当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
長く推測されにくいパスワードをサービスごとに設定しても、それらを人が記憶して使い分けることには限界がある。
パスワードマネージャーを利用し、パスワードの生成、保管、入力を任せることで、高強度かつサービスごとに固有のパスワードを継続して利用できる環境を整える。
パスワードマネージャーの役割
パスワードマネージャーは、Webサイトやサービスの認証情報を保管し、必要なときに呼び出して利用するためのツールである。
パスワード生成機能を利用すれば、人が覚えることを前提としない長くランダムなパスワードを設定できる。サービスごとに異なるパスワードを使用しても、それぞれを記憶する必要はない。
保存した認証情報はブラウザやアプリなどから呼び出せるため、複雑なパスワードを日常的に利用する負担も抑えられる。
パスワードマネージャーを利用するメリット
パスワードマネージャーは利便性を高めるだけでなく、人がパスワードを記憶・入力することによる制約を減らし、認証に関する複数のリスクへの耐性を高められる。
| 利用方法・機能 | 得られる効果 |
|---|---|
| サービスごとに異なるパスワードを使用する | 一つのサービスからパスワードが漏洩しても、そのパスワードを利用した別サービスへの不正ログインにつながりにくい |
| 長くランダムなパスワードを生成する | 推測や辞書攻撃、総当たりによるパスワードの特定を困難にする |
| パスワードを保管して記憶に頼らない | 覚えやすさを優先した短いパスワードや規則的なパスワードを使用する必要がなくなる |
| 保存した認証情報を自動入力する | 長く複雑なパスワードでも入力の負担が増えにくく、高強度なパスワードを継続して利用しやすい |
| 登録したWebサイトで認証情報を自動入力する | URLの異なる偽サイトでは認証情報が自動入力されないことが、フィッシングに気付く手掛かりとなる |
自動入力によるフィッシング対策は補助的なものであり、偽サイトへのアクセス自体を防ぐものではない。
製品・プランによって利用できる機能
パスワードの生成、保管、自動入力以外にも、製品や契約するプランによって追加の機能を利用できる。
パスキーを保管・同期する
パスキーに対応したパスワードマネージャーでは、パスワードだけでなくパスキーの保管先としても利用できる。
対応する製品では、パスキーを複数の端末で利用するための同期にも対応している。
参考：パスキーを導入する
家族や従業員と認証情報を共有する
家族向けや組織向けの機能を持つ製品では、指定した認証情報を他の利用者と共有できる。
パスワードをメールやチャットなどで直接送る方法を避け、パスワードマネージャー上で共有対象や共有相手を管理できる点が利点となる。
共有方法や権限管理の仕組みは製品やプランによって異なるため、複数人で利用する場合は選定時に確認しておく。
利用するパスワードマネージャーを決める
パスワードマネージャーには、OSやブラウザに組み込まれたものと、専用のサービスやアプリとして提供されるものがある。
利用するPCやスマートフォン、ブラウザへの対応を確認し、必要に応じてパスキーや認証情報の共有などの機能も含めて選択する。
具体的な製品や選定基準は別Unitで扱う。
参考：パスワードマネージャーの選定・比較
利用する環境へ導入する
利用するパスワードマネージャーを決めたら、PCやスマートフォン、ブラウザなど、実際に認証を行う環境から利用できる状態にする。
ブラウザ拡張機能やOSの自動入力機能を利用する製品では、それらも有効にしておく。複数の端末を使用する場合は、必要な端末から同じ保管庫を利用できることも確認する。
既存のパスワードを登録する
すでに利用しているWebサイトやサービスの認証情報をパスワードマネージャーへ登録する。
ブラウザや別のパスワード管理機能からインポートできる場合は、その機能を利用してもよい。移行後は認証情報が不要な場所へ残っていないか確認し、管理先を整理する。
すべてを一度に移行する必要はない。重要なアカウントや日常的に利用するサービスから順次移していく方法でもよい。
高強度な固有パスワードへ変更する
登録したパスワードに使い回しや強度不足がある場合は、パスワードマネージャーの生成機能を利用して順次変更する。
生成したパスワードは人が記憶する必要がないため、覚えやすさを優先する必要もなくなる。各サービスで利用できる文字数や文字種などの条件に合わせ、十分な長さを持つ固有のパスワードを設定する。
変更後の認証情報がパスワードマネージャーへ正しく保存され、実際にログインできることまで確認しておく。
パスワードマネージャーによる管理へ移行する
既存の認証情報を移行した後は、新しく利用するサービスについてもパスワードマネージャーでパスワードを生成・保存する。
これにより、弱いパスワードや使い回しを後から修正するのではなく、アカウント作成時から高強度な固有パスワードを利用する運用へ移行できる。
共有方法や保管庫の管理、バックアップなど、導入後の運用はそれぞれのUnitで扱う。
参考：パスワードマネージャーの利用ルール
参考：パスワードマネージャーマスターデータの暗号化バックアップ