Bitwarden完全ガイド：無料で使えるオープンソースパスワード管理ツールの実力

Bitwardenとは？

Bitwardenは、2016年に設立された米国のBitwarden Inc.が開発・運営するオープンソースのパスワード管理ツールです。クライアントアプリからサーバーサイドまで、すべてのコードがGitHubで公開されています。

最大の特徴は基本機能が完全無料であり、無制限のデバイスで同期が可能な点です。有料プランは$10/年（個人）と業界最安水準で、機能面でも主要な競合製品と遜色ありません。

Bitwardenが選ばれる理由

• 完全オープンソース：誰でもコードを検証・監査可能、セキュリティの透明性が最高水準
• 無料で無制限デバイス同期：デバイス数の制限なく、コア機能を無料で利用可能
• Argon2id採用：2023年以降の新規アカウントはGPU総当たり攻撃に対して業界最強クラスのKDF
• 自己ホスティング対応：プライベートサーバーへのデプロイが可能
• 独立した第三方監査：Cure53による2018年・2022年の公開監査レポート

Bitwardenのセキュリティ設計

Argon2id：業界最強クラスのKDF

2023年以降に作成された新規アカウントでは、デフォルトの鍵導出関数（KDF）としてArgon2idが採用されています。

Argon2idは2015年のPassword Hashing Competitionで優勝したアルゴリズムで、RFC 9106（2021年）で標準化されました。メモリハード関数として設計されており、大量のRAMを必要とすることでGPUやASICを使った並列攻撃コストを大幅に増加させます。

PBKDF2との比較

• Bitwarden（新規アカウント）：Argon2id、メモリ64 MiB、イテレーション3、並列度4
• 1Password：PBKDF2-HMAC-SHA256（イテレーション数は定期更新）
• LastPass（旧アカウント）：PBKDF2-SHA256、わずか5,000イテレーション（危険）

研究によると、同一ハードウェアでArgon2idとPBKDF2に対するGPUクラック速度は約100万倍の差があります（Hatzivasilis et al., 2017）。これは、弱いマスターパスワードを使用していても、Argon2idがそれを大幅に補完することを意味します。

なお、Bitwardenの旧アカウント（2023年以前）はデフォルトがPBKDF2のため、手動でArgon2idへの移行を推奨します。アカウント設定 → セキュリティ → キー → KDFアルゴリズムから変更できます。

ゼロ知識アーキテクチャ

Bitwardenはゼロ知識アーキテクチャを採用しており、サーバーにはマスターパスワードから派生したキーのハッシュ値のみが保存され、暗号化キー自体はサーバーに届きません。Vaultのデータはデバイス上でAES-256-CBCで暗号化され、暗号化済みの状態でサーバーに送信・保存されます。

第三者セキュリティ監査

• Cure53 2018年監査：2つのCritical脆弱性（RCE、整合性チェックバイパス）を発見し、即座に修正済み。レポートはcure53.deで公開。
• Cure53 2022年監査：Medium 3件、Low 11件、Critical/High はゼロ。セキュリティが大幅に改善されたことを確認。

オープンソースであるため、独立した研究者によるコードレビューも継続的に行われており、「信頼するな、検証せよ」の原則を実践できます。

主要機能一覧

無料プランで使える機能

• 無制限のパスワード保存：項目数の上限なし
• 無制限デバイス同期：スマートフォン・PC・タブレット何台でも
• ブラウザ拡張機能：Chrome・Firefox・Safari・Edge・Opera対応
• モバイルアプリ：iOS・Android対応、生体認証（Face ID・Touch ID・指紋）
• デスクトップアプリ：Windows・macOS・Linux対応
• CLIツール：コマンドライン操作・スクリプト自動化
• TOTPコード生成：※有料版のみ（認証アプリ代わりに2FAコードを保存・生成）

有料版（$10/年）で追加される機能

• TOTP（2FA）コード生成：パスワードと一緒に2FAコードを管理
• 1GBの暗号化ファイル保存：書類・画像を安全に保管
• 緊急アクセス：信頼できる連絡先をVaultへのアクセス者に指定
• Bitwarden Authenticator：高度な2FA管理機能
• 優先サポート

家族プラン（$40/年・6名）

• 最大6名のメンバー（1Passwordの家族プランより1名多い）
• 無制限の共有コレクション
• 個人Vaultに加えて共有Vaultを利用可能

自己ホスティング：完全なデータ主権を持つ選択肢

Bitwardenは、クラウドを使わず自分のサーバーにデプロイして運用できる唯一の主要パスワード管理ツールです（KeePassは除く）。

自己ホスティングのメリット

• データ主権：パスワードデータが自分のサーバーにのみ保存される
• GDPR・プライバシー法規制への対応：企業や官公庁での導入に有利
• ネットワーク分離：インターネットから切り離したプライベートネットワークで運用可能
• カスタマイズ：組織のセキュリティポリシーに合わせた設定

自己ホスティングの要件

• Docker・Docker Composeが動作するサーバー（LinuxまたはWindows Server）
• 最低2GB RAM、ストレージ10GB以上を推奨
• SSL証明書（Let's Encryptで無料取得可能）

公式ドキュメント（bitwarden.com/help/install-on-premise-linux/）に詳しいインストール手順があります。個人利用なら無料で自己ホスティング可能です。

Vaultwarden（非公式軽量版）

Bitwardenの公式サーバー実装はリソース消費が比較的大きいため、Raspberry Piなど低スペック環境向けにはVaultwarden（非公式のRust実装）が人気です。ただし、非公式実装のためサポート対象外であることに注意してください。

競合比較：1Password・LastPass・Dashlane

4製品の総合比較

• オープンソース：Bitwardenのみ（1Password・LastPass・DashlaneはすべてClosedsource）
• 無料プラン：Bitwardenは無制限デバイス同期が完全無料、1Passwordは有料のみ
• KDF強度：BitwardenのArgon2idが最高水準、他製品はPBKDF2
• 自己ホスティング：Bitwardenのみ対応
• Secret Key：1Passwordのみの独自機能（サーバー侵害時の追加保護）
• 価格（個人有料）：Bitwarden $10/年 ＜ 1Password（公式サイト参照）

1Passwordとの主な違い

Bitwardenが優れている点：

• オープンソースによる透明性・コード検証可能性
• Argon2idによる最高水準のKDF強度
• 無料プランの充実（無制限デバイス同期）
• 自己ホスティング対応
• 価格（$10/年 vs 1Passwordの有料プラン）

1Passwordが優れている点：

• Secret Keyによるサーバー侵害時の追加保護層
• UIの洗練度・初心者への使いやすさ
• Travel Mode（ビジネス渡航者向け）
• TOTP保存が有料版でも標準機能として使いやすく統合されている

LastPassとの比較：セキュリティインシデントから学ぶ

2022年、LastPassは暗号化されたVaultのバックアップが盗難されるという重大なインシデントを経験しました。旧アカウントのPBKDF2イテレーション数がわずか5,000回だったため、オフライン総当たり攻撃が現実的な脅威となり、FBI・シークレットサービスの2025年法廷文書では解読されたVaultが3,000万ドル規模の暗号資産盗難事件と関連していることが確認されています。

Bitwardenはこのような事態に対して、複数の防御層を持っています：

• Argon2idによる高いオフライン攻撃耐性
• オープンソースによりKDF実装の正確性を独立検証可能
• Cure53の公開監査報告書による透明性

初期設定ガイド

ステップ1：アカウント作成と暗号化設定の確認

1. bitwarden.comでアカウントを作成
2. 強力なマスターパスワードを設定（16文字以上推奨、パスワード生成ツールで生成可能）
3. アカウント作成後、設定 → セキュリティ → キー → KDFアルゴリズムを確認し、Argon2idが選択されていることを確認
4. 旧アカウントの場合はArgon2idへの変更を推奨

ステップ2：ブラウザ拡張機能のインストール

Chrome・Firefox・Safari・Edge・Operaに対応。各ブラウザのストアから「Bitwarden」を検索してインストールします。

ステップ3：モバイルアプリの設定

iOS：App Storeからインストール後、設定 → パスワード → パスワードオプション → Bitwardenで自動入力を有効化します。

Android：Google Playからインストール後、設定 → システム → 言語と入力 → 自動入力サービスでBitwardenを選択します。

ステップ4：既存パスワードのインポート

LastPass・1Password・Chrome・Firefoxなど主要サービスからのインポートに対応しています。 Bitwardenのウェブ画面またはデスクトップアプリから「ツール → インポート」で操作できます。

ステップ5：KDF設定の更新（旧アカウントの場合）

1. ウェブ画面またはデスクトップアプリで「設定 → セキュリティ → キー」を開く
2. KDFアルゴリズムを「Argon2id」に変更
3. メモリ：64 MiB、イテレーション：3、並列度：4（デフォルト値推奨）
4. マスターパスワードを入力して保存

日本での使いやすさ

日本語サポートの状況

• アプリUI：日本語対応済み（iOS・Android・デスクトップ・ウェブ）
• ウェブサイト：日本語版あり（bitwarden.com/ja-jp/）
• サポート：英語中心だが、コミュニティフォーラムに日本語投稿あり
• 請求：日本のクレジットカード対応

日本の主要サービスとの互換性

• ECサイト（楽天・Amazon.co.jp）：良好
• SNS・メール（Twitter/X・LINE・Gmail）：良好
• 日本のネットバンキング：サイトによってはブロック（コピー＆ペーストで対応可能）
• 行政サービス（マイナポータル等）：一部制限あり

ブラウザ拡張機能の注意点

USENIX Security 2025の研究（Anliker et al.）では、パスワード管理ツールのブラウザ拡張機能に対するフィッシング攻撃の成功率が実験環境で30〜58%に達することが報告されています。これはBitwardenを含む全製品に共通する課題です。

主な攻撃ベクトルと対策：

• UIスプーフィング：偽の拡張機能UIでマスターパスワードを詐取 → デスクトップアプリとの併用で軽減
• 自動入力の誤作動：ドメインのみ検証する自動入力の脆弱性 → URLマッチング設定を正確に

Bitwardenのデスクトップアプリはブラウザ拡張機能より攻撃面が小さく、重要なアカウントへのアクセスにはアプリとの組み合わせを推奨します。

よくある質問（FAQ）

Q. Bitwardenは本当に無料で安全に使えますか？

はい。無料版でも無制限のパスワード保存・無制限デバイス同期が可能で、セキュリティ設計（Argon2id、AES-256、ゼロ知識）は有料版と同一です。有料版($10/年)はTOTP生成・ファイル保存・緊急アクセスなどの付加機能を追加するものです。

Q. オープンソースはセキュリティ上リスクになりませんか？

一般的な誤解です。コードが公開されることで、世界中のセキュリティ研究者が脆弱性を発見・報告できます。「obscurity by security（隠蔽によるセキュリティ）」は現代のセキュリティ原則では推奨されず、暗号化の強度はアルゴリズムの秘密ではなくキーの秘密に依存すべきとされています（Kerckhoffs原則）。

Q. KDFをArgon2idに変更するとどうなりますか？

変更後、すべてのデバイスで一度ログアウト→ログインが必要になります。データは失われません。変更によりオフライン総当たり攻撃への耐性が大幅に向上します。

Q. 自己ホスティングは技術的に難しいですか？

DockerとLinuxコマンドの基本知識があれば、公式ドキュメントに沿って数時間程度で構築可能です。個人利用ではVaultwardenを使えばRaspberry Piなどの低スペック機器でも運用できます。ただし、サーバーのセキュリティ管理・バックアップ・アップデートは自己責任となります。

Q. Bitwardenには無料版と有料版でどんな違いがありますか？

コアのセキュリティ機能（Argon2id、AES-256、無制限同期）は無料版でも完全に利用できます。有料版($10/年)で追加されるのはTOTP生成・1GBファイル保存・緊急アクセス・Bitwarden Authenticatorなどの便利機能です。

Q. 1PasswordのSecret Keyに相当する機能はありますか？

Bitwardenには1PasswordのSecret Keyに相当する機能はありません。1PasswordのSecret Keyはサーバーが完全侵害された場合の追加保護層ですが、Bitwardenはその代わりにArgon2idによる高いKDF強度と、オープンソースによる透明性で信頼性を担保しています。どちらのアプローチを好むかはユーザーの判断によります。

まとめ：Bitwardenはどんな人に向いているか

Bitwardenが特に向いている人

• コスト重視：無料版で十分な機能、有料版も$10/年と最安水準
• 透明性・オープンソース重視：コードを自分で検証したい、または研究者の監査を重視する方
• 自己ホスティング希望：データを自分のサーバーに置きたい企業・個人
• KDF強度重視：Argon2idによる最高水準の暗号化耐性を求める方
• マルチプラットフォーム：Windows・Mac・Linux・iOS・Androidを横断して使う方
• プライバシー重視の個人・開発者：GitHubのSSH鍵管理、CLIツールを活用したい方

他の製品が向いているケース

• UI・UXを最優先するなら1Passwordがより洗練されている
• Travel Modeが必要なビジネス渡航者には1Passwordが適している
• 完全オフライン・ローカル保存を望むならKeePassXCが選択肢

参考文献

1. Bitwarden Security White Paper — Argon2id実装とゼロ知識アーキテクチャの詳細（bitwarden.com/help/bitwarden-security-white-paper/）
2. Cure53 Bitwarden Security Audit 2018 — 脆弱性発見と修正の検証（cure53.de）
3. Cure53 Bitwarden Security Audit 2022 — セキュリティ改善の確認
4. RFC 9106 (2021) — Argon2: Memory-Hard Function for Password Hashing and Proof-of-Work Applications
5. NIST SP 800-63B-4 (2025) — デジタル認証ガイドライン、KDFの推奨パラメータ
6. Hatzivasilis, G. et al. (2017). "A Review of the Available Content for Argon2." Cryptography, 1(2) — PBKDF2とArgon2のパフォーマンス比較研究
7. LastPass Official Security Notice (2022-12-22) — データ侵害の公式発表
8. Anliker, H. et al. (2025). USENIX Security 2025 — ブラウザ拡張機能へのフィッシング攻撃実験（成功率30-58%）
9. Kerckhoffs原則 (1883) — 「暗号システムの安全性はアルゴリズムの秘密ではなくキーの秘密に依存すべき」
10. OWASP Password Storage Cheat Sheet — パスワード保存のベストプラクティス（cheatsheetseries.owasp.org）