Lectura de 7 min aprox.

Lectura de 9 min aprox.

「パスワードを保存しますか?」ウェブサイトにログインするたびに表示されるこの問いかけに、深く考えずに「はい」と答えている方は多いのではないでしょうか。ブラウザのパスワード保存機能は手軽で便利ですが、その安全性はブラウザごとに大きく異なります。SpyCloud の 2024 年調査によると、マルウェアによって窃取された認証情報のうち約 80% がブラウザの保存済みパスワードをソースとしています。さらに、Kaspersky の 2023 年レポートでは、インフォスティーラー型マルウェアの検出数が前年比 66% 増加しており、ブラウザのパスワードデータベースが攻撃者にとって主要な標的であることが裏付けられています。本記事では、Chrome、Safari、Firefox の 3 大ブラウザのパスワード保存機能を比較し、専用パスワードマネージャーとの違い、そしてパスつく.com との効果的な併用方法を解説します。

ブラウザのパスワード保存機能の仕組み

ブラウザのパスワード保存機能は、ユーザーがウェブサイトのログインフォームに入力した認証情報 (ユーザー名とパスワード) を記憶し、次回以降のアクセス時に自動入力する機能です。保存されたパスワードはブラウザ内部のデータベースに暗号化して格納され、 OS のアカウント認証やマスターパスワードで保護されます。

近年のブラウザは単なるパスワード保存にとどまらず、パスワードの自動生成、漏洩チェック、弱いパスワードの警告といった機能も備えるようになりました。しかし、その実装方式やセキュリティレベルはブラウザによって異なるため、利用する際は各ブラウザの特性を理解しておくことが重要です。暗号化の方式一つとっても、OS の認証機構に依存するもの、独自のマスターパスワードを使うもの、エンドツーエンド暗号化を採用するものと、アプローチは多様です。

主要ブラウザの比較

Google Chrome

Chrome のパスワードマネージャーは、Google アカウントと連携してパスワードをクラウドに同期します。保存されたパスワードは Google のサーバー上で暗号化されますが、デフォルトでは Google アカウントの認証情報で復号可能な状態です。オンデバイス暗号化を有効にすると、デバイス上でのみ復号できる追加の保護層が加わります。この設定は Chrome の「パスワードマネージャー」設定画面から有効化でき、有効にすると Google 自身もパスワードの内容を閲覧できなくなります。

Chrome はローカルでのパスワード保護に OS の認証機構を利用します。 Windows では Windows Hello、macOS ではキーチェーンアクセスの認証が求められます。ただし、OS にログイン済みの状態では、設定画面からパスワードを閲覧できる場合があるため、共有パソコンでの利用には注意が必要です。

Safari (iCloud キーチェーン)

Apple の Safari は iCloud キーチェーンと統合されており、 Apple デバイス間でパスワードをエンドツーエンド暗号化で同期します。暗号化キーはデバイス上で生成され、Apple のサーバーでもパスワードの内容を閲覧することはできません。セキュリティアーキテクチャの観点では、3 大ブラウザの中で最もプライバシーに配慮した設計といえます。

iCloud キーチェーンは Apple のエコシステム内では非常に優れたセキュリティを提供しますが、Windows や Android との互換性が限定的である点がデメリットです。Apple デバイスのみを使用するユーザーにとっては、最も手軽で安全な選択肢の一つです。

Firefox

Firefox のパスワード管理機能は、プライマリパスワード (旧マスターパスワード) の設定に対応している点が特徴です。プライマリパスワードを設定すると、保存されたパスワードへのアクセス時に毎回認証が求められるため、第三者による閲覧を防止できます。

ただし、プライマリパスワードはデフォルトでは無効になっており、ユーザーが明示的に設定する必要があります。未設定の場合、ブラウザの設定画面から保存済みパスワードを平文で閲覧できてしまいます。 Firefox を利用する場合は、必ずプライマリパスワードを設定してください。 Firefox Sync を使えばデバイス間の同期も可能で、同期データはエンドツーエンド暗号化で保護されます。

ブラウザ保存機能のリスク

ブラウザのパスワード保存機能には、利便性と引き換えにいくつかのリスクが存在します。

共有パソコンでの漏洩: 家族や同僚とパソコンを共有している場合、 OS アカウントを分けていなければ、保存されたパスワードにアクセスされる可能性があります。
マルウェアによる窃取: パスワードを狙うマルウェア(インフォスティーラー) は、ブラウザのパスワードデータベースを標的にします。代表的なインフォスティーラーである RedLine や Raccoon は、 Chrome の Login Data ファイル (SQLite 形式) を直接コピーし、 Windows の DPAPI を使って復号する手法を用います。
ブラウザの脆弱性: ブラウザ自体にセキュリティ上の脆弱性が発見された場合、保存されたパスワードが危険にさらされる可能性があります。ブラウザを常に最新バージョンに更新することが重要です。
クラウド同期のリスク: Google アカウントや Firefox アカウントが侵害された場合、同期されたすべてのパスワードが漏洩するリスクがあります。同期アカウント自体に強力なパスワードと二段階認証を設定してください。

ブラウザの保存機能を利用する場合でも、エンドポイント防御の関連書籍 (Amazon)を参考に、端末自体の保護を強化することが重要です。

専用パスワードマネージャーとの違い

1Password や Bitwarden といった専用パスワードマネージャーは、ブラウザの保存機能と比較して以下の点で優れています。

クロスブラウザ対応: 特定のブラウザに依存せず、複数のブラウザやアプリで利用可能
ゼロナレッジアーキテクチャ: サービス提供者でさえユーザーのパスワードを閲覧できない設計
高度な整理機能: フォルダ、タグ、カテゴリによるパスワードの体系的な管理
セキュリティ監査: 弱いパスワード、使い回し、漏洩パスワードの一括チェック
安全な共有機能: 家族やチームメンバーとの暗号化されたパスワード共有
追加情報の保存: クレジットカード、セキュアメモ、ソフトウェアライセンスなどの管理

一方で、専用パスワードマネージャーは有料のものが多く、導入と学習にコストがかかります。ブラウザの保存機能は無料ですぐに使える手軽さが最大の利点です。なお、ブラウザの保存機能と専用パスワードマネージャーを併用すると、同じサイトで異なるパスワードが自動入力候補に表示され混乱を招くことがあります。併用する場合は、ブラウザ側の保存機能を無効にして専用マネージャーに一本化するのが安全です。パスワード管理の全体的なベストプラクティスについてはパスワード管理のベストプラクティスも参考にしてください。

パスワード管理方法の選び方チェックリスト

自分に合ったパスワード管理方法を選ぶために、以下の観点で検討してください。

使用するデバイスは 1 つのエコシステム (Apple のみ、Google のみ) に統一されているか
複数のブラウザを日常的に使い分けているか
家族やチームメンバーとパスワードを共有する必要があるか
金融サービスや業務システムなど、高いセキュリティが求められるアカウントが多いか
パスワード管理に月額費用をかけられるか

Apple デバイスのみを使用し、共有の必要がなければ iCloud キーチェーンで十分です。複数のエコシステムをまたぐ場合や、高度な管理機能が必要な場合は専用パスワードマネージャーを検討してください。

パスつく.com との併用方法

ブラウザの保存機能と専用パスワードマネージャーのどちらを選ぶにしても、パスつく.com との併用で安全性をさらに高められます。推奨されるワークフローは以下のとおりです。

新しいサービスに登録する際、パスつく.com で 16 文字以上のランダムなパスワードを生成する
生成したパスワードをサービスの登録フォームに入力する
ブラウザの「パスワードを保存しますか?」の問いかけに応じて保存する
重要なアカウントでは、パスつく.com の強度メーターで 80 ビット以上のエントロピーを確認する
定期的にブラウザの保存済みパスワード一覧を確認し、弱いパスワードをパスつく.com で更新する

ブラウザのパスワード保存機能は、正しく設定すれば日常的な利用には十分な安全性を提供します。プライマリパスワードの設定、OS の自動ロック、ブラウザの最新化を徹底したうえで、パスつく.com で生成した強力なパスワードを保存・管理していきましょう。