有効にする。有効にする前に物理的な場所へ書き留め、自 分が何に署名しているかを理解すること。その瞬間から、その語句が唯一の扉になる。 **三つ。** すべてを預けている側のアカウントのパスワードを見る。Google アカウント、 Apple ID、Microsoft アカウントは、あなたがそこにパスワードを保存し始めた瞬間に 「もう一つのアカウント」ではなくなった。今やそれが残り全部の鍵だ。そのパスワード を八年前に自分で考えたのなら、[チェッカー](/ja/checker/)に通して何と出るか見てほ しい。その気になったら[ジェネレーター](/ja/)のものに替えればいい。 **四つ。** そのアカウントで二要素を有効にする。「パスワードは知られている」を「そ れでも入れない」に変える一手だ。 ## これで十分か、本物のマネージャーが要るのか 何のためかによる。そしてここでの正直な答えは、物を売る答えではない。 ほとんどの人にとって、暗号化をきちんと設定したブラウザーのマネージャーで**十分** だ。そして現実の代替案よりはるかに良い。その代替案とはより優れたマネージャーでは なく、四十のサイトで使い回された同じパスワードのことだ。 専用のマネージャーが勝つのは、ブラウザーのものが不得意な、あるいはできないことが 出てきたときだ。二つのブラウザーを正気を保ったまま使い分ける。パスワードを WhatsApp で送らずに家族と共有する。パスワード以外のものを保管する。全部を失わずに 一つの生態系から出る。秘密を預ける相手のコードを検証できる。それについては別の記 事で書いた。要点は、大きな飛躍はマネージャー同士のあいだにはなく、「持っていない」 から「何かしら持っている」への一歩にあるということだ。 ## 本当に探していたもの あなたが探していたのは一覧だ。使っているものに応じて、`passwords.google.com` か、 iPhone の「パスワード」アプリか、ブラウザーの設定の中にある。 だがせっかく開いたのなら、もう一つだけ見てほしい。**その一覧の中で同じパスワード が何回繰り返されているか。** 三つのマネージャーはどれも、尋ねれば教えてくれる。そ の数字は、暗号化について読めるどんな文章よりも——この記事も含めて——あなたの本当の 状況をよく説明する。 --- *出典：iCloud キーチェーンに関する Apple のセキュリティ文書（Apple が知らない鍵に よる端から端までの暗号化と、試行回数の制限）・同期、同期パスフレーズ、端末内暗号 化に関する Google Chrome のヘルプ・Firefox がパスワードを保存する方法 （`logins.json` と `key4.db`）およびプライマリパスワードに関する Mozilla の文書。*