安全なパスワードマネージャーの選び方

なぜパスワードマネージャーが必要か

教材「パスワード管理の基本」で触れたとおり、サービスごとに異なる強いパスワードを設定することが基本です。しかし、利用するサービスの数が増えるほど、すべてを自分の記憶だけで管理するのは現実的ではありません。米国のサイバーセキュリティ機関CISAは、強いパスワードの作成・保管を助ける「パスワードマネージャー」の利用を、アカウントを守るための「最も簡単な方法の一つ」として推奨しています。メモ帳やファイルにそのまま書き留めて保管することは避けるべきだともしています。

パスワードマネージャーとは

パスワードマネージャーは、サービスごとのID・パスワードを暗号化して保管し、ログイン時に自動入力してくれるツールです。CISAの解説によれば、主な機能は次のとおりです。

• 強いパスワードを自動的に生成する
• 生成・入力したパスワードを暗号化して保管する
• サイトやアプリへのログイン時に自動入力する
• 使い回されている・弱いパスワードがないか警告する

利用者が覚える必要があるのは、パスワードマネージャー自体を開くための「マスターパスワード」1つだけになります。CISAは、このマスターパスワードには特に長く推測されにくいものを設定するよう勧めています。

強いパスワードの基本（CISAの基準）

CISAは、強いパスワードの条件として次の3点を挙げています。

1. 長い：16文字以上。長いほど強くなるとされています。
2. ランダムである：大文字・小文字・数字・記号を組み合わせるか、関連性のない4〜7個の単語をつなげた「パスフレーズ」にする。
3. 使い回さない：アカウントごとに異なるパスワードを使う。

なお、米国NIST（国立標準技術研究所）のデジタル認証ガイドライン（SP 800-63B）は、定期的なパスワード変更の強制や、記号を必ず混ぜるといった複雑さのルールの強制はかえって逆効果になりうるとして推奨しておらず、パスワードマネージャーでの貼り付け（ペースト）操作を妨げないよう求めています。長く・使い回さないパスワードを、人の手ではなくツールで管理する考え方が現在の主流です。

選ぶときに確認するポイント

1. 普段使う端末すべてに対応しているか：パソコン・スマートフォンなど、複数の端末で同じパスワードを使えるかを確認します。
2. 自動入力・パスワード生成機能があるか：手入力の手間を減らし、使い回しを防げます。
3. 無料か有料か、機能の違い：ブラウザに内蔵されている無料のパスワードマネージャーもあれば、より多機能な有料のツールもあります。CISAは、信頼できる情報源（消費者向けレビューサイトなど）で比較検討することを勧めています。
4. マスターパスワード自体を強く設定できるか：パスワードマネージャー自体を守るマスターパスワードが、ツール全体の安全性のかなめになります。

何をすべきか（まとめ）

1. よく使うサービスでパスワードを使い回していないか、まず確認する
2. ブラウザ内蔵のものを含め、自分の環境に合ったパスワードマネージャーを選ぶ
3. マスターパスワードには、特に長く推測されにくいものを設定する

参考にした公開情報

• CISA（米国サイバーセキュリティ・インフラセキュリティ庁）：Use Strong Passwords（英語）
• NIST：Digital Identity Guidelines SP 800-63B（英語）

この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。特定の製品・サービスを推奨するものではありません。