この記事について
特定の製品を推薦・否定するものではありません。公的標準・独立した第三者セキュリティ監査・査読済み学術論文・公式インシデント報告をもとに構築した評価フレームワークを紹介します。証拠の強度と適用範囲の限界を明示します。
パスワードマネージャーは、多数のパスワードを1つの「保管庫（Vault）」に暗号化して保存し、マスターパスワード1つで管理するソフトウェアです。NIST（米国国立標準技術研究所）が2025年7月に公開した SP 800-63B-4 は、パスワードマネージャーの利用を明示的に推奨しています。
まず知っておくべき「4つの概念の誤解」
パスワードマネージャーの議論でよく混同される概念を整理しておきます。
誤解①：「ゼロ知識」＝「絶対安全」ではない
「ゼロ知識アーキテクチャ」という言葉は業界では「サーバーが復号に必要な鍵を持たない」という限定的な意味で使われています。厳密な暗号学上の「ゼロ知識証明」とは別物です。ETH Zurich（スイス連邦工科大学）が「悪意あるサーバー」モデルでBitwarden・LastPass・Dashlaneを監査したところ、3製品すべてで攻撃シナリオが見つかりました（重大度はMedium/Low）。「ゼロ知識がまったく意味がない」ではなく、「サーバーが暗号化データを解読できない」という保証の範囲は限定的ということです。
誤解②：「暗号化アルゴリズム」よりも「鍵導出関数の強度」が重要
AES-256やChaCha20などの保管庫暗号化アルゴリズムは業界標準として広く使われており、アルゴリズム自体が問題になることはほぼありません。むしろ重要なのは「マスターパスワードからどのように暗号鍵を生成するか（鍵導出関数＝KDF）」です。2017年の実測研究（Hatzivasilis et al.）では、同一ハードウェアでPBKDF2とArgon2を比較したところ、GPUによる解読速度に約100万倍の差があることが示されました（2017年時点のハードウェアでの数値）。
LastPass 2022年漏洩では、古いアカウントがデフォルトでPBKDF2の5,000回反復しか設定されておらず（OWASPの推奨値600,000回を大幅に下回る）、それがオフライン総当たり攻撃リスクの根本原因とされています。
誤解③：アカウントのMFAと保管庫のマスターパスワードは別の層
多要素認証（MFA）はパスワードマネージャーへのログインを守ります。マスターパスワードは保管庫の暗号鍵を導出します。MFAを有効にしても、保管庫がオフラインで解読されるリスクへの耐性は上がりません。逆も同様です。両方が独立して重要です。
誤解④：クラウド同期型と手元保存型は別の評価軸
1Password・Bitwarden・LastPassなどのクラウド同期型は、サーバー攻撃面・転送セキュリティ・サプライチェーンリスクが存在します。KeePassなどのローカル保存型はサーバー攻撃面がない代わりに、バックアップや鍵ファイルの管理責任がすべてユーザー側になります。どちらが「より安全」ではなく、脅威モデルが異なるのです。
暗号化の3つの層とそれぞれのリスク
パスワードマネージャーのセキュリティは3つの独立した層で構成されています。
| 層 | 守るもの | 主なリスク |
|---|---|---|
| 鍵導出（KDF） | マスターPWからの暗号鍵生成 | KDFが弱いとオフライン総当たりが現実的に |
| 保管庫暗号化 | 端末・サーバーでの保管データ | 鍵管理の実装次第で「サーバーが解読できない」が崩れる可能性 |
| 転送暗号化（TLS） | 通信経路での傍受防止 | TLSが安全でも保管庫のKDFが弱ければ漏洩後のリスクは残る |
実際の漏洩事例から学べること
LastPass 2022年漏洩：KDF強度が問われた事件
2022年、LastPassは2段階の攻撃を受け、暗号化された保管庫のバックアップが流出しました（URLなどのメタデータは平文、パスワード類は暗号化）。「ゼロ知識」の字義通りの保証は維持されていましたが、攻撃者は暗号化データのコピーを入手したため、オフライン総当たり攻撃が現実のリスクになりました。
そのため、漏洩した保管庫は、利用者ごとのマスターパスワードとKDF設定によっては長期的なオフライン解析の対象になり得ます。
この事件が示すこと
ゼロ知識アーキテクチャ自体の失敗ではなく、KDFパラメータの弱さ（旧来のデフォルト：PBKDF2 5,000回）がオフライン解読リスクを高めたことが問題でした。なお、他社の設定状況を同一視してはいけません。
1Password/Okta 2023年：サプライチェーンの独立リスク
2023年10月、1PasswordはOktaというIdPへの不正アクセス経由で、内部IT管理コンソールのセッションが侵害されました。1Passwordは14分でそのセッションを終了し、ユーザーの保管庫データには一切アクセスされていません。
LastPass漏洩との性質の違いが重要です。前者は保管庫データの流出、後者は内部管理システムへのアクセスのみ。「保管庫の暗号化アーキテクチャ」と「サプライチェーン（依存する第三者IdP）のリスク」は独立した2つの層です。
ブラウザ拡張機能と独立アプリのリスクの違い
ブラウザ拡張型のパスワードマネージャーには、10年以上の学術研究が記録する固有の攻撃面があります。
Silver et al. / Li et al.（USENIX Security）
ドメインのみ検証する自動入力の欠陥を悪用した「スウィープ攻撃」を実証。5製品中4製品に重大な脆弱性。
Oesch & Ruoti（USENIX Security）
クリックジャッキング漏洩が持続。Firefoxの内蔵マネージャーはなりすましルーターに悪用可能と判明。
Anliker et al.（USENIX Security）
拡張UIのフィッシング模倣実験：29,800人参加の模擬実験で、パスワードマネージャー利用者と特定された参加者の30%超がマスターパスワードを入力。特定製品UIに対する成功率は最大58%。
これらは「ブラウザ拡張という実行環境そのものが、暗号化の強度とは独立した攻撃面を生む」ことを示しています。Argon2idのパラメータが最適でも、拡張UIが模倣されれば主パスワードが盗まれます。
一方、KeePassXCのようなデスクトップ独立型アプリは、フランスANSSI認定機関Synacktivの監査でCritical/High問題は見つかりませんでした。ただし、ISEの監査（Bednarek, 2019）では、KeePassを含むすべての検証製品が、管理者権限を持つ攻撃者がいる場合にメモリ内に鍵材料の残留を示しました——これは製品形態を問わない共通問題です。
自分で確認できる6つの評価基準
以下は特定製品の推薦や否定ではなく、「この製品はその宣伝を公開証拠で裏付けているか」を確認するチェックリストです。
KDFのアルゴリズムとパラメータが公開されているか
具体的なアルゴリズム名（PBKDF2/bcrypt/scrypt/Argon2）と反復回数・メモリパラメータが公開されていない製品は、オフライン解読耐性を自分では検証できません。Bitwardenは2023年以降の新規アカウントにArgon2id（メモリ64MiB、反復3回）を採用し公開しています。これがひとつの参照基準です。
独立した第三者監査が行われ、レポートが公開されているか
Cure53・ISE・ETH Zurich・Synacktivなどが実施した監査レポートは公開確認可能です。重要なのは「監査を受けた」ことだけでなく、監査対象のバージョン・範囲・発見の重大度分類です。「Critical未発見」と「監査未実施」は全く異なります。
製品カテゴリと自分の脅威モデルが合っているか
クラウド同期型・ローカル保存型・ブラウザ内蔵・独立拡張・デスクトップ独立型はそれぞれ異なる攻撃面を持ちます。「自分が最も警戒すべき攻撃者は誰か」を考えてから選ぶのが合理的です。
自分自身がMFAとマスターパスワードを混同していないか
MFAは「アカウントへのログイン」、マスターパスワードは「保管庫の暗号鍵導出」を守ります。両方が重要で、片方が強ければ片方が弱くてよいということはありません。
アカウント回復の仕組みと、そこで信頼する相手は誰か
「ゼロ知識」という言葉はアカウント回復シナリオの安全性を自動的には保証しません。回復経路のある製品は、その経路を管理する第三者（IT管理者、IdPなど）を追加で信頼することになります。1Password/Okta事件はそのような信頼連鎖が独立した攻撃対象になりうることを示しました。
サプライチェーン依存関係が透明に開示されているか
どのIdP・更新配布インフラに依存しているかを公開し、インシデント発生時に迅速に開示した実績（1Passwordの14分対応など）があるかも評価材料になります。
まとめ
- 暗号化アルゴリズムよりもKDFの強度（アルゴリズムとパラメータ）がオフライン解読への耐性に直結する
- 「ゼロ知識」は「サーバーが直接復号できない」という限定的な保証であり、暗号化データを入手した攻撃者のオフライン解読は別問題
- アカウント回復機能とブラウザ拡張機能には、コア暗号化とは独立した固有リスクがある
- 製品カテゴリごとに脅威モデルが異なるため「どれが最も安全か」という単一の答えはない
まず強力なマスターパスワードをパスワード生成ツールで作成し、上記6項目を自分でチェックしてから製品を選ぶのが、マーケティング表現に頼らない合理的なアプローチです。
パスワード管理アプリの選び方全般についてはパスワード管理アプリの選び方【比較】も参考にしてください。ブラウザ内蔵機能との比較はChrome・Safari・Firefoxの自動生成機能を比較で詳しく解説しています。
参考資料
- Anliker et al. (2025) – Phishing attacks against password manager browser extensions. USENIX Security '25
- Bednarek (2019) – Password managers: Under the hood of secrets management. ISE
- Biryukov et al. (2021) – Argon2 memory-hard function (RFC 9106). IRTF
- Cure53 (2022) – Pentest-report: Bitwarden 2022
- ETH Zurich Applied Crypto Group (2026) – Security analysis of password managers under a malicious server model
- Hatzivasilis et al. (2017) – Password-hashing status. Cryptography, 1(2), 10
- LastPass (2022) – Notice of recent security incident
- Li et al. (2014) – The emperor's new password manager. USENIX Security '14
- Oesch & Ruoti (2020) – That was then, this is now. USENIX Security '20
- 1Password (2023) – Okta incident: What you need to know
- Silver et al. (2014) – Password managers: Attacks and defenses. USENIX Security '14
- Synacktiv (2025) – CSPN certification report: KeePassXC 2.7.9. ANSSI
- Turan et al. (2010) – NIST SP 800-132: Recommendation for password-based key derivation
著者・編集：passwordgenjp.com。公開資料の確認日：2026年7月22日。