パスワードマネージャー

朝、メールを開くと、しばらく使っていなかったサービスから「不正アクセスによる情報流出のお知らせ」が届いている。対象はメールアドレスとパスワード、場合によっては氏名や電話番号。読み進めるうちに、そのパスワードをほかのどこで使ったかを思い出そうとして、少し血の気が引く。たいていの人は、ここで手当たり次第にパスワードを変え始めると思う。 気持ちはよく分かるけれど、慌てて全部を変えようとすると、変えた先のメモが散らばったり、肝心のメールアカウントを後回しにしたり、途中で疲れて残りを放置したりしがちだ。流出への対応は、勢いよりも順番のほうが効く。まず、自分のどの情報がどこで漏れているのかを確かめる。次に、被害が広がりやすいアカウントから順に変える。最後に、パスワードが漏れても入られない仕組みを足す。 この記事では、その最初の一歩に使える「Have I Been Pwned」というサービスの読み方と、そこから先の順番を、手を動かす順に並べていく。 流出の範囲は、Have I Been Pwnedのメールアドレス検索で確かめる Have I Been Pwnedを運営するTroy Huntと、パスワード照会の仕組みを一緒に作ったJunade AliPhoto: 0036947a / CC BY-SA 4.0 Have I Been Pwned(略してHIBP)は、オーストラリアのセキュリティ研究者Troy Huntが2013年12月に始めた、流出データの照会サービスだ。きっかけは同じ年に起きたAdobeの大規模な流出で、公開当初はAdobeを含む5件の流出データから始まった。いまでは千件を超える流出が登録され、延べ150億件を超えるアカウントが調べられるようになっている。個人が使う範囲の機能は、すべて無料だ。 使い方は単純で、トップページの入力欄に自分のメールアドレスを入れて調べるだけでよい。登録されている流出の中にそのアドレスがあれば、どのサービスで、いつ漏れたのかが新しい順に並ぶ。それぞれの流出には、漏れた項目の種類も書かれている。メールアドレスだけなのか、パスワードまで含まれるのか、電話番号や住所、生年月日まであるのか。ここがいちばん大事なところで、メールアドレスだけの流出と、パスワードまで漏れた流出とでは、このあとやることの重さがまったく違う。 一覧を見るときに知っておきたい点がいくつかある。まず、出会い系や医療系のように、登録していた事実だけで本人が困るようなサービスの流出は「センシティブ」として扱われ、誰でも見られる検索結果には出ない。自分のアドレスの持ち主であることを確かめたうえで初めて表示される。次に、流出は企業のサーバーから盗まれたものだけではない。パソコンに入り込んだ情報窃取型のマルウェアが、ブラウザーに保存されたIDとパスワードを、入力先のサイトと一緒に抜き取った記録(スティーラーログ)も登録されている。これに名前が出ている場合は、どこかのサービスではなく、自分の端末そのものが感染していた可能性を考えたほうがいい。 もう一つ、届いたお知らせの対象サービスがHIBPの一覧に無いこともよくある。登録されるのは、流出データが実際に出回り、確かめられたものだけだからだ。一覧に無いからといって安心せず、お知らせに書かれた項目を自分の流出の範囲として扱う。そのうえで、一覧に出てきたほかの流出も合わせて、パスワードを変えるべき先の候補に書き出しておく。 検索の画面からは、無料の通知サービスにも登録できる。メールアドレスを登録しておくと、今後そのアドレスを含む流出が見つかったときに知らせが届く。自分のドメインでメールを運用している人なら、ドメインの持ち主であることを確かめれば、そのドメインのアドレスをまとめて調べることもできる。 パスワードそのものが出回っているかは、Pwned Passwordsで調べる パスワードの照会では、パスワードそのものも、その全体の要約値も外へ送られないPhoto: Book Catalog / CC BY 2.0 メールアドレスの検索とは別に、HIBPには「Pwned Passwords」という、パスワードそのものを調べる機能がある。これまでの流出で出回ったパスワードを集めたもので、ここに見つかったパスワードは、誰のものであれ、攻撃者が総当たりに使う一覧にすでに載っていると考えてよい。2021年からは、アメリカの連邦捜査局(FBI)が捜査の過程で見つけた、犯罪に使われていたパスワードも提供されるようになり、登録数はいまも増え続けている。 パスワードを他人のサイトに打ち込むこと自体に抵抗があるのは当然だと思う。この機能は、そこをうまく避ける作りになっている。入力したパスワードは、まず自分の端末の中でSHA-1という方式で40文字の英数字(ハッシュ値)に変換される。HIBPに送られるのは、そのうち先頭の5文字だけだ。サーバーは、先頭5文字が同じハッシュ値の残りの部分を数百件まとめて返し、どれが一致するかの照合は手元の端末で行う。サーバー側には、どのパスワードを調べたのかが分からない。この仕組みは、Cloudflareにいた写真のJunade Aliとともに作られ、いまも同社の配信網に乗って動いている。 とはいえ、ウェブページの入力欄に大事なパスワードを打つのは、気分のいいものではない。普段使いには、パスワードマネージャーに組み込まれた照会のほうが向いていると思う。1Passwordの「Watchtower」やBitwardenの報告機能は、保存しているパスワードを同じ仕組みでまとめて照会し、出回っているもの、使い回しているもの、弱いものに印を付けてくれる。Firefoxの「Mozilla Monitor」もHIBPのデータを使っている。Chromeにも、保存したパスワードの流出を調べる「パスワード チェックアップ」が組み込まれている。 結果の読み方は単純だ。見つかったパスワードは、使っている場所すべてで変える。見つからなかったからといって安全とは限らないが、少なくとも出回っている一覧には載っていない、という意味になる。 変える順番は、メール、お金、使い回した先 銀行が配っていた、6桁のコードを表示する専用の端末。お金のアカウントは、こうした追加の確認を早めに足しておきたいPhoto: Tony Webster / CC BY 2.0 範囲が分かったら、いよいよパスワードを変える。私がいちばん勧めたいのは、流出したサービスより先に、メールアカウントを変えることだ。ほとんどのサービスは、パスワードを忘れたときの再設定用リンクをメールで送ってくる。メールアカウントに入られてしまえば、攻撃者はほかのサービスのパスワードを好きなように再設定できる。逆に言えば、メールさえ守れていれば、ほかのアカウントを取り返す道は残る。流出したパスワードをメールでも使っていたなら、ここが最優先だ。 次に、お金に直結するアカウントを変える。銀行やクレジットカード、証券口座、ネット通販、スマートフォンの決済アプリ、そしてスマートフォン本体の契約やAppleやGoogleのアカウントのように、支払い手段が登録されているものだ。そのあとで、流出したサービス自体のパスワードを変える。流出の知らせが届くころには、そのサービス側でパスワードの再設定を求められていることも多い。 残るのは、同じパスワードを使い回していた先だ。流出したIDとパスワードの組み合わせは、ほかのサイトでも順番に試される。これは「パスワードリスト攻撃」と呼ばれ、使い回しが一つでも残っていれば、そこから入られる。思い出せる範囲で書き出し、仕事のアカウント、SNS、ショッピングサイト、その他の順に変えていく。もう使っていないサービスは、パスワードを変えるより退会してしまったほうが早い。 新しいパスワードは、覚えやすさより長さを優先する。アメリカ国立標準技術研究所(NIST)が2025年に改訂したパスワードの指針では、パスワードだけでログインさせる場合は15文字以上、2段階認証と組み合わせる場合でも8文字以上を求めている。記号を必ず混ぜるような決まりは求めず、代わりに流出したパスワードの一覧と照合して、載っているものは使わせないことを求めている。同じ指針は、漏れた証拠がないのに定期的な変更を強いることもやめるよう求めている。変えるのは、漏れたと分かったときでよい。 こうして考えると、長くて使い回しの無いパスワードを人間の記憶だけで管理するのは現実的ではない。今回の作業を機にパスワードマネージャーへ移しておくと、次に流出の知らせが届いたときの作業がずっと短くなる。 2段階認証とパスキーを足して、パスワードが漏れても入られないようにする 認証アプリを設定する画面の例。QRコードを読み取り、復旧用のコードを控えてから、表示された6桁で確かめるImage: Wikimedia Foundation / CC BY-SA 4.0 パスワードを変え終えたら、同じ順番で2段階認証を足していく。メール、お金のアカウント、仕事のアカウントの順だ。2段階認証を設定しておけば、パスワードが漏れていても、それだけではログインできない。流出のたびに慌てる回数そのものが減る。 確認の方法にはいくつか種類がある。SMSで届く6桁のコードは手軽だが、電話番号を乗っ取られると破られる。それより安全なのが、Google AuthenticatorやMicrosoft Authenticatorのような認証アプリだ。設定画面に出るQRコードをアプリで読み取ると、30秒ごとに変わる6桁のコードが表示されるようになる。写真の画面のように、設定の途中で復旧用のコードが表示されることが多い。スマートフォンをなくしたときにログインするための大事な控えなので、必ず印刷するか、パスワードマネージャーに保存しておく。 ...

パスワードマネージャーを替えようと思い立つきっかけは人それぞれだと思う。値上げの通知が届いた、使っていたサービスが機能を終える、家族と共有したくなった、スマートフォンとパソコンで別々のものを使うのに疲れた。理由が何であれ、乗り換えの作業そのものは一見すると単純で、古いほうで書き出して、新しいほうで取り込めば終わるように見える。 ところが、取り込みが「完了しました」と表示されたあとで、少しずつ抜け落ちに気づくことになる。二段階認証の6桁のコードが出てこない、パスキーでログインしていたサイトに入れない、メモに添付していた身分証のスキャン画像が無い、家族と共有していたフォルダーが自分だけのものになっている。どれも、乗り換え先のサービスが悪いわけではなく、書き出しに使うファイルの形式がそもそも運べるものを限っているせいで起きる。 この記事では、乗り換えのときに何が素直に移り、何が置いていかれるのかを先に整理したうえで、置いていかれるものを拾いながら進める手順を順番に見ていく。 乗り換えの共通語はCSV、運べるのはログインの基本項目まで KeePassXCの取り込み画面。CSVのほかに、各社の専用形式が並ぶ。選べるなら専用形式のほうが運べるものが多いImage: VulcanSphere / GPL パスワードマネージャー同士の引っ越しで、いちばん広く通じる形式はCSVだ。カンマで区切った表形式のテキストファイルで、どのサービスも書き出しと取り込みの両方に対応している。Google パスワード マネージャーやChromeの書き出しでは、1行に1件ずつ、サイトのURL・ユーザー名・パスワードが並ぶ。Googleに取り込むときも、ファイルの1行目にこの3つの列名があることが条件で、1回の取り込みは1ファイル3,000件までという上限もある。 運べる項目の少なさは、ほかのサービスでもあまり変わらない。KeePassの説明書きは、CSVで扱えるのはタイトル・ユーザー名・パスワード・URL・メモだけで、それ以外の項目は扱えないとはっきり書いている。各社のCSVには独自の列が足されていることもあるが、受け取る側がその列を理解できなければ、結局はメモ欄に流し込まれるか、黙って捨てられる。言い換えると、CSVは「ログイン情報の最小公約数」を運ぶための形式で、それ以上のものを運ぶ前提では作られていない。 一方で、多くのサービスは自社の専用形式も用意している。1Passwordの「1PUX」、Bitwardenや Proton Pass のJSON、KeePassのXMLなどだ。これらは項目の種類や区分けをそのまま保てる。KeePassの場合、XMLで書き出せばグループの階層や作成日時まで含めて残せる。乗り換え先がその専用形式の取り込みに対応しているなら、CSVより先にそちらを選ぶのが、置いていかれるものを減らすいちばん簡単な方法だと思う。 ただ、専用形式でも運べないものはある。そして、どの形式で書き出しても、新しいサービスの側で設定し直さなければならないものもある。次の節では、それをひとつずつ見ていく。 取り込みの後に気づく、置いていかれる5つのもの Bitwardenのデスクトップ版。ログインのほかにカード・個人情報・メモという種類があり、CSVで運べるのはログインとメモだけImage: VulcanSphere / GPLv3 一つめは、二段階認証のワンタイムコードの「種」だ。パスワードマネージャーの中には、ログイン情報と一緒に30秒ごとに変わる6桁のコードを表示できるものがある。このコードは、サイトで二段階認証を設定したときにQRコードで受け取った秘密の文字列から計算されている。BitwardenのCSVにはこの文字列を入れる列があり、1Passwordの1PUXにも含まれるが、GoogleのCSVやKeePassの標準のCSVには入る場所が無い。書き出し元か取り込み先のどちらかが対応していなければ、コードは移らない。しかも、パスワードは移ったので一見ログインできそうに見えるのが厄介で、いざログインしようとしたところで初めて6桁のコードが出せないことに気づく。 二つめはパスキーだ。パスキーは、パスワードの代わりに端末の中の鍵でログインする仕組みで、ここ2年ほどで対応するサイトが急に増えた。パスキーの中身はCSVには一切入らない。Bitwardenの場合、パスキーはJSON形式の書き出しにだけ含まれ、CSVには含まれないと案内されている。1Passwordのデスクトップ版は、パスキーを書き出せないことを説明書きで明言している。パスキーの扱いは乗り換えでいちばん状況が変わりつつある部分なので、次の節でまとめて扱う。 三つめは添付ファイルだ。パスポートや保険証のスキャン画像、ソフトウェアのライセンスファイル、暗号資産のウォレットの復元用メモなどを項目に添付している人は多いと思う。添付ファイルはCSVにはもちろん入らず、多くのサービスでは標準の書き出しにも含まれない。LastPassから移る場合も、添付ファイルは書き出しの対象外で、一件ずつ保存し直す必要がある。 四つめは、ログイン以外の種類の項目と、自分で足した項目だ。クレジットカード、住所や電話番号をまとめた個人情報、Wi-Fiの設定、ソフトウェアのライセンス番号のような項目は、CSVではまず運べない。BitwardenのCSVの書き出しも、カードと個人情報は対象外で、JSONでなければ含まれない。ログイン項目に自分で追加した「秘密の質問の答え」や「PINコード」のようなカスタム項目も、運べたとしてメモ欄の文字列にまとめられてしまうことが多い。 五つめは、区分けと共有の設定だ。フォルダーやタグ、家族や同僚と共有していた保管庫、緊急時に家族が中を見られるようにする設定などは、データというより「サービスの中の関係」なので、書き出しにはほとんど残らない。フォルダー名だけはCSVの列で運べるサービスもあるが、誰と共有していたか、誰がどこまで編集できたかは、新しいサービスで組み直すことになる。 ほかにも細かい落とし穴はある。たとえば、LastPassのCSVでは「&」や「<」のような記号が「&amp;」のような書き方に置き換わって出てくることがあり、パスワードにこれらの記号を含んでいると、取り込んだあとにそのパスワードだけ合わなくなる。また、Appleのパスワードアプリの書き出しには、家族のグループで共有しているパスワードやWi-Fiのパスワードが含まれない。書き出したファイルの件数と、元のサービスの件数を一度見比べておくと、こうした抜けに早めに気づける。 パスキーは、移すより作り直す前提で考える YubiKey 5C NFC。セキュリティキーに作ったパスキーはキーの中から出せないので、乗り換えの影響を受けないPhoto: Daniel Aleksandersen / CC BY 4.0 パスキーが乗り換えで扱いにくいのは、もともと「持ち出せないこと」が安全の前提として設計されてきたからだ。パスワードは文字列なので、紙に書いても表に並べても同じように使える。パスキーの秘密鍵は、利用者自身にも見えないまま保管庫の中で使われる。そのため、パスキーを別のサービスへ移す安全な方法は、長いあいだ用意されていなかった。 この状況を変えようとしているのが、FIDO Allianceがまとめている「Credential Exchange」という仕組みだ。パスキーやパスワードを、平文のファイルを経由せず、送り出す側と受け取る側の間で暗号化したまま受け渡すための約束事で、受け渡しの手順(CXP)とデータの書式(CXF)の二つからなる。2024年10月に最初の草案が公開され、Apple、Google、Microsoft、1Password、Bitwarden、Dashlane、NordPassなどが策定に加わっている。 利用者の手元に届いたのは2025年からだ。AppleはiOS 26とmacOS Tahoeで、この仕組みを使ったパスキーとパスワードの書き出し・取り込みに対応した。1PasswordやBitwardenのスマートフォン版も対応を進めていて、たとえば1Passwordはデスクトップ版ではパスキーを書き出せない一方、スマートフォン版からはこの仕組みでほかのサービスへ渡せる。ただし、対応しているのは今のところ主にスマートフォンの上で、送り出す側と受け取る側の両方が対応していなければ使えない。乗り換え元と乗り換え先の組み合わせによっては、まだこの方法が選べないことも多い。 そこで、乗り換えの計画を立てるときは、パスキーは「移せたら運がいい」くらいに考えておくのが現実的だと思う。移せなかったパスキーは、サイトごとに新しいサービスで作り直す。パスキーは一つのアカウントに複数登録できるので、新しいサービスで追加してから、古いほうのパスキーをサイトの設定画面で削除すればよい。この作り直しが終わるまでは、古いパスワードマネージャーを解約せずに残しておく必要がある。 もう一つ覚えておきたいのは、写真のようなセキュリティキーに作ったパスキーは、そもそもパスワードマネージャーの外にあるという点だ。キーの中の鍵は取り出せないので、乗り換えの影響を受けない代わりに、キーをなくせばそのパスキーは使えなくなる。予備のキーをもう1本登録しておくか、パスワードマネージャー側のパスキーと併用しておくと安心だ。 乗り換えの手順、古い保管庫は最後まで残す 書き出したCSVは、鍵を差したまま置いた南京錠に近い。取り込みが済んだらすぐに消すPhoto: Shillings1005 / CC BY-SA 4.0 ここまでを踏まえて、乗り換えの手順を順番に並べてみる。私は、次の順番で進めるのがいちばん抜けが少ないと考えている。 最初に、古いサービスはそのまま残し、解約や削除の予定を決めない。新しいサービスのアカウントを作ったら、マスターパスワードを決め、新しいサービス自体の二段階認証と、復旧用のコードや緊急キットを保存しておく。乗り換え先に入れなくなるのがいちばん困る事態なので、ここは書き出しより先に済ませる。 次に、書き出しの形式を選ぶ。乗り換え先が古いサービスの専用形式を読めるなら、そちらを使う。CSVしか選べない場合は、その前に、ワンタイムコードの種と添付ファイルとパスキーを持っている項目を洗い出しておく。多くのサービスには項目の絞り込みや並べ替えがあるので、「ワンタイムコードあり」「添付あり」「パスキーあり」の項目を一覧にしてメモしておくと、あとで拾い忘れずに済む。家族で使っている場合は、共有していた保管庫ごとに書き出す必要があるかどうかも確かめておく。 三つめに、取り込む。取り込み画面では、ファイルの形式と書き出し元のサービスを正しく選ぶ。Bitwardenなどは、書き出し元ごとに取り込みの方法を選べるようになっていて、同じCSVでも書き出し元の選択を間違えると列がずれる。取り込んだら、件数を古いサービスと見比べ、記号を含むパスワードの項目をいくつか開いて、正しく移っているかを確かめる。 四つめに、重複を整理する。取り込みの機能は、ふつう同じ項目がすでにあるかどうかを見ない。同じファイルを二回取り込んだり、古いサービスとブラウザの両方から取り込んだりすると、同じ項目が二つずつ並ぶ。新しいサービスに重複を探す機能があれば使い、無ければ名前で並べ替えて目で確かめる。 五つめに、ブラウザのパスワード保存を切る。ChromeやEdgeの「パスワードを保存するか尋ねる」と「自動ログイン」が有効なままだと、新しいパスワードマネージャーとブラウザが同時に保存を勧めてきて、どちらに何が入っているのか分からなくなる。パソコンとスマートフォンの両方で、使わないほうの自動入力を止めておく。 六つめに、置いていかれたものを拾う。ワンタイムコードが移らなかったサイトは、サイトの設定で二段階認証を一度解除して設定し直すか、認証アプリの追加でQRコードを読み直す。パスキーは前の節のとおり作り直す。添付ファイルは古いサービスから一件ずつ保存して、新しいサービスに添付し直す。共有と緊急時の設定も、ここで組み直す。 七つめに、書き出したファイルを消す。CSVや暗号化していないJSONは、すべてのパスワードが読める状態のただのテキストファイルだ。ダウンロードフォルダーに置いたままにしない、クラウドの同期フォルダーに入れない、メールやチャットで送らない。取り込みと確認が済んだら削除し、ごみ箱も空にする。保管しておきたいなら、Bitwardenの「パスワードで保護された」JSONのように、書き出しそのものを暗号化できる形式を選ぶ。 最後に、古いサービスを解約する。私は、新しいサービスだけで2週間から1か月ほど過ごし、ふだん使うサイトに一通りログインできたことを確かめてから解約するようにしている。その間に、古いサービスを開かなければ解決できなかった場面がなければ、乗り換えは済んだと考えてよいと思う。 ...