ネット銀行、ネット証券など、たくさんのパスワードの管理が必要です。
危険だとは思いつつも、同じパスワードを使いまわしていたりしませんか?
実は私もちょっと前まではそうでした。すみません。
個人情報漏洩や、アカウント乗っ取りが日常茶飯事となってしまった今日、さすがに恐くなり重い腰を上げて対策しました。
面倒だなーと敬遠していたクチなのですが、実際にやってみると、かなりお手軽なのに、セキュリティ向上効果は抜群。これはおすすめです。もっと早くからやっておけばよかった。
この記事では、ひと手間くわえるだけで効果抜群のパスワードの管理方法をご紹介します。
スクリーンショットや、詳細な操作手順などはGoogle先生に聞くとたくさん教えてくれますので、あわせてご参照下さい（華麗なる丸投げ）。
パスワード管理ツールを導入する
パスワード管理ツールを使い、たくさんのIDとパスワードなどのログイン情報を、暗号化してデータベースに保管し一元管理するようにします。
そうすると、データベースのマスターキーを覚えておけば、他のID・パスワードは、データベースからコピーペーストで使えるようになります。
パスワードを自分で覚える必要がないので、サイト毎に、個別の、とても覚えられない長くて複雑なパスワード（条件を指定して強力なパスワードを自動生成できる）を使うことができます。
定期的にパスワードの変更が必要なサイトでも再設定が苦になりません。
「一元管理」というと、「いやいや、分散が重要でしょ」とか「かえって危険なのでは？」と心配になるかもしれませんが、暗号化されたデータベース＝堅牢な金庫に入れておくので、パスワードを使いまわしたり、どこかに書きとめておいたりするよりはるかに安全です。
ちょっとやそっとじゃ開けられないほどに堅牢な金庫にしまっておけば、万が一漏洩・盗難にあってしまったとしても、実害はほとんどありません（もちろん、すぐに再設定するなど事後対策は必須です）。
なお、当然のことですが、マスターキーは絶対に絶対に忘れないようにしなくてはいけません。さもないとすべてを失うことになります。あと、自分がこの世を去らなくてはいけなくなったときに、残された家族が困らないよう、最低限どこにどのような財産があるのか記録しておく必要がありますね。
パスワード管理ツールはいくつかありますがKeePass Password Safeが定番のようなので、私もKeePassを使うようにしました。
KeePassはWindows, Mac OS X, Android, iOSなどで利用可能です。AndroidではKeePassDroid、iOSではMiniKeePassが定番のようです。PCで管理して、モバイル機器では参照だけする、といった使い方が安全でしょう。
KeePassの場合、金庫の鍵であるマスターキーには、通常のパスワード以外に任意のファイルを設定することも可能です。例えば、お気に入りの写真ファイルをマスターキーとすることができます。どの写真をマスターキーにしてあるかを秘密にしておけばかなり強力な鍵になります。
以下の文章はいずれもKeePassを前提にしていますが、考え方などは他のパスワード管理ツールでも適用できます。
データベースを共有する
複数の機器（PCやスマホ）で、ID・パスワードを利用できるようにするため、データベースを共有します。
KeePassではネットワーク共有用の機能を有していない（そちらのほうが望ましい）ので、データベースファイルをDropboxやGoogle Driveなどのオンラインストレージを利用して共有できるようにします。
オンラインで共有することによるデータベース漏洩のリスクがありますが、（私の場合は）USBメモリなどを持ち歩いて物理的に共有するよりはよっぽど安全と考え、利便性とトレードオフしてリスクを受容することにしました。
もちろん、データベースのマスターキー、オンラインストレージのパスワードを強力にする、電話による二段階認証を活用するなどの方法で、可能な限りリスク低減をはかります。
マスターキーとオンラインストレージのパスワードを同じにしてしまう、金庫のなかに金庫の鍵を入れてしまうことがないよう注意が必要です（念のため）。
利用する環境・機器に、KeePass用アプリに加えてオンラインストレージ用アプリをインストールすることを忘れないようにしてください。
覚えなくてはなければいけないパスワード
パスワード管理ツールを導入しても、端末へのログインパスワード、データベースのマスターキーなど、覚えなくてはいけないパスワードはどうしても残ります。覚えなくていけないパスワードはできるだけ減らすのが原則ですが、残ってしまったものについては、強力で覚えやすいものに変更し、かつ、使いまわしを避けるようにします。
強力で覚えやすいパスワードの作り方はいろいろ提案されていますが、文章を独自のルールで変換し、長くて複雑なパスワードを生成する方法が一般的なようです。
- 文を考える。英語でもいいしローマ時でもよい
- スペースをなくす、特定のルールで短縮する・文字を置き換える、綴りを変える、などして変形する
- 意味のある数字や、対象のサービスの識別を末尾に追加する
- 複数の文章をもとにつくったものをインターリーブさせる（交互に割り込ませる）とさらに強力になる
など。
（例）マイクロソフトによる、強力で覚えやすいパスワードの作り方
さらに便利にするための方法―でもトレードオフ判断が必要
さらに便利にするための方法があります。
しかし、いずれも利便とリスクのトレードオフ判断が必要です。しばらくは最低限の構成でつかってみて、必要に応じてアレンジしていくのがよいでしょう。
データベースに入れるもの
KeePassでは、パスワードだけではなくファイルもデータベースに格納することができます。
例えば銀行などのセキュリティカードを写真にとって格納しておき、実物は持ち歩かないようにする、ということも可能です。
完全に利便性とリスクのトレードオフなので、各自でなにをデータベースに入れるかを判断しなくてはいけません。
セキュリティカードの情報もデータベースに入れたい、という場合には、データベースを分離して、IDなどの情報を隠して分散格納しておき、二つのデータベースを同時に開けないと使えないようにするといった方法もあります。
私の場合はセキュリティカードの情報は入れないようにしています。たまに、出先で新しい振り込み先に振り込みをしたい、というケースで不便に感じることはありますが、そう頻繁にあることでもないので割り切っています。
ブラウザとの連携
ブラウザにプラグインを導入することにより、KeePassと連携させて、ブラウザ上の操作でID・パスワードを入力することが可能になります。
- Chromeの場合はChromeIPass
- Firefoxの場合はKeeFox
など。
私は、今のところ、マニュアルでのコピペにそれほど不便を感じず、不必要にリスクの要因を増やしたくないこともあり、これらのプラグインは使っていません。
そのかわり、利便とリスクのトレードオフをして許容できるサイトについては、ブラウザに内蔵されているパスワード管理機能を利用するようにしています。