パスワードを覚えるのは人間の仕事ではない

セキュリティの専門家は「すべてのサービスで異なる、長くて複雑なパスワードを使え」と言います。しかし、平均的なインターネットユーザーが利用するサービスは非常に多く、それぞれに異なる 16 文字以上のランダムパスワードを記憶するのは現実的ではありません。同じパスワードを使い回すと、1 つのサービスから漏洩した認証情報で他のサービスに不正ログインされるクレデンシャルスタッフィング攻撃の標的になります。

パスワードマネージャーは、この「覚えられない問題」を技術で解決するツールです。仕組みを理解すれば、なぜセキュリティ専門家がパスワードマネージャーの使用を強く推奨するのかが分かります。

パスワードマネージャーの基本的な仕組み

パスワードマネージャーの核心は「1 つのマスターパスワードで、すべてのパスワードを暗号化して保管する」というシンプルな設計です。

  1. マスターパスワードの入力: ユーザーが覚えるのはこの 1 つだけ
  2. 鍵導出: マスターパスワードから暗号化キーを生成する (PBKDF2、Argon2 などのアルゴリズムを使用)
  3. 暗号化保管: 各サービスのパスワードを AES-256 で暗号化し、保管庫 (Vault) に格納する
  4. 必要時に復号: ログイン時にマスターパスワードで復号し、該当するパスワードを自動入力する

重要なのは、パスワードマネージャーのサービス提供者でさえ、あなたのパスワードを読めないという点です。マスターパスワードはサーバーに送信されず、暗号化・復号はすべてあなたのデバイス上で行われます。これを「ゼロ知識アーキテクチャ」と呼びます。

鍵導出 - マスターパスワードを暗号化キーに変換する

マスターパスワード「MyP@ssw0rd」をそのまま暗号化キーとして使うのは危険です。短いパスワードから推測されてしまうからです。

鍵導出関数 (KDF) は、マスターパスワードを意図的に「計算コストの高い処理」に通すことで、ブルートフォース攻撃を非現実的にします。

  • PBKDF2: パスワードにソルト (ランダムな値) を加え、ハッシュ計算を数十万回繰り返す。1Password や LastPass が採用
  • Argon2: 2015 年のパスワードハッシュコンペティションで優勝したアルゴリズム。CPU だけでなくメモリも大量に消費するため、GPU を使った並列攻撃にも強い。Bitwarden では PBKDF2 の代わりに選択できる

PBKDF2 で 60 万回の反復を設定した場合、1 つのマスターパスワード候補を検証するのに約 0.5 秒かかります。英小文字と数字 (36 種) の 8 文字のパスワードの全組み合わせ (約 2 兆 8,000 億通り) を試すには、1 台の PC で約 4 万 5,000 年かかる計算です。ただしこれは 1 台の端末で順に試す場合の目安で、攻撃者が GPU で並列に試せば所要時間は桁違いに短くなります。

クラウド同期型 vs ローカル保存型

特性 クラウド同期型 ローカル保存型
代表的なサービス 1Password、Bitwarden、LastPass KeePass、KeePassXC
複数デバイス同期 自動で同期される 手動でファイルを同期する必要がある
サーバー侵害リスク 暗号化済みデータが流出する可能性 サーバーがないため該当しない
利便性 高い (ブラウザ拡張、モバイルアプリ) 設定に技術的知識が必要

クラウド同期型でサーバーが侵害された場合でも、ゼロ知識アーキテクチャにより、攻撃者が入手できるのは暗号化済みのデータだけです。マスターパスワードが十分に強力であれば、暗号化を破ることは現実的に不可能です。

パスワードマネージャーの弱点

万能ではありません。以下のリスクを理解した上で使うことが重要です。

  • マスターパスワードの漏洩: マスターパスワードが知られると、すべてのパスワードが危険にさらされる。二要素認証を併用して防御層を増やすべき
  • デバイスのマルウェア感染: キーロガーがマスターパスワードの入力を記録する可能性がある。デバイスのセキュリティが前提条件
  • サービスの廃止: クラウド型サービスが廃止された場合、データのエクスポート手段を事前に確認しておく
  • 単一障害点: パスワードマネージャー自体がアクセス不能になると、すべてのサービスにログインできなくなる。緊急アクセス手段やリカバリーキーの保管が必須

パスワードマネージャーを使い始めるには

導入のハードルは低く、ほとんどのサービスが無料プランを提供しています。まずは最も重要なアカウント (メール、銀行、SNS) のパスワードから登録を始め、徐々に移行していくのが現実的です。パスワード管理と合わせて、IP 確認さんで自分の接続元 IP アドレスやセキュリティスコアを確認し、現在のネットワーク環境の安全性も把握しておきましょう。

パスワードセキュリティの基本もあわせて確認しておきましょう。

この記事の関連用語

暗号化 パスワードマネージャーは AES-256 でパスワードを暗号化して保管する。 二要素認証 マスターパスワードに加えて二要素認証を設定することで、保管庫の安全性が大幅に向上する。 ブルートフォース攻撃 鍵導出関数 (KDF) は、ブルートフォース攻撃のコストを非現実的なレベルまで引き上げる。

よくある質問

パスワードマネージャーはどうやってパスワードを守っているのですか？

マスターパスワードから鍵導出関数 (PBKDF2 や Argon2) で暗号化キーを生成し、AES-256 で全パスワードを暗号化します。サービス提供者でさえパスワードを読めないゼロ知識設計です。

パスワードマネージャーのサーバーがハッキングされたらどうなりますか？

攻撃者が入手できるのは暗号化済みデータだけです。マスターパスワードが十分に強力であれば、暗号化を破ることは現実的に不可能です。

パスワードマネージャーの弱点は何ですか？

マスターパスワードの漏洩、デバイスのマルウェア感染、サービスの廃止、単一障害点になることの 4 つが主なリスクです。二要素認証の併用で防御層を増やすことが重要です。