パスワードを見せない共有設定で、パスワードは守れるか

パスワードマネージャーの「パスワードを隠す」設定で共有しても、パスワードは守れません。LastPass、1Password、Bitwarden、Keeper の 4 社とも、公式ヘルプで限界を認めています。隠して共有しても、共有した相手が取り出す余地は残る、という内容です。パスワードマネージャーの仕組みと共有機能の全体は、定義の記事にまとめています。

各社の「隠して共有する」設定

4 社とも、共有した相手にパスワードを見せず、自動入力だけをさせる設定を持っています。設定の名前は各社の画面の表記のままです。限界の欄は、各社の公式ヘルプが自ら書いている内容を短くまとめました。

1Password の Teams では、閲覧の権限に、隠れたパスワードの表示とコピーが含まれています。LastPass の隠す設定は、共有したメモには使えません。メモにパスワードを書いて共有すると、相手にはそのまま見えます。

隠したパスワードが相手の手元にある理由

4 社の隠す設定では、自動入力のために、パスワードの値そのものが共有した相手のパソコンに届いています。ログイン画面の入力欄に文字を入れるのが、相手のパソコンで動くアプリやブラウザーの拡張機能だからです。隠す設定が止めているのは、その値を画面に表示することとコピーすることだけです。

1Password の公式ヘルプは、権限の守り方を 3 つの強さに分けて説明しています。保管庫を開けるかどうかは暗号(鍵を持つ人しか読めない仕組み)で守られます。編集や削除は、1Password の運営側のコンピューター(サーバー)が受け付けません。これに対して、パスワードの表示とコピーは相手のパソコンのアプリが止めているだけで、3 つのうち最も弱いとされています。読める状態のデータは相手の端末にあり、手間をかければ取り出せる、という説明です。Keeper の公式ドキュメントも、隠すのは見た目だけで、パスワードは利用者の保管庫に入ったままだと書いています。

公式ヘルプが挙げる取り出し方

LastPass・1Password・Keeper の公式ヘルプが具体的に挙げている方法は 3 つあります。どれも、共有した相手が自分のパソコンだけで行えます。このほか LastPass は、詳しい人なら高度な手段で取り出せる可能性があるとも書いていますが、手段の中身は示していません。Bitwarden は、完全には防げないと書くだけで、方法は挙げていません。

ログイン画面のパスワードを表示するボタン

サイトによっては、ログイン画面に、入力したパスワードを表示するボタンがあります。LastPass の公式ヘルプは、隠したパスワードを自動入力した後にこのボタンを押せば、パスワードを確かめられると書いています。1Password も、ページに入力してからそのページで表示させる方法を例に挙げています。

別のパスワード管理ソフト

LastPass の公式ヘルプは、別のパスワード管理ソフトを使えば、共有されたパスワードを手に入れられることも挙げています。

ページの中身を調べる機能

ブラウザーには、表示中のページの中身を調べる機能(開発者ツール)が付いています。Keeper の公式ドキュメントは、ページを調べればパスワードに手が届くと書いています。そのうえで、防ぎたい場合は、管理者が配る設定(ポリシー)でこの機能を開けなくするよう勧めています。

各社がこの設定に求めている使い方

1Password と Keeper は、隠す設定を、悪意のある相手を止める手段としては扱っていません。1Password は、すでに信頼している人への簡単な歯止めとしては役に立つが、悪意のある行動を防ぐために頼るべきではないと書いています。Keeper は、何気なくのぞかれるのを防ぐもので、IT に詳しくない利用者に向けてよく使われると説明しています。

LastPass は、共有フォルダーでは読み取り専用と隠す設定の両方を有効にし、必要な権限だけを与えるよう勧めています。共有するパスワードも、そのサイト専用に作った強い値にするよう勧めています。相手に知られても困らないパスワードだけを共有する、という考え方です。Bitwarden は、隠したパスワードも、ほかの共有したパスワードと同じに扱うよう求めています。

つまり隠す設定で減らせるのは、画面をのぞかれる、うっかり書き写す、といった意図しない広がりです。共有した相手が意図して取り出す場合は止められません。

隠して共有したパスワードの扱い方

公式ヘルプの説明に沿うと、隠して共有したパスワードも、相手が知っている前提で管理することになります。具体的には次の 3 つです。

1. 共有した相手の一覧を残します。隠したかどうかに関わらず、その人はパスワードを手に入れられる立場にあったからです。
2. 共有から外した人が出たら、サービス側のパスワードを変えます。1Password の公式ヘルプでは、保管庫を開ける権限は、一度与えると暗号では取り消せません。取り消しはサーバーが止める形になるので、外す前に相手の手元に届いた値は残りうる、と読めます。変えた後の手間は退職者が出るたびにパスワードを変える運用の限界にまとめています。
3. 共有するパスワードは、サービスごとに別の、ソフトに作らせた値にします。同じパスワードを使い回していると、1 つが知られたときに、ほかのサービスにも入れるためです。

社外の人や、まもなく担当を外れる人のように、パスワードを渡したくない相手には、隠す設定では足りません。サービス側で一人ずつアカウントを作れるなら、そちらを先に検討します。Keeper は同じページで、別の方法も案内しています。利用者のパソコンから切り離された場所で動くブラウザーに自動入力し、その画面だけを利用者に映す方式(Remote Browser Isolation)です。この方式では、パスワードは利用者から隠れたままだと説明しています。分けられない共有アカウントで方法を選ぶときは、共有アカウントを複数人で安全に使う方法の比較で、担当者がパスワードを知るかどうかを方法ごとに並べています。