技術の班に向けたオープンソースの資格情報の管理の基盤。金庫は自前のサーバーの上に置き、閲覧の道具と電話と命令の行が同じ資料を読み、鍵は手元で作る。

班で合言葉を分けるとき、厄介なのは「共有」の段

班の中の口座は人の数より多いことが多い。サーバー、資料の置き場、内側の仕組み、外に出す協力の口座。合言葉はやり取りの記録と表と付箋のあいだを行き来し、誰が変えたか、誰が見たか、人が去ったあとに取り上げたかは、後から説明しにくい。Passbolt が解こうとするのはまさにこの部分だ。自らを班に向けた資格情報の管理の基盤と位置づけ、公式が挙げる相手は安全への意識が高い技術の班であり、五人のかたまりから五千人の組織まで使えると重ねて述べる。

公式が示す規模は世界で五万を超える機関が使うというもので、挙げる分野は政府の部門、防衛の機関、情報技術の企業に及ぶ。作り手の Passbolt SA はルクセンブルクに本を置き、公式は「ヨーロッパで作られた」ことを正式な売り文句にし、FIDO の連合に加わったと記す。

金庫は自分の手元に：自前、容器、雲の三つの道

製品の形が資料の置き場を決める。Passbolt の主な線は自前の運用で、自分のサーバーや防火の内側に入れる。公式が示す道は、束を直接入れる方法、コンテナの組み立て、そしてソースコードからの配備の三つ。安全のページは、外の網から完全に切れた空気隔離の環境でも動かせると明記しており、これは秘匿や強い規制のシーンでは譲れない求めになる。公式の導入の手順は主な Linux の配布を覆い、ほかにコンテナの像と仮想の機械の像という二つの近道を用意する。

班がサーバーを自分で保ちたくないなら、ヨーロッパで預かる雲の版もある。資料の中心は欧州連合の内側にあり、顧客ごとの作業の場所はそれぞれ別の資料の置き場で論理的に切り分ける。自前と雲は同じ手元の道具を分け合うので、切り替えても使い方の癖を変えずに済む。

端から端までの暗号と OpenPGP の鍵の型

この道具がよくある網の上の金庫と違うのは、暗号が起きる場所だ。Passbolt は OpenPGP という開かれた標準の上に立ち、成員はそれぞれ手元で一対の鍵を作る。公開の鍵はサーバーへ渡し、秘密の鍵は自分の道具に残す。公式の文は秘密の鍵がサーバーを通ることがないと記す。合言葉を一つ共有するとき、仕組みは受け取る側の公開の鍵で暗号化し、対応する秘密の鍵を持つ者だけが開ける。

もう一段細かいのが一件ごとの暗号だ。記録はそれぞれ自分の鍵で別々に扱うので、一つ漏れても他の中身は引き出せない。更新のたびに鍵は入れ替わり、長く一つの金庫の鍵を共有する事態を避ける。入る段では既定で秘密の鍵と合言葉の二つの要素を求め、さらに別の多要素の層も選べる。騙しのページに対しては、三つの文字の印に色を添えて住所と突き合わせて確かめるので、似せたページは通り抜けにくい。

閲覧の道具、電話、命令の行が一つの金庫を分ける

手元の道具の広さはこの企画の長所の一つだ。閲覧の拡張が主な入口で、自動の書き込みと強い合言葉の生成と場所の突き合わせを担う。電話の道具は移動の途中で探して書き込み、机の側には元から動く道具がある。三つは同じ暗号の資料を分け合うので、どこかで変えたものが別の場所で古いままになることはない。

運用と開発に向く道は、命令の行の道具と JSON の口だ。公式が挙げる命令は作成、削除、書き出し、読み取り、列挙、移動、共有に及び、合言葉を取る動きを流れの手順に書き込める。配備のときに環境の変数として一時的に入れ、使い終わったら捨て、資格情報をコードの倉庫の外に置く。口は完全に開かれ、自前の画面のために SDK も用意される。公式の倉庫の発行の印は今 5.16.0 にある。

権限の分け方、監査の痕、三つの許諾の段

共に作業する話では、権限をどこまで細かく切るかが要になる。Passbolt は資料の入れ物と組と役割の三層で組む。私用の入れ物は個人のもの、共有の入れ物は組ごとに与え、役割は役割に基づく接近の制御を土台にし、「要る分だけ与える」「その場で与える」という二つの原則を添える。普段は必要に応じて開き、使い終わればすぐ取り上げ、公式はこの取り上げが鍵の層でも効くと特に記す。

痕の側では、管理者が活動の記録を見られ、誰がいつどの資格情報を取り出し、変え、共有したかが残る。自前の仕組みへ繋ぐときは、記録を仕組みの記録の形式で書き出せる。資格については、公式は SOC 2 Type II の監査の報告と GDPR の遵守を挙げ、年に一度は独立した第三者の浸透の試験を行うと書き、見つかった穴への賞金の企画も置き、監査の報告を外に公開する。雲の側で置いている資料は 256 ビットの AES で暗号化する。

許諾は三つの段に分かれる。共同体の版は AGPLv3 で開かれ、永久に使え、成員の数に上限がなく、合言葉と入れ物の管理、利用者と組、二つの要素の確認、閲覧の拡張と命令の行、開かれた口、そして役割に基づく接近の制御を含む。Pro はその上に印の管理、目録の仕組みとの同期、一度の入り、口座の復し、活動の記録を加え、公開の値は一人の利用者につき月 4.9 ドル、年ごとの支払いで、十人から始まり、百人を超えるとまとめての割引がある。企業の版は求めに応じた見積もりで、高い可用性と災害の備えの相談、移行の預かり、より短い応答の時間を加える。この製品の線は毎月第二の水曜に版を出し、今後の順は共同体の投票で決める。

班の合言葉を自前のサーバーに残し、しかも取り出しの一度ごとを説明できる必要があるなら、Passbolt は一本の繋がった道を示す。OpenPGP の端から端までの暗号を土台にし、三つの手元の道具が一つの金庫を分け、権限と監査が層ごとに締まり、共同体の版は無料で使え、進んだ力は成員の数で定期に払う。