パスワードボールトとは何か?
パスワードボールト、パスワード管理機能、またはパスワードロッカーは、複数のアプリケーションのユーザ名とパスワードを暗号化されたフォーマットでセキュアに保存するプログラムです。ユーザは、「マスター」パスワード1つでボールトにアクセスできます。するとボールトは、アクセスが必要なアカウントのパスワードを提供します。
ユーザが覚える必要のあるパスワードは1つのみとなるため、盗難や侵害の可能性が低い複雑なパスワードを使用することができます。
パスワードボールトが必要な理由
世界各地の組織では、依然として脆弱なパスワードを使用したり、同じパスワードを複数のアカウントで使い回したりしていることがあります。このような状態では、サイバー犯罪者にパスワードを盗まれ、企業のネットワークを容易に侵害されてしまいます。特権アクセスのパスワードは、この「キー」1つがあれば多数のリソースを悪用できるため、特にサイバー犯罪者に狙われやすいものです。
組織がパスワードを適切に管理しなければ、そのような攻撃のリスクは上昇します。パスワードボールトは、パスワードをベースにしたサイバー攻撃のリスクを組織が最小化するための1つの方法です。
パスワードボールトの使用と特権アクセス管理（PAM）
パスワードボールトは、特権アクセス管理（PAM）の主要な要素です。これは、ユーザアカウントを一元管理でセキュアに保護する必要がある組織に最適です。このアプリケーションは、ユーザが複数のパスワードを覚える必要がないため、ユーザフレンドリーと言えます。また、パスワードのベストプラクティスを徹底し、企業を外部の脅威から保護するために役立ちます。
PAMは、特権アカウントの監視、管理、および保護を必要とする企業に適しています。PAMは管理を分離し、特権アカウントをきめ細かいロールベースのアクセス制御（RBAC）で運用して、事故または悪意による資格情報の不正使用リスクを最小化します。またPAMにより、組織は監査ログを自動作成し、GDPRやISO/IEC 27001などで規定されたコンプライアンス要件に準拠することができます。
PAMはパスワード管理機能と、ユーザのアクセス権を管理するアクセスマネージャ、および疑わしいアクティビティを検出、防止、停止させるセッションマネージャで構成されています。PAMは、より広範囲のサイバーセキュリティ戦略の一部として実装することで、全体的な攻撃対象を減少させ、セキュリティリスクを低下させることができます。
パスワードボールトを使用するメリット
資格情報の不正使用によるデータ漏洩の平均コストは437万ドルに上ります。このような大惨事を防ぐため、組織ではパスワードを保存するより優れた方法が必要とされます。ここで役立つのがパスワードボールトです。
企業のパスワードを安全に保存できる。パスワードボールトは、企業のパスワードの管理および保存をセキュアに行います。ボールトによっては、強力かつ安全な固有のパスワードを自動生成してアプリケーションを保護することもできます。
ユーザフレンドリーである。ユーザは、複数のアカウントにログインするために複数のパスワードを覚える必要はありません。ボールトをロック解除する、強力なマスターパスワードを1つ覚えるだけです。
アカウントの不正使用やデータ漏洩を防止する。パスワードはランダムに生成されるため、ハッキングがはるかに困難になり、資格情報の悪用や漏洩からアカウントを保護できます。
パスワードリセットが簡単。アカウントがハッキングを受けたり、パスワードが漏洩したりした場合、パスワードを簡単にリセットまたは変更することができます。
複数のログイン方法を利用可能。ボールトによっては、多要素認証（MFA）が組み込まれているため、ユーザがマスターパスワードを忘れた場合でも、ワンタイムパスワード（OTP）や指紋などを使用してログインできます。
脅威を警告する。一部のボールトでは、フィッシング行為が疑われる場合にユーザに警告し、悪意あるリンクのクリックや、なりすましメールの悪意ある添付ファイルのダウンロードを回避するこ��ができます。
デバイス間で同期できる。一部のパスワード管理機能では、複数のオペレーティングシステムやデバイス間で資格情報を同期し、ログインプロセスをさらにシンプルにできます。
パスワードボールトを使用するデメリット
単一障害点となる。サイバー犯罪者にマスターパスワードを奪われた場合、すべてのパスワードを一気に盗まれ、複数のアカウントを悪用されるという結果になります。
マルウェアに対する脆弱性。マルウェアの影響を受けたコンピューター上でメインのパスワードが使用または保存された場合、ボールトで制御するすべてのパスワードが漏洩する可能性があります。
企業向けパスワード管理機能とは
企業向けパスワード管理機能とは、組み込み型セキュリティ制御機能を持ち、サイバー犯罪者が組織のパスワードを悪用することを防ぐ一元管理システムです。RBACでは、ロールに基づくパスワードアクセスを制限しているため、従業員は職務実行のために必要なアカウントのみにアクセスできます。
エンタープライズ・パスワード・ボールトでは、AES-256などの規格を使用してパスワードを暗号化し、組み込み型のランダムパスワード生成機能の実装や、自動パスワードリセットのサポートを実現できるほか、管理者はパスワードポリシーを強制することができます。一部のツールでは併せてMFAを利用可能で、さらにセキュリティを向上させることができます。
エンタープライズ・パスワード・ボールトには2つのタイプがあります。
デスクトップベース。デスクトップベースのボールトでは、パスワードを1台のデバイスにローカルでセキュアに保存します。したがって、そのデバイスに故障、盗難、または紛失の事態が発生した場合、ユーザはデバイスに保存されたすべてのパスワードを失うことになります。
クラウドベース。クラウドベースのパスワード管理機能では、パスワードを暗号化してクラウドサービスで保存するため、ユーザはデバイスやブラウザを問わずボールトにアクセスできます。
ブラウザベースのパスワードボールトと専用パスワードボールトの比較
Webブラウザでは、ブラウザがサポートする特定のアプリまたはサービスへのログイン情報を追加する前に、ユーザにマスターパスワードを作成するよう要求します。マスターパスワードのセットアップ後、ユーザはブラウザのパスワードボールトにログインし、すべてのアカウントに即座にアクセスできるようになります。ボールトは、セッションの間パスワードを保存し、複数のデバイスでパスワードを同期して、必要に応じてパスワードの自動入力を実行します。
このようなボールトのデメリットの1つは、自動パスワード生成機能が統合されていないため、ユーザが自分でパスワードを作成する必要があることです。自動生成の強力なパスワードを必要とするユーザは、専用パスワードボールトを使用した方がよいでしょう。
ブラウザベースのボールトは便利ですが、安全性の面では十分とは言えません。そのため、サイバー犯罪者がユーザのデバイスにアクセスできるようになると、すべてのアカウントやアプリにログインできてしまいます。ブラウザベースのボールトは、専用パスワードボールトとは異なり、脆弱性をプロアクティブに確認したり、アカウントが侵害された時に警告を発したりすることができません。
パスワードボールトはハッキング可能?
パスワードボールトはパスワードをセキュアに保存できますが、そのパスワードはブルートフォース、フィッシング、キーロガーなどの攻撃を受ける可能性があります。さらに、マスターパスワードの紛失や漏洩により、そのパスワードで保護されるすべてのアカウントが侵害される可能性があります。
パスワードボールトも、入力されるマスターパスワードを記録するマルウェアにデバイスが感染していた場合、ハッキングされる可能性があります。そうすると、サイバー犯罪者はデバイスとアカウントへの完全なアクセスが可能になります。暗号化が不十分で、MFAを持たないパスワードボールトの場合、特にハッキングや資格情報の侵害に弱くなります。
マスターパスワードを紛失した結果
ユーザは、マスターパスワードを紛失しても、ボールトにアクセスできる場合があります。ただし、これはボールト自体の機能により異なります。ボールトによっては、ユーザのボールトへのアクセスを一切許可しないことがあります。したがって、ユーザがマスターパスワードを忘れてしまった場合、ボールトを削除（バックアップを作成した後で）し、新規のボールトを作成して、新しいマスターパスワードで保護する必要があります。
ボールトによっては、OTPと関連付けられたEメールアカウントにより、ボールトへのアクセスを許可する場合もあります。その後、マスターパスワードのリセットが必要です。Eメールアカウントにもアクセスできない場合は、ボールトを削除し、新規ボールトを作成するしかありません。この場合、すべてのパスワードも失われます。
そのような問題を防止する最善の方法は、マスターパスワードを物理的にセキュアな場所に保管しておくことです。一部のパスワード管理機能では、バックアップコードを提供して、パスワードの変更かボールトへの再アクセスをできるようにする場合もあります。ただし、この場合でも、バックアップコードをボールト外の安全な場所に保管することが重要です。
パスワードボールトに対するシングルサインオンの利点
企業がさらに厳格なパスワードポリシーの実装を開始する場合、通常はまずパスワード管理機能によって、暗号化された比較的セキュアな環境に従業員がパスワードを保存できるようにします。この理由の1つは、従業員の業務としてパスワード管理という仕事を増やさないためです。また、パスワードボールトではユーザの各アプリへのログインも要求するため、時間の浪費につながる可能性があるためです。このような理由により、多くの組織ではパスワード管理機能を利用する場面が急速に増えています。
シングルサインオン（SSO）は、ユーザが複数のアカウントにログインできるようにするセキュアなソリューションです。1つの資格情報セットを一度だけ使用するもので、対象のアカウントがオンプレミスでもクラウドサービスでも利用できます。したがって、複数のシステム間で、よりシームレスでセキュアなアクセスを提供できます。
通常SSOは、Microsoft Active Directory、Azure Active Directory、またはSSOソリューションが提供するディレクトリなど、企業のディレクトリを使用するIDおよびアクセス管理（IAM）ソリューションの一部です。また、SAMLやOAuthなどの広く受け入れられている標準プロトコルと、デジタル証明書などのテクノロジーを使用して、エンタープライズレベルのセキュリティを提供しています。
SSOは、ログインの頻度や、保存される資格情報の数を減少させるという点で、パスワードボールトよりもセキュアです。また、パスワードが他に渡ることもありません。その代わり、SSOではログイン後に、認証を要求するアプリやWebサイトにトークンを渡します。したがって、攻撃対象が減少し、サイバー攻撃の可能性も最小化されます。またSSOは、パスワードボールトよりも使いやすく、複数のパスワードを維持する必要もないため、ユーザの負担も軽減されます。