画面の下に出てくるあの小さな窓で一度でも「パスワードを保存」を押したことがあるな ら、あなたはすでにパスワードマネージャーを使っている。誰にも教わらず、自分で選 んだわけでもないのに、持っている。 おそらく百件ほど入った状態で。
パスワードについて最も繰り返される問いが「良いものをどう作るか」ではなく「自分の ものはどこにあるか」である理由は、これで説明がつく。人々はセキュリティの手引きを 探しているのではない。存在すると知っているのに見つけられない一覧を探しているのだ。
一覧は存在する。だが、それがどこに保存されているかは、ほとんど誰も尋ねない次の問 いの答えに比べれば、はるかに重要ではない。それを開くには何が必要なのか。
何を使っているかによる保存場所
Chrome では Google のパスワードマネージャーの中にある。二か所に同時に存在す
る。パソコンの中の複製と、Google アカウントの中の複製が同期されている。
passwords.google.com か、ブラウザーの設定から見られる。
Safari、iPhone、Mac では iCloud キーチェーンの中にある。最近は専用のアプリ、 「パスワード」もできた。考え方は同じで、端末の中と Apple アカウントの中だ。
Firefox ではプロファイル内の二つのファイルにある。名前は知っておく価値があ
る。暗号化された利用者名とパスワードが入った logins.json と、それを復号する鍵が
入った key4.db だ。Mozilla はまさにその名前で、そのように文書化している。
Edge では Microsoft アカウントの中に、Chrome と同じ仕組みで。Android で は、たとえ端末の設定から開いたとしても、Chrome が使うのと同じ Google のマネージ ャーだ。
ここまでが、あなたが探していた答えだ。ここから先が、何かを変える部分になる。
三つのモデルと、それが等価でない理由
三つとも「あなたのパスワードは暗号化されています」と言う。三つとも本当で、しかも どれ一つとして同じ意味ではない。変わるのは鍵を誰が持っているかだからだ。
Apple のキーチェーンは端から端まで暗号化されている。 それを開く鍵を Apple は 知らない。鍵はあなたの信頼済みの端末の中にしか存在しない。Apple はこれをセキュリ ティ文書で公開しており、ありがたい細部を一つ添えている。システムは試行回数を制限 する。自社のインフラの内側からでさえ、力ずくで試せないようにするためだ。有効にす るものは何もない。すでにそうなっている。
Google ではその方式は存在するが、任意だ。 既定では、あなたのパスワードは暗号 化されて送られ、暗号化されて保存される。ただし鍵を管理するのは Google だ。これは 変えられる。同期パスフレーズ、あるいは入り口によっては端末内暗号化を設定すれ ば、鍵はあなたの手の中だけに残る。実務上の差は非常に大きいのに、ほとんどの人は一 度も有効にしていない。そんなものがあると誰も説明しなかったからだ。代償があり、そ れは丸ごと言わねばならない。そのパスフレーズを忘れたら、保存したパスワードは誰 にも取り戻せない。 それこそが「あなただけ」という言葉の意味だ。
Firefox では、プライマリパスワードがなければ、暗号化はあなたのファイルを持つ者
から守ってくれない。 これはこの記事で最も居心地の悪い部分であり、そう言っている
のは私たちではなく Mozilla だ。プライマリパスワードを設定していなければ、プロファ
イルから logins.json と key4.db を複製した者は誰でも、あなたの資格情報を読め
る。二つのファイルは一緒に旅をする。片方が錠前を、もう片方が鍵を運ぶ。プライマリ
パスワードを設定することが、その鍵を暗号化し、対を断ち切る。
現実の筋書きは映画ではない
パスワードを盗まれる場面を想像するとき、人はサーバーを攻撃する誰かを思い浮かべ る。実際に起きる二つの場面は、もっとずっと家庭的だ。
一つ目は、ロックが外れたあなたのパソコンに触れる誰か。技術は何もいらない。一 覧はブラウザーの設定の二クリック先にあり、平文で表示するために OS のパスワードを 求められたとしても、そのパスワードは同居している人や、あなたが打つのを見た人が知 っている。
二つ目は、ブラウザーのプロファイルを複製するプログラム。何もこじ開けない。フ ァイルを持ち去り、別の場所でゆっくり開くだけだ。この種のソフトは業界で固有の名を 持つほど一般的で、インフォスティーラー と呼ばれる。「でも暗号化されているはず」 という言葉が、常にその次の問いを必要とする理由はまさにこれだ。暗号化されている、 結構——では鍵はどこにある。
この二つ目に対して、Apple のモデルは持ちこたえる。Google のものはパスフレーズを有 効にしていれば持ちこたえる。プライマリパスワードのない Firefox は、何も持ちこたえ ない。
効果の大きい順にすべきこと
一つ。 Firefox を使っているなら、プライマリパスワードを設定する。プライバシー 設定のチェックボックス一つで、この一覧の中では、労力あたりの防御力が群を抜いて高 い変更だ。
二つ。 Chrome や Android を使っているなら、Google のマネージャーに入り、端末 内暗号化か同期パスフレーズを有効にする。有効にする前に物理的な場所へ書き留め、自 分が何に署名しているかを理解すること。その瞬間から、その語句が唯一の扉になる。
三つ。 すべてを預けている側のアカウントのパスワードを見る。Google アカウント、 Apple ID、Microsoft アカウントは、あなたがそこにパスワードを保存し始めた瞬間に 「もう一つのアカウント」ではなくなった。今やそれが残り全部の鍵だ。そのパスワード を八年前に自分で考えたのなら、チェッカーに通して何と出るか見てほ しい。その気になったらジェネレーターのものに替えればいい。
四つ。 そのアカウントで二要素を有効にする。「パスワードは知られている」を「そ れでも入れない」に変える一手だ。
これで十分か、本物のマネージャーが要るのか
何のためかによる。そしてここでの正直な答えは、物を売る答えではない。
ほとんどの人にとって、暗号化をきちんと設定したブラウザーのマネージャーで十分 だ。そして現実の代替案よりはるかに良い。その代替案とはより優れたマネージャーでは なく、四十のサイトで使い回された同じパスワードのことだ。
専用のマネージャーが勝つのは、ブラウザーのものが不得意な、あるいはできないことが 出てきたときだ。二つのブラウザーを正気を保ったまま使い分ける。パスワードを WhatsApp で送らずに家族と共有する。パスワード以外のものを保管する。全部を失わずに 一つの生態系から出る。秘密を預ける相手のコードを検証できる。それについては別の記 事で書いた。要点は、大きな飛躍はマネージャー同士のあいだにはなく、「持っていない」 から「何かしら持っている」への一歩にあるということだ。
本当に探していたもの
あなたが探していたのは一覧だ。使っているものに応じて、passwords.google.com か、
iPhone の「パスワード」アプリか、ブラウザーの設定の中にある。
だがせっかく開いたのなら、もう一つだけ見てほしい。その一覧の中で同じパスワード が何回繰り返されているか。 三つのマネージャーはどれも、尋ねれば教えてくれる。そ の数字は、暗号化について読めるどんな文章よりも——この記事も含めて——あなたの本当の 状況をよく説明する。
出典：iCloud キーチェーンに関する Apple のセキュリティ文書（Apple が知らない鍵に
よる端から端までの暗号化と、試行回数の制限）・同期、同期パスフレーズ、端末内暗号
化に関する Google Chrome のヘルプ・Firefox がパスワードを保存する方法
（logins.json と key4.db）およびプライマリパスワードに関する Mozilla の文書。
写真: Ron Lach · Pexels