弊社では、パスワードマネージャー「Keeper」を販売・提供させて頂いております。 そのなかで、Google Chrome や Microsoft Edge 等のWebブラウザのパスワードマネージャー（パスワード自動入力機能）と Keeper の違いについてご質問いただくことが多くあります。

Keeper Security 社が公開している【ブラウザのパスワード マネージャーは安全ですか?】を参考に、Webブラウザのパスワードマネージャーがもたらすリスクと、Keeper のメリットについてもご紹介します。 以前、公開した「なぜ、パスワードマネージャーが必要なのかも参考になると思いますので、あわせてご一読ください。

Webブラウザのパスワードマネージャーのリスクについて、以下の3つが指摘されています。

仮に、サイバー犯罪者に、Webブラウザのアカウント情報が盗まれログインされると、簡単にパスワード情報が取得されてしまいます。アカウントへのログイン時に、デバイスの承認を要求された場合でも、スパイウェアを使用してデバイスを簡単に侵害または感染させることで、Webブラウザの設定にアクセスできます。 管理者が、端末のログイン状況を管理している場合は、重大なインシデントが起きる前に気づくことができるかもしれません。しかし、パスワード情報の取得を完全に防ぐことは不可能です。

Keeperの場合、新しい端末やプロファイルからログインする際、ユーザーもしくは管理者に承認を得る必要があり（承認を得たことで鍵の交換が行われます）、この承認を得ない限り、Keeper 上にログインできません。

Webブラウザのパスワードマネージャーは、Webサイトにアクセスする目的で設計されており、プライバシーを保護する目的ではつくられていません。

Keeperの場合、記号や数字を混ぜたパスワードを強制するなど、攻撃に強い複雑なパスワードを利用させることができます。また、脆弱なパスワードや再利用されたパスワードをチェックし、それらを変更するように促します。 さらに、BreachWatch などのダークウェブ監視機能があります。ダークウェブの漏洩データをスキャンし、危険度の高いパスワードを通知します。

Webブラウザのパスワードマネージャーの場合、パスワード情報は暗号化され保存されますが、そこで用いられた暗号鍵は保護されずに、保管されてしまいます。

Keeperの場合、その暗号鍵をさらに暗号化して保管します。さらに、共有フォルダ・チーム・ロールそれぞれでも暗号化されているため、多層的に暗号化処理されています。

以上のように、Webブラウザのパスワードマネージャーは、Webサイトにアクセスできるように設計されているもので、パスワードの生成や保護という点では安全性に欠けます。 そのリスクが分かったところで、ここからは Keeper 利用のメリットをもう少し詳しく見ていきます。

ここでは、5つのメリットを紹介します。

Keeper はモバイル、デスクトップ アプリ、およびWebブラウザでもパスワードを自動入力します。 Webブラウザのパスワードマネージャーは、モバイル、デスクトップアプリに対応しておりません。Webブラウザ内でWebサイトを表示するときにパスワードを自動入力するだけです。

クレジットカード情報・住所・銀行口座、SSH鍵、ファイル・写真など、センシティブに取り扱うべき情報も保管できます。

パスワード・クレジット情報など Keeper に記録させている情報を、Keeper 上で他のユーザーに共有することが可能です。Keeper のワンタイム共有機能を使用すれば、社外の方にも限られた時間だけその情報を共有することが可能です。 特権管理アカウントや、SNSアカウントなど、1つのアカウントを複数人で利用する際も、この共有機能を利用することで安全に共有が可能です。また、パスワードと共に多要素認証 (MFA)コードを保存できるので、シームレスな共有が可能になります。

Keeper は、各種IdPと連携することで Keeper のパスワード保管庫にアクセスできるかの判定を、会社のIDシステムで行うことができます。IdPの条件付きアクセスなどと組み合わせることで適切な環境下からのみ、アクセスを許可することができます。基本的にはWebブラウザのパスワードマネージャーはログインさえすれば利用できるため、利用環境の統制や管理が十分でない可能性があります。

Keeper のチームとIdPのグループ情報を連携させることで、閲覧できるパスワード情報をIdPから管理することも可能です。つまり、部署異動があった時、IdP側でユーザーの所属するグループを変更することで、当該ユーザーが利用できるパスワード情報をコントロール可能ということになります。

Keeper は、一定期間の間、利用履歴を保存しておくことが可能です。共有アカウントを誰が利用したのかという履歴を Keeper 側を通じて確認することで、アカウントの適切な運用を確認することができます。

また、「コンプライアンスレポート」というパスワード情報の所有・共有に関する監査レポートを作成する機能もあります。これを活用することで、適切な共有範囲となっているか監査することが可能です。

Webブラウザのパスワードマネージャーと Keeper の違いはご理解いただけましたでしょうか？ もちろん、Google Chrome や Microsoft Edge のWebブラウザのパスワードマネージャーも便利ですが、パスワードを安全に保護する機能を有しておりません。

日々の業務のなかで、思った以上にパスワード情報が取り扱われているように思います。 その生成、保管、共有といった管理に課題を持っている方は、多いのではないでしょうか？

Keeper は、社内のセキュリティと、従業員様の業務効率を同時にあげることができます。是非ご検討いただけますと幸いです。

原文：Are Browser Password Managers Safe?

ZUNDA株式会社は Keeper Security Inc 認定のMSP代理店として、パスワードマネージャーKeeperを法人・組織の皆様にお届けしております。

組織におけるパスワードの管理の効率化やセキュリティの向上を実現すべく、日本語による充実のサポートと運用管理(マネージドサービス)を日本のお客様に提供します。

詳しくはKeeper managed by ZUNDA 紹介サイトをご覧ください。