パスワードマネージャー

自宅、ロッカー、車など、場所ごとに鍵の形が違えば、すべてを持ち歩くだけでポケットがパンパンになってしまいます。かといって、すべての鍵を1本で開くように揃えてしまうと、その鍵を1本紛失しただけで全部の扉が開けられてしまうという恐ろしい事態を招きます。

インターネットの世界でもまったく同じことが起きています。覚えるのが面倒だからと、どのサイトでも同じパスワードを使い回したり、簡単な単語を組み合わせたりしがちです。しかし、どこか1つのサイトから情報が漏洩すると、攻撃者はそのパスワードを使って他のあらゆるサービスへのログインを試みるクレデンシャルスタッフィング（アカウント乗っ取り攻撃）を仕掛けてきます。

パスワードマネージャーは、この厄介な悩みをきれいに解決してくれます。サイトごとに人間には覚えられないようなランダムで強固なパスワードを生成して安全に保管し、ログイン時には自動で入力欄を埋めてくれます。ユーザーが覚えておく必要があるのは、この金庫を開けるためのたった1つのマスターパスワードだけです。

パスワードマネージャーは、保存されたすべての情報を強力な暗号化技術で厳重に保護します。この金庫は、ユーザー自身が入力するマスターパスワードでのみ解除できる、数学的な錠前で頑丈にロックされています。

さらに正確に言えば、ゼロ知識アーキテクチャを採用しているサービスなら、運営会社ですら保管庫の中に何が入っているかを覗き見ることはできません。これをゼロ知識（Zero-Knowledge）設計と呼びます。データがサーバーに送信される前に、手元のスマートフォンやパソコンの中で先に暗号化されるためです。

仮にハッカーが管理会社のサーバーを丸ごと攻撃してデータを盗み出しても、手に入るのは意味不明な暗号の羅列に過ぎません。ただし、サービスによってはサイトのURLなど一部の情報が暗号化されていない場合もあります。また、ハッカーは盗み出した金庫に対して時間無制限でパスワードの総当たりを試せるため、マスターパスワードが十分に長くて強固でなければ、現実的な時間内に解読されてしまう恐れがあります。

パスワードマネージャーを使う上で最も重要な鉄則は、マスターパスワードを絶対に忘れないことです。運営会社であってもパスワードを再発行したり教えてくれたりすることはできません。万一に備えて、リカバリーコードや緊急アクセスなどの復旧手段が用意されている場合は必ず事前に設定しておきましょう。復旧手段がない状態でマスターパスワードを忘れてしまうと、金庫を二度と開けられなくなる可能性があります。

そのため、マスターパスワードは「自分には覚えやすく、他人には推測されにくい長いフレーズ」にするのが理想的です。例えば、脈絡のない複数の単語を組み合わせたフレーズ（パスフレーズ）にすると、強力な盾になります。なお、有名な歌の歌詞やことわざなどはハッカーの攻撃リストに入っている可能性があるため避けたほうが安全です。

さらに、認証アプリのワンタイムパスワードやセキュリティキーを用いた2要素認証（2FA）を設定しておけば、金庫のセキュリティは一段と強固になります。なお、スマートフォンの指紋認証などは、端末内でマスターパスワードの入力を代行してくれる便利なロック解除機能です。また、パスワードマネージャーはドメイン（WebサイトのURL）を厳密に識別するため、偽物のフィッシングサイトではIDやパスワードを自動入力しません。つまり、フィッシング詐欺の見破りにも役立つのです。自動入力されないときは、開いているサイトが偽物である警告かもしれません。