1Passwordとは？
1Passwordは、カナダのAgileBits社が開発・運営するクラウド同期型パスワード管理ツールです。2006年のmacOS向けリリースから始まり、現在はWindows・Linux・iOS・Androidなど主要プラットフォームで利用できます。
すべてのパスワードを「ボルト（Vault）」と呼ばれる暗号化されたコンテナに保存し、マスターパスワードと独自の「Secret Key」で保護します。ブラウザ拡張機能やアプリから自動入力が可能です。
1Passwordが選ばれる理由
- 使いやすいUI/UX：初心者でも迷いにくいシンプルなデザイン
- Travel Mode（旅行モード）：国境越えの際に特定のボルトを一時的に隠せる独自機能
- Watchtower：弱いパスワード・使い回し・流出したパスワードを自動検出
- 家族・チーム共有：家族プランで最大5名、共有ボルトで安全に共有
Secret Keyによる独自のセキュリティ設計
1Passwordの最大の技術的特徴は、Secret Key + マスターパスワードの二重派生アーキテクチャです。
Secret Keyとは？
Secret Keyは128ビットのランダム値で、ユーザーのデバイス上でローカル生成されます。最も重要な点として、Secret Keyはサーバーに一切送信・保存されません。マスターパスワードと組み合わせてHKDF（鍵派生関数）により暗号化キーが生成され、そのキーでVaultがAES-256-GCMで暗号化されます。
なぜSecret Keyが重要なのか？
通常のクラウド同期型パスワード管理ツールでは、マスターパスワードから派生したキーのみでVaultを暗号化します。つまり、サーバーが侵害されると、攻撃者は暗号化されたVaultのコピーを入手し、オフラインでマスターパスワードの総当たり攻撃を試みることができます。
1PasswordはSecret Keyを追加することで、この攻撃シナリオに対する追加の保護層を提供します。サーバーが完全に侵害されても、Secret Keyなしには攻撃者はVaultを解読できません。
なお、この設計はサーバー侵害からの保護を強化しますが、ローカルデバイスへの物理的アクセスや、フィッシング攻撃によるマスターパスワードの窃取には効果がありません。
暗号化の仕様
- 暗号化アルゴリズム：AES-256-GCM
- 鍵導出関数（KDF）：PBKDF2-HMAC-SHA256（パラメータは定期的に更新）
- 認証プロトコル：SRP（Secure Remote Password）- マスターパスワードが平文で送信されない
- 各アイテムの暗号化：アイテムごとに独立した暗号化キー
主要機能一覧
コア機能
- Watchtower：弱いパスワード・使い回し・HaveIBeenPwned連携によるパスワード流出チェック
- Travel Mode：旅行中に特定のボルトを一時的に非表示にする機能（国境検査対策）
- ワンタイムパスワード（TOTP）：認証アプリ代わりに2FAコードを生成・保存
- 安全なノート：クレジットカード情報・社会保険番号・シリアルキーなどを暗号化保存
- 書類保存：パスポート・免許証の画像などを暗号化して保存
共有・チーム機能
- 共有ボルト：家族・チームメンバーで特定のパスワードを安全に共有
- 緊急アクセス：信頼できる人物を指定し、緊急時にVaultへのアクセスを許可
- ゲスト招待：個人アイテムを期間限定で共有（家族プラン）
開発者向け機能
- CLIツール：コマンドライン操作対応（スクリプト自動化）
- SSH鍵管理：SSH秘密鍵の暗号化保存と自動入力
料金プラン比較
1Passwordには無料プランがありません。14日間の無料トライアル後、有料プランへの移行が必要です。最新の料金は公式サイト（1password.com/jp）でご確認ください。
個人プラン
- 無料トライアル：14日間
- 無制限のパスワード保存、全デバイス同期、1GBの書類保存が含まれます
- Watchtower、Travel Mode、TOTPが利用可能
家族プラン
- 最大5名のメンバー
- 家族間での安全な共有ボルト
- 最大5名のゲストに個別アイテムを共有可能
ビジネス・チームプラン
- Teams Starter：10名まで、管理コンソール
- Business：無制限メンバー、高度な権限管理、監査ログ、SSO統合
- Enterprise：カスタム価格、専任サポート
Bitwardenとの価格比較
- Bitwarden個人（有料）：$10/年（約1,500円）
- Bitwarden家族：$40/年（約6,000円）、6名まで
- 1Password：Bitwardenより高め（具体的な差は公式サイトで確認）
無料で使いたい方、または価格を重視する方にはBitwardenの方が向いている可能性があります。
競合比較：Bitwarden・LastPass・Dashlane
4製品の主要な違い
- ソースコード：Bitwardenのみオープンソース（誰でもコードを検証可能）
- 無料プラン：Bitwardenは無制限デバイス同期が無料、1Passwordは有料のみ
- KDF：BitwardenはArgon2id（2023年以降の新規アカウント）、他はPBKDF2
- Secret Key：1Passwordのみの独自機能
- VPN：Dashlaneのみ付属（有料プラン）
Bitwardenとの詳細比較
Bitwardenが優れている点：
- 透明性：フルオープンソースで誰でもコードを検証可能
- KDF強度：2023年以降の新規アカウントはArgon2id（PBKDF2の約100万倍の攻撃耐性）
- コスト：個人有料版$10/年、家族版$40/年（6名）と大幅に安い
- 自己ホスティング：プライベートサーバーへのデプロイが可能
1Passwordが優れている点：
- Secret Key：サーバー侵害シナリオへの追加保護層
- 使いやすさ：UIの洗練度・初心者へのガイダンス
- Travel Mode：ビジネス渡航者に特有のニーズに対応
LastPassの2022年データ侵害について
LastPassは2022年8〜12月にかけて重大なセキュリティインシデントを経験しました。攻撃者はまず開発環境に侵入してソースコードを盗み、その情報を使って第三者クラウドストレージから暗号化されたVaultのバックアップを盗取しました。
「ゼロ知識アーキテクチャ」の字義通りの主張は維持されましたが（暗号化された状態で盗まれた）、早期アカウントのPBKDF2イテレーション数がわずか5,000回だったため、オフライン総当たり攻撃が現実的な脅威となりました。 米FBI・シークレットサービスの2025年法廷文書によれば、解読されたVaultが3,000万ドル規模の暗号資産盗難事件と関連しています。
この事件の教訓：「ゼロ知識アーキテクチャ」= 「絶対安全」ではありません。KDFのイテレーション数が低ければ、暗号化されたVaultを手に入れた攻撃者がオフラインで解読できる現実的なリスクがあります。
1PasswordとOktaインシデント（2023年）
2023年10月、1PasswordもIdPプロバイダーのOktaを通じたサプライチェーン攻撃を受けました。しかし、これはLastPassとは根本的に異なります：
- 侵害されたもの：内部IT管理コンソールセッション（ユーザーVaultデータは未侵害）
- 対応時間：14分以内に異常を検知しセッションを終了
- 教訓：サプライチェーンリスクとコア暗号化アーキテクチャのリスクは独立した問題
初期設定ガイド
ステップ1：Emergency Kit（緊急キット）の保存
アカウント作成時に、Emergency Kit（緊急キット）を必ず安全な場所に保存してください。このPDFにはSecret Keyが記載されています。紛失するとアカウントを永久に復旧できなくなります。
- PDFを印刷して金庫に保管
- 暗号化USBドライブに保存
- 信頼できる家族に預ける（緊急時のため）
ステップ2：ブラウザ拡張機能のインストール
Chrome・Firefox・Safari・Edgeに対応しています。ブラウザの拡張機能ストアから「1Password」を検索してインストールし、アカウントでサインインします。
ステップ3：モバイルアプリの設定
iOS：App Storeからインストール後、「設定 → パスワード → パスワードオプション → 1Password」で自動入力を有効化します。
Android：Google Playからインストール後、「設定 → システム → 言語と入力 → 詳細 → 自動入力サービス」で有効化します。
ステップ4：既存パスワードの移行
LastPass・Bitwarden・ブラウザからのインポートに対応しています。インポート後、Watchtowerで弱いパスワードや使い回しを確認し、金融機関・メールなど重要なアカウントから順番に強力なパスワードへ更新しましょう。
日本での使いやすさ
日本語サポートの状況
- アプリUI：日本語対応済み（iOS・Android・デスクトップ）
- ウェブサイト：日本語版あり（1password.com/jp）
- 請求：日本のクレジットカード（Visa・Mastercard・Amex）対応
日本の主要サービスとの互換性
- ECサイト（楽天・Amazon.co.jp・Yahoo!ショッピング）：概ね良好
- SNS（Twitter/X・LINE・Instagram）：良好
- 日本のネットバンキング：サイトによって異なる（一部はセキュリティ上の理由でブロック）
- 行政サービス（マイナポータル等）：一部制限あり
日本のネットバンキングでブロックされる場合は、コピー＆ペーストで対応可能です。
安全性を自分で評価する6つの基準
1Passwordに限らず、パスワード管理ツールを選ぶ際の客観的な評価フレームワークです。マーケティング主張ではなく、公開検証可能な証拠で判断することが重要です。
基準1：鍵導出関数（KDF）のアルゴリズムとパラメータ
KDF強度はオフライン総当たり攻撃耐性を決定します。研究によると、同一ハードウェアでArgon2idとPBKDF2に対するGPUクラック速度は約100万倍の差があります（Hatzivasilis et al., 2017）。
- Argon2id：最高（メモリハード関数）
- PBKDF2（600,000回以上）：中（OWASPの2023年推奨）
- PBKDF2（5,000回）：危険（LastPass旧設定）
基準2：独立した第三者セキュリティ監査の透明性
Cure53・NCC Group・Trail of Bitsなどによる監査レポートが公開されているか確認します。
基準3：セキュリティインシデントの透明な開示
発覚から公開までの速度、影響範囲の正確な説明、修復措置の具体性を評価します。
基準4：暗号化実装の検証可能性
オープンソースか、または独立した監査報告書があるかで「セキュリティシアター」でないか確認します。
基準5：アカウント回復メカニズムの信頼境界
回復パスを誰が管理しているか確認します。「ゼロ知識」は回復パスの安全性を自動的に保証しません。
基準6：サプライチェーン依存関係の透明性
どの第三者IdP・更新配布インフラに依存しているか確認します。サプライチェーン攻撃はコア暗号化とは独立したリスク層です。
よくある質問（FAQ）
Q. 1Passwordはハッキングされたことがありますか？
2023年10月、IdPプロバイダーのOktaが侵害され、1Passwordの内部IT管理コンソールにアクセスされましたが、ユーザーのVaultデータは未侵害でした。1Passwordは14分以内に対処しています。これはLastPassの2022年インシデント（暗号化Vaultのバックアップが盗難）とは根本的に異なります。
Q. マスターパスワードを忘れた場合はどうなりますか？
マスターパスワードとSecret Keyの両方を失うと、1Passwordはデータを復旧できません。Emergency Kit（緊急キット）を安全な場所に保管しておくことが極めて重要です。
Q. Bitwardenの無料版との主な違いは何ですか？
Bitwarden無料版は無制限デバイス同期が完全無料で利用できます。1Passwordには無料プランがなく、14日トライアルのみです。セキュリティ面では、BitwardenはArgon2idを採用しており、KDF強度の観点から優れています。UIの使いやすさ・Travel Modeなど独自機能では1Passwordが上回っています。
Q. 家族プランで何名まで使えますか？
1Password家族プランは最大5名のメンバーが利用可能で、さらに最大5名のゲストに個別アイテムを共有できます。Bitwardenの家族プランは6名まで対応しています。
Q. 日本の銀行サイトで自動入力は使えますか？
三菱UFJや三井住友などのメガバンクは、セキュリティ上の理由からパスワードマネージャーの自動入力をブロックするケースがあります。その場合は、1Passwordからコピーしてペーストする方法で対応可能です。
Q. ブラウザ拡張機能だけで使えますか？
ブラウザ拡張機能のみでの利用も可能ですが、デスクトップアプリの併用を推奨します。デスクトップアプリはブラウザ拡張機能より攻撃面が小さく、Secure Enclaveやキーチェーンとの統合も深くなります。学術研究（USENIX Security 2025）では、ブラウザ拡張機能へのフィッシング攻撃成功率が実験環境で30〜58%に達することが報告されています。
まとめ：どんな人に向いているか
1Passwordが向いている人
- 使いやすさを最優先したい初心者〜中級ユーザー
- Travel Modeを必要とするビジネス渡航者
- 家族でパスワードを共有したい方（家族プランが充実）
- Secret Keyによる追加の保護層を評価する方
- TOTP・SSH鍵・書類保存をオールインワンで管理したい方
Bitwardenが向いている人
- コストを重視する方（個人無料、有料も$10/年と安価）
- オープンソースの透明性を重視する方
- 自己ホスティングでプライベートサーバーに保存したい方
- 最新のKDF（Argon2id）をデフォルトで使いたい方
LastPassからの移行を検討している方へ
2022年のデータ侵害で暗号化Vaultのバックアップが盗難されており、旧アカウントのKDF設定が脆弱だった経緯があります。現在LastPassを使用中の方は、1Password・Bitwarden・またはKeePassへの移行を検討することを推奨します。
参考文献
- 1Password Security Design White Paper — Secret Keyアーキテクチャの詳細説明（1password.com/security）
- ISE (Independent Security Evaluators), 2019 — "Password Managers: Under the Hood of Secrets Management" — 1Password/LastPass/KeePass/Dashlaneのメモリ残留分析
- Cure53 Bitwarden Audit 2022 — Bitwarden拡張機能・アプリのセキュリティ監査レポート
- ETH Zurich Audit, 2026 — 悪意あるサーバーモデルにおけるパスワード管理ツールの安全性分析
- NIST SP 800-63B-4 (2025) — デジタル認証ガイドライン、KDFの推奨パラメータ
- LastPass Official Security Notice (2022-12-22) — データ侵害の公式発表
- 1Password Okta Incident Notice (2023-10-23) — OktaサプライチェーンインシデントへのAgileBitsの対応
- Hatzivasilis, G. et al. (2017). "A Review of the Available Content for Argon2." Cryptography, 1(2) — PBKDF2とArgon2のパフォーマンス比較研究
- Anliker, H. et al. (2025). USENIX Security 2025 — ブラウザ拡張機能へのフィッシング攻撃実験（成功率30-58%）
- OWASP Password Storage Cheat Sheet — パスワード保存のベストプラクティス（cheatsheetseries.owasp.org）
- Argon2 RFC 9106 (2021) — メモリハード関数の公式仕様