問いは「覚えられるか」ではなく「誰が復号できるか」

パスワード管理ツールはたいてい記憶の補助として売られるが、それは本当に解いている問題を小さく見積もりすぎている。パスワードを書き留めるのは記憶力の失敗ではなく、どのサービスも固有の秘密を要求し、その十六個を人間が保持できない世界への妥当な対応だ。興味深いのは、その秘密が一か所に集められた後どうなるかである。手帳の一覧の安全度は引き出しの安全度。表計算の一覧をあるアカウントに同期したなら、安全度はそのアカウントの安全度。あるサービスに置いた一覧の安全度は、運営者の意図と力量の安全度であり、そのどちらも利用者には点検できない。

Bitwarden は無料でオープンソースのパスワード管理ツールで、その設計は最初の問題ではなく最後の問題に答えている。すべては端末の上で、どこかへ行く前に暗号化される。保管庫そのもの、パスワード、その脇に置かれる支払い情報、安全なメモ。保管庫を開ける主鍵は利用者の機械の上にあり、決して送られないマスターパスワードから導かれる。サーバーにあるのは暗号文で、サーバーには平文への道がない。鍵を一度も持っていないからだ。そのサーバーが破られても手に入るのはバイトの山で、それが意味を持つには利用者自身のパスワードが要る。

主張するのではなく、確かめられる

オープンソースという言葉は緩く使われすぎているので、ここで何を買っているのかを正確に述べておく価値がある。クライアント側で行われる暗号化は主張であり、暗号についての主張の値打ちは、それを確かめられるかどうかで決まる。クライアントのコードがオープンなライセンスで公開されているので、「鍵は端末を出ない」という文は、社外の誰かがコードを読んで検証できる記述になり、宣伝ページの一文ではなくなる。それはサービスの運営が良いことの証明にはならない。論証の重要な部分を「信頼」から「点検」へ移すだけだ。そして点検できる信頼は、別の種類のものだ。

その背後の暗号の選択はありふれていて、この文脈ではありふれていることが要点になる。強い標準暗号による保管庫の共通鍵暗号、ソルト付きハッシュ、そしてマスターパスワードの推測を高くつかせるために意図的に遅い鍵導出関数。名前そのものに感心する必要はない。大事なのは構成が普通のものであることで、消費者向け製品における珍奇な暗号は機能ではなく警告だ。

どこにでも。パスワード管理ツールにとっては、人がログインするすべての場所

デスクトップでしか使えない保管庫は、スマートフォンで迂回される保管庫だ。この製品は三つのデスクトップ系統、二つのモバイル基盤、一般的なブラウザーの拡張、作業をスクリプトにする人のためのコマンドライン、そして借りた機械から開けるウェブ保管庫を揃えている。どれも同じ暗号化された保管庫を読み、変更を端末間で同期するので、一台で作ったパスワードが、誰かが何かをコピーしなくても他の端末に現れる。

自動入力は、設計が日常に現れる場所だ。保存した項目をログイン画面に自動で対応させ、マスターパスワードを打ち直す代わりに指紋や顔で解錠し、その両方を端末が閉じるときに閉じる錠の内側に置く。これらは安全の道具が使われるか迂回されるかを決める細部である。ログインごとに十秒を足すパスワード管理ツールは一週間で切られ、その利用者はどこでも同じ覚えやすい一言に戻る。

文字列を保管する以上のこと

三つの機能が、保管庫をより役に立つものに変える。生成器は長い乱数のパスワードを作り、ほとんどのアカウント侵害の実際の原因である使い回しに直接働きかける。二段階認証の対応によって、保管庫は第一要素だけでなく第二要素の保管者にもなり、認証アプリとも、それに値するアカウントのためのハードウェア鍵とも組める。そして組織の保管庫は、チームが本当に共有すべき資格情報を、メンバーごとの権限付きで共有できるようにする。パスワードをチャットに流して、全員がちょうどよい加減に忘れることを期待する代わりに。

共有の仕組みについて一言。多くのパスワード管理ツールが居心地の悪くなるのはまさにここだ。家庭や小さなチームには、集団に属する秘密がいくつかある。共用の公共料金アカウント、取引先のポータル、証明書の更新。そして個人に属する秘密がはるかに多い。二つ目の場合しか理解しない道具でも、一つ目のために使われる。しかも下手に。メンバーを個別に持つ集合を分けておくことが、この問いへの直接の答えになる。

データをどこに置くかは設定であり、教義ではない

提供の方法は二つある。公式サービスは普通の道だ。暗号化された保管庫、運用された基盤、面倒を見るサーバーなし。もう一つは、自分が管理するハードウェアでバックエンドを動かすことで、これはプロジェクトが支援しており、一部の組織は偏執とは無関係な理由で必要とする。規制上の規則、データの所在に関する義務、あるいは鍵素材を保管する機械を自分のものにしたいという単なる希望。コンテナでの配布が、それを一大プロジェクトではなく現実的な半日に変える。

正直な限界

無料の段階が中核を担い、端末数の制限もない。珍しいことなので明記しておく。有料の段階は添付の保存、信頼できる連絡先への緊急アクセス、シングルサインオン、組織向けの方針管理を加える。この分け方は妥当で、役に立つ部分が人質にはなっていない。

三つの限界は声に出して言う価値がある。第一に、保管庫は危険を集中させる。一つのマスターパスワードが今すべてを守るので、それは強くなければならず、覚えられていなければならない。そして失えば保管庫を失う。あなたの代わりに取り戻せる仕組みは、他人の代わりにも取り戻せる仕組みだからだ。第二に、ブラウザーの拡張は自分が制御しないページの中で動く。それは恒久的な攻撃面になる。第三に、どんなパスワード管理ツールも、弱いパスワードの使い回しがそうならない形での単一障害点だ。故障は稀で、しかも全損になる。

以上のどれも、この分野そのものへの反論ではない。主張を確かめられる実装を選び、書き出した保管庫の控えをどこかオフラインに置き、マスターパスワードだけはきちんと覚えるべき唯一の秘密として扱え、という主張である。