パスワード管理の方法｜保存先の選び方と乗り換えの手順

「覚える」をやめないと解決しない

推奨される作り方に従うと、パスワードは十分な長さのランダムな文字列になり、しかもサービスごとに別のものが必要になります。この2つを満たしたうえで人間が記憶するのは、現実的ではありません。使い回しは怠慢ではなく、記憶に頼る前提そのものに無理があることの結果です。

• 覚えるのは1つだけ：保存庫を開けるためのマスターパスワード
• 残りは保存する：サービスごとのパスワードは生成して、そのまま保存する
• 入力もしない：自動入力に任せることで、打ち間違いと偽サイトへの入力を同時に防げる

この形にすると、1つのサービスから情報が漏れても、他のサービスは無関係のままです。逆に使い回しをしていると、漏れた組み合わせが他サービスで順番に試され、被害が連鎖します。管理方法を変えることは、パスワードを強くすること以上に効果があります。

保存先の比較

「ブラウザ保存は危険」と言い切られることがありますが、使い回しを続けるよりははるかに安全です。実際の弱点は安全性そのものより、スマホとPCでブラウザが違うと使えない、アプリ内のログイン画面では呼び出せない、といった使い勝手にあります。そこで不便になると、結局は覚えやすい文字列に戻ってしまいます。

マスターパスワードの作り方

保存庫の鍵になるため、ここだけは記憶する必要があります。同時に、他のどこにも使っていない文字列である必要があります。記憶と強度を両立させるには、ランダムな記号列ではなく、無関係な単語をつないだパスフレーズが向いています。

• 関連のない単語を4語以上つなぐ。文章になっていないほどよい
• 誕生日、家族やペットの名前、住所など、調べられる情報は避ける
• 他のサービスでは絶対に使わない。マスター専用にする
• 紙に書いて保管するのは可。ただし端末とは別の場所に置く
• 定期的な変更は不要。漏れた疑いがあるときだけ変える

有名な引用句やアニメの台詞をそのまま使うのは避けてください。攻撃側は既知のフレーズを一覧として持っています。自分で選んだ、意味のつながらない単語の並びであることが条件です。

今のパスワードを移す手順

全部を一度に変えようとすると、途中で力尽きます。重要度の高いものから順に、数日に分けて進めてください。

1. 1

   ①管理アプリを入れて、マスターパスワードを決める

   普段使う端末すべてに入れ、ブラウザの拡張機能も設定します。自動入力が働く状態まで作ってから、次に進みます。

2. 2

   ②メールアカウントを最初に変更する

   メールは他サービスのパスワード再設定に使われる中枢です。ここが安全になっていないと、他をいくら固めても意味がありません。

3. 3

   ③決済・金融・SNSを変更する

   被害額や影響が大きい順です。生成ツールで長さと文字種を指定して新しい文字列を作り、貼り付けてから保存します。

4. 4

   ④ブラウザに保存済みのものを取り込む

   ブラウザの保存一覧を書き出して管理アプリに読み込めます。取り込んだら、ブラウザ側の保存は削除し、保存機能もオフにして二重管理をやめます。

5. 5

   ⑤書き出したファイルを確実に消す

   取り込み用のファイルは、パスワードが平文で並んだ状態です。取り込みが終わったら削除し、ゴミ箱も空にしてください。

6. 6

   ⑥残りは使うたびに変える

   普段ログインしないサービスまで先回りしなくて構いません。次にログインした時点で新しいものに差し替えていけば、数か月で入れ替わります。

詰まないための備え

管理を一元化すると、そこにアクセスできなくなったときの影響も一点に集まります。運用を始める日に、次の3つを済ませておいてください。

1. 1

   復旧コードを紙で保管する

   管理アプリの復旧キー、および二段階認証のバックアップコードを印刷し、端末とは別の場所（自宅の書類ケースなど）に置きます。画面のスクリーンショットは端末の中に残るため、備えになりません。

2. 2

   端末を2台以上で同期しておく

   スマホだけ、PCだけの状態は、その1台を失った時点で詰みます。2台に入れておけば、片方を紛失しても復旧できます。

3. 3

   緊急時に家族が開けられるようにする

   多くの管理アプリに、指定した相手が一定期間後にアクセスできる仕組みがあります。ない場合は、復旧キーの保管場所だけを信頼できる人に伝えておきます。

最後に、管理アプリを入れただけでは安全になりません。効果が出るのは、保存されたパスワードが「サービスごとに違うランダムな文字列」に置き換わってからです。移行の作業と、生成し直す作業は別物だと考えて、両方を進めてください。

よくある質問

ブラウザのパスワード保存機能でも十分ですか？

使い回しを続けるよりは大幅に安全です。ただし、ブラウザをまたぐ場面やアプリ内のログイン画面では呼び出せないことがあり、そこで不便になると元の習慣に戻りやすくなります。普段使う端末すべてで自動入力が働くかを基準に選んでください。

マスターパスワードを忘れたらどうなりますか？

多くの管理アプリはマスターパスワードを預かっていないため、保存内容を取り出せなくなります。設定した直後に復旧用のキーやコードを印刷し、端末とは別の場所に保管してください。忘れてしまった場合は、各サービスでパスワード再設定を行うことになります。

パスワードは定期的に変更したほうがいいですか？

サービスごとに違うランダムな文字列を使っているなら、定期変更は不要とされています。変えるべきなのは、漏えいの通知があったとき、フィッシングに情報を入力したとき、他人と共有していたアカウントを引き継ぐときです。

全部のパスワードを今すぐ変えるべきですか？

重要度の高い順で構いません。まずメール、次に決済・金融・SNSを変更し、残りは次にログインしたタイミングで差し替えてください。一度に全部やろうとすると途中で止まり、中途半端な状態が残ります。