ログイン画面でブラウザの「保存」を押したあと、クラウド同期とCSV書き出しに何が残るか

『保存しました』は、『今のPCだけに残る』ではない

多くの人は、ブラウザの『保存』を手元の付箋だと思っています。この機械は覚える。向こうの機械は知らない。実際に起きることは、もっと具体的です。ブラウザはURL、ユーザー名、パスワードを、自動入力できる1件として書きます。その1件は、まず今の設定へ現れます。すでに Google、Microsoft、Mozilla のアカウントで同期を開いていれば、同じ1件は各社の規則で『同じアカウントで入っているほかのデバイス』にも現れます。前のノートは、コピーしたばかりのパスワードをシステムのクリップボードへ残すと、クラウド同期と履歴がまだ平文を残し得ると書きました。『保存』は同じ種類の露出です。受け手が『OSのクリップボード』から、『ブラウザのパスワード庫、アカウントのクラウド、書き出したファイル』へ変わるだけです。

ログイン用のパスワード、メールのパスワード、クラウドストレージのパスワード、管理画面の管理者パスワードは、いずれも『今の入力欄の外』に何通も置きたくない内容です。扱うべきは『このブラウザは賢いか』ではありません。『この一回の保存が、今のフォームに留めるべき平文を、次の保管へ渡したか』です。製品ページの『暗号化済み』が答えるのは、途中で誰かが盗み聞きするか、ディスク上の庫が暗号文か、までです。確かめるときは、まだ聞きます。復号鍵は誰が持っているか。同じアカウントの下に、まだ何台あるか。書き出しボタンは、暗号文をまたテキストへ広げるか。

本稿は、GoogleがパスワードマネージャーとChrome同期について書いた説明、MicrosoftがEdgeの書き出しに付けた警告、MozillaがFirefoxの書き出しに付けた警告、AppleがiCloudキーチェーンに書いたセキュリティ概要に留めます。層が公開文で分かれており、設定画面と突き合わせやすいからです。企業ポリシー、第三者の『パスワード書き出し』拡張、古い画面は、その上にもう一層を重ねます。製品ページが同じ率直な一文で書くことは、ほとんどありません。ブラウザを変えたら、その版の設定をもう一度歩いてください。下の passwords.google.com を、別社の同期スイッチへそのまま当てないでください。

端末の庫、アカウントのクラウド同期、書き出したファイルは、三つの別の層

『ブラウザにパスワードを預けるのは安全か』をはい／いいえで聞くと、少なくとも三層が落ちます。第一層は、今の端末の庫です。保存を押すと、項目は今のブラウザ設定へ入ります。このタブを閉じても、この層は消えません。庫は設定ディレクトリにあり、そのタブのメモリにはありません。Chromeヘルプは、ログインしていないときは、ブックマークなどの情報はデバイスにだけ保存され、Googleアカウントには保存されない、と書いています。

第二層は、アカウントのクラウド同期です。すべてのデバイスで同じブックマーク、パスワード、その他の設定を利用する は、Chromeにログインすると、パスワードなどを自分のGoogleアカウントへ保存でき、同じアカウントで入っているすべてのデバイスでその情報を使える、と書いています。ログアウトすると、情報はGoogleアカウントに安全に残り、このデバイスからは消えます。端末の複製は持っていけます。アカウント側の一通は残ります。Appleは別の道を取ります。iCloudキーチェーンは信頼グループのあいだで同期し、転送はエンドツーエンドで暗号化され、Appleは平文を読めません。グループに入った各デバイスは復号できます。

第三層は、書き出したファイルです。これは『同期中の暗号文をもう一通置く』ではありません。公式が用意した、平文の着地です。Googleは取り込みに .csv を求め、1行目に url、username、password が要る、と書いています。EdgeとFirefoxの書き出し説明は、それぞれ『保護されない』『人が読める』でこのファイルを形容します。同期が結ぶのはアカウントとデバイスです。書き出しが結ぶのは、『ダウンロードフォルダのそのテキストを開ける人』です。

Google：既定の鍵はアカウントにある。別の二つのスイッチが、この一文を変える

Googleは既定のモデルを オンデバイスの暗号化を利用する に書いています。たとえはこうです。貴重品を金庫へ入れ、鍵は銀行が管理する。標準の暗号化は、固有の鍵で保存済みパスワードやパスキーをスクランブルします。パスワードへアクセスするためのその鍵は、Googleアカウントに安全に保存されます。Googleがこの鍵で復号するのは、次のときです。ユーザーが passwords.google.com、対象デバイス、またはChromeの設定でパスワードを取り出すとき。パスワードチェックアップが、パスワードに安全上の問題がないかを見るとき。公式は『具体的な内容』を、かなり直接な一文にしています。このタイプの暗号化では、鍵の保管とデータの保護を Google に委託することになります。

オンデバイスの暗号化が変えるのは、鍵を誰が持つかです。同じページは、設定したあとも Google パスワード マネージャーでパスワードやパスキーを保管するが、鍵はユーザーが管理する、と書いています。ご自身のデータを誰にも見られることはありません。ロックを解除するのは、Googleのパスワード、または対応するスマートフォンやタブレットの画面ロックです。一文はこう変わります。パスワードやパスキーなど、データのロックを解除するための鍵を所有するのは本人のみです。代償も書いてあります。いったん設定したオンデバイスの暗号化は削除できません。ロック解除の鍵を失うと、これらのパスワードへ二度と届かないことがあります。Workspaceユーザーはこの機能を使えません。アカウントヘルプの『パスワードを保存、管理、保護する』に、その一文があります。

同期パスフレーズは第三のモデルで、範囲はより広いです。Chrome同期ヘルプは、パスフレーズを置くと、GoogleのクラウドでChromeデータを保存しつつ、Googleにそのデータを読み取られない、と書いています。Googleウォレットのお支払い方法と住所は、このパスフレーズでは暗号化されません。パスフレーズを作ったあと、新しいデバイスでログインするときはそのフレーズが要ります。保存したパスワードを passwords.google.com で確認することも、Smart Lock for Passwords を使うことも、できなくなります。オンデバイスの暗号化が覆うのは、パスワードとパスキーだけです。同期パスフレーズが覆うのは、Chrome経由でGoogleへ同期するすべてのデータです。どちらも、既定で必ず入るスイッチではありません。入れていなければ、当てはまるのは『鍵はアカウントにある』の一文であり、『本人だけが見られる』の一文ではありません。

同期が一度開くと、信頼の境界はアカウントです。今のパソコンではありません。Chromeヘルプは、ログイン後にアカウントへ保存できる情報を列挙しています。ブックマーク、リーディングリスト、パスワード、お支払い情報、IDと連絡先、拡張機能、ウェブアプリ、設定、そして任意のタブと閲覧履歴です。別のパソコンで同じGoogleアカウントに入り、同期を開くと、そこが受け側になります。ログアウトし忘れた家の古いノート、個人アカウントで入ったことのある会社のChromeも、この境界の中です。家族と一つのGoogleアカウントを共用することは、今回保存したパスワードの信頼範囲を、相手も開ける端末まで広げることです。

Apple：エンドツーエンドが止めるのはAppleが平文を読むことであり、信頼グループ内の端末ではない

Appleは機能名を iCloudキーチェーン と書いています。セキュリティの概要 の目標は率直です。iPhone、iPad、Macなどのあいだでパスワードを安全に同期しつつ、Appleには公開しない。キーチェーン項目はAppleのサーバを経由してデバイス間で転送されますが、エンドツーエンドで暗号化され、Appleもほかのデバイスも内容を読み出せません。設計はさらに、ユーザのiCloudアカウントが盗まれても、外部の攻撃者や従業員がiCloudを不正使用しても、第三者がユーザアカウントへ届いても、パスワードは守られる、と書いています。

『ほかのデバイスも読み出せない』は、信頼グループの外のデバイスを指します。キーチェーンの安全な同期 は、各デバイスがユーザのほかのデバイスの同期識別情報の一覧を自分で持ち、同期される各項目は暗号化され、ユーザの信頼グループに含まれるデバイスだけが復号でき、ほかのデバイスやAppleは復号できない、と書いています。Safariのユーザー名、パスワード、クレジットカード番号、Wi-Fiパスワードなどは、同期できる印を付けられます。新しいデバイスがグループへ入るには、既存デバイスとのペアリングか、キーチェーン復旧を通ります。暗号化が止めるのは、路上の盗み聞きと、Apple自身が平文を読むことです。『すでにグループへ入れると認めた、そちらのiPad』は止めません。

Googleの既定モデルと比べるとき、両社の『暗号化済み』を同じ一文として聞かないでください。Googleの既定は『鍵を銀行へ預ける』です。Appleのキーチェーンの既定は『グループ内のデバイスだけが復号できる』です。どちらも『同じアカウントの下のデバイスは、互いに信頼できる終点だ』を製品へ書いています。アカウントにもう一台、ログアウトし忘れたパソコンがあれば、今回の保存が自動入力される終点がもう一つ増えます。Appleアカウントの共用は、Googleアカウントの共用と同じです。信頼の境界を広げることであり、『自分だけが読める暗号文のバックアップを増やす』ことではありません。

CSV書き出し：三社とも『人が読める』と書く

移行やバックアップのとき、公式はどれも書き出しを用意しています。この道の終点は『別の暗号文庫』ではなく、ディスク上のテキストです。Googleの パスワードとパスキーをインポートまたはエクスポートする は、取り込み形式を .csv とし、1行目に url、username、password が要ると書いています。一度に取り込めるのは最大 3,000 件、アカウントへ置けるパスワードは最大 10,000 件です。書き出し経路は、Chrome → パスワードと自動入力 → Google パスワード マネージャー → 設定 → パスワードをエクスポート → ファイルをダウンロード、です。取り込み後のステップ3は、単独で『デバイス上の .csv パスワード ファイルを削除する』と書いています。重要な注意はこうです。パスワード ファイルを削除しない場合、デバイスを使用できるユーザーであれば誰でもファイルを開いてパスワードにアクセスできます。

Microsoftの文は、より短いです。Microsoft Edge でパスワードをエクスポートする は、デスクトップのEdgeから保存済みパスワードをCSVへ書き出せるとし、Android版やiOS版のEdgeからは書き出せない、と書いています。警告の原文は、CSVにエクスポートされたパスワードは保護されず、エクスポートされたファイルを見ることができるすべてのユーザーに表示される、です。使い終わったら Shift+Delete で完全に消すことを強く勧めています。これは、Edgeに安全に残っているパスワードには影響しません。ごみ箱に残った一通は、普通の削除では戻せるので、文書は完全削除と書いています。

Firefoxは、『もう暗号化されていない』を警告の見出しへ入れています。Firefox からログイン情報をエクスポートする は、.csv へ書き出したあと、データは暗号化されておらず、人が読めるテキストになる、オンラインへアップロードしない、メールで送らない、ほかの人と共有しない、使い終わったら必ずすぐ削除する、と書いています。ダイアログは、パスワードが可読テキストとして保存される、と知らせます。マスターパスワードを入れているなら、書き出す前にそのパスワードを求められます。マスターパスワードが止めるのは『about:logins を開くこと』です。『ファイルがすでにディスクへ書かれたあと、誰がそれを開けるか』は止めません。

三社の警告が指すのは、同じ一事です。書き出しは、平文の着地を一度作ることです。ダウンロードフォルダでクラウド同期クライアントやデスクトップ同期が動いていれば、CSVはまた上がることがあります。前のノートは、暗号化せずクラウドへ上げたファイルを、事業者、同期クライアント、秒速転送がまだ原文を見られる、と書きました。ここの password 列が、その原文です。メール、チャット、クラウドの共有リンクは、『人が読める』をもう一通コピーします。公式は、このCSVを『まだ暗号化されている。拡張子が変わっただけ』とは書いていません。

その場で確かめる：ログイン済みの別端末か、ダウンロードフォルダのCSVか

『自分のブラウザに保存しただけだ』という標語は、証明になりません。確かめを、この端末で終えられる数歩へ分けます。各歩が答える問いは、一つだけです。

1. 本物の業務に現れないカナリアを書いてください。ランダムなパスワードが要るときは、パスワードジェネレーターで 6–128 文字を引いてください（既定は 16。8 未満は弱いと出ます）。生成結果はカナリアとして扱い、新しいログインパスワードとしては扱わないでください。いま使っているパスワードは使わないでください。
2. Chromeで、捨てられる練習ページか、手元のフォームで『パスワードを保存』を出し、カナリアだけを保存してください。『設定 → あなたと Google』を開き、パスワードがアカウントへ保存する情報に入っているかを見てください。同じGoogleアカウントで入り、同期が開いている別のデバイスで、自動入力またはパスワードマネージャーに同じ1件が出るかを見てください。出るなら、第二層はすでにアカウントへ書いています。
3. ブラウザで passwords.google.com（またはChrome内の Google パスワード マネージャー）を開いてください。カナリアを直接見られるなら、いま当てはまるのは既定モデルか、本人確認を通して復号した状態です。『同期パスフレーズを置いたのでウェブでは見えない』ではありません。オンデバイスの暗号化と暗号化オプションの二ページを開き、実際に入っているのが『鍵はアカウントにある』『鍵は本人だけが持つ』『自分のフレーズでChromeデータ全体を暗号化する』のどれかを見てください。
4. カナリアだけを、公式の経路で一度書き出してください。CSVをダウンロードし、テキストエディタで開き、url / username / password とカナリアの原文が出るかを確認してください。ファイルをクラウド同期へ残さないでください。チャットへ貼らないでください。確かめが終わったら、各社の勧めどおり消してください。Edgeは Shift+Delete と書いています。GoogleとFirefoxは、すぐ削除すると書いています。ごみ箱と『最近削除した項目』も見てください。
5. Safari / Apple端末を使っているなら、同じ iCloudキーチェーンの信頼グループへ入っている別のデバイスで、カナリアが自動入力されるかを見てください。入るなら、グループ内の複製はすでにあります。これは『Appleが平文を読むか』とは別の事です。確かめが終わったら、関係するすべてのデバイスでそのカナリア項目を消してください。

最初の確かめの細部、つまり端末が平文をブラウザ庫へ渡したかは、ブラウザで暗号化するなら、平文が端末を出ていないことをその場で確かめる とは違います。ここでは、ほぼ必ず『今のフォーム』を出ます。保存の定義が、パスワード庫へ書くことだからです。本稿が確かめるのは、『フォームを出たあと、あと何層へ入ったか』です。カナリアが出てよいのは、自分のパスワード画面、自分の同期デバイス、自分から書き出したそのファイル、だけです。ログインしていないと思っていた古いパソコン、家族のタブレット、ダウンロードフォルダがクラウド同期で持っていった複製に出るなら、信頼の境界は『今のこのブラウザ』より大きいです。

開いてすぐ使えるジェネレーターで、『保存』を別の一度の露出として扱う

先にこの端末で生成し、ブラウザの『保存』へ渡すかどうかを自分で決める、という順番なら、登録は要りません。パスワードを MakePwd へ渡す必要もありません。パスワードジェネレーター を開き、捨てられるランダム列を引き、このページでコピーするか控えるかして、前の節の手順でブラウザの『保存』を押すかを決めてください。生成と強さの表示は、今のタブで終わります。調べるパスワードも、新しく作ったパスワードも、既定ではアップロードしません。すべてのツールは開いてすぐ使えます。アカウントはありません。パスワード保管庫が、この列を代わりに預かることもありません。MakePwd は、『保存』を押したあと、クラウドへ同期しません。

ジェネレーターが答えるのは『この列はどこから来たか』です。『保存したあと、ブラウザは同期するか』には答えません。よく使うパスワードが弱いか、端末のよく使われる一覧に落ちるかを見るなら、パスワード強度チェック を使ってください。調べるパスワードはアップロードしません。結果は全件漏洩照会でもありません。パスワードを別の人へ渡す必要があるときは、『自分がブラウザへ保存し、相手も同じアカウントで入る』に頼らないでください。それは相手を信頼の境界へ足すことです。向きが合うのは、ワンタイムリンク でもう一度送ることです。鍵はURLの # フラグメントに置き、HTTPではサーバーへ行きません。作成も閲覧も公開です。サーバーが一時保存するのは暗号文だけです。

よくある質問

「パスワードを保存」を押すと、Googleは平文を読めますか？

既定では、公式の手順どおり復号できます。Googleアカウントヘルプは、標準の暗号化ではパスワードへアクセスするための暗号鍵をGoogleアカウントに保存すると書いています。passwords.google.com、対象デバイス、Chromeの設定で取り出すとき、およびパスワードチェックアップが安全上の問題を見るときに、Googleはこの鍵で復号します。公式の言い方は『鍵の保管とデータの保護を Google に委託することになります』です。オンデバイスの暗号化を入れると、一文は『データのロックを解除するための鍵を所有するのは本人のみ』に変わります。同期パスフレーズを別に置くと、Googleはパスフレーズで守ったChromeデータを読めないと書き、同時に passwords.google.com では保存済みパスワードを確認できなくなります。

書き出したCSVは、まだ暗号化されていますか？

三社の公式文書は、いずれも『もう保護されない』と書いています。Googleは、パスワードファイルを削除しないと、そのデバイスを使える人なら誰でもファイルを開いてパスワードへ届く、としています。Edgeは、CSVへ書き出したパスワードは保護されず、そのファイルを見られる人なら誰でもパスワードを見ると書き、使い終わったら Shift+Delete で完全に消すよう強く勧めています。Firefoxは、書き出したあとは暗号化されておらず、人が読めるテキストになる、アップロードもメールも共有もしない、使い終わったらすぐ削除する、と書いています。

このPCのブラウザを閉じると、保存したパスワードは消えますか？

窓を閉じても、すでにアカウントへ渡した分は消えません。Chromeヘルプは、ログインするとパスワードなどをGoogleアカウントへ保存でき、同じアカウントで入っているすべてのデバイスで使える、ログインしていなければブックマークなどは今のデバイスだけに残る、と書いています。Chromeからログアウトすると、情報はGoogleアカウントに安全に残り、このデバイスからは消えます。アカウント側の一通は残ります。AppleのiCloudキーチェーンは信頼グループで同期し、グループ内のデバイスは復号でき、Apple自身は平文を読めません。

ブラウザに保存したパスワードと、端末の弱いパスワード検査は同じですか？

違います。Googleのパスワードチェックアップは、すでに保存した項目の上で走ります。標準の暗号化では、Googleが復号鍵を持っているからできます。MakePwdのパスワード強度チェックは、調べるパスワードを今のタブに置き、端末のよく使われる一覧と照合します。アップロードしません。全件漏洩照会でもありません。『未該当』は、この一覧に無い、という意味だけです。ブラウザへ保存するのは、別の信頼の境界です。同期先の端末と、書き出したファイルです。

次に『保存』を押す前に、覚えておく三つのこと

第一に、『保存しました』が言うのは、項目がブラウザのパスワード庫へ入った、ということだけです。今のこのパソコンにしか無い、とは言いません。第二に、端末の庫、アカウントのクラウド同期（Googleの既定では鍵はアカウントにある。オンデバイスの暗号化と同期パスフレーズがこの一文を変える。Appleのキーチェーンはグループ内のエンドツーエンド）、書き出したCSV（三社とも人が読めると書く）は、三つの別の複製です。窓を閉じても届くのは端末の画面までです。アカウントと、ディスク上のファイルには届きません。第三に、捨てられるカナリアで、別のデバイス、passwords.google.com、ダウンロードフォルダを確かめてください。本物のパスワードで試さないでください。書き出しの確かめが終わったら、公式の勧めどおり完全に消してください。

コピーしたあと、クリップボードがまた同期するかを続けるなら、パスワードをコピーしたあと、クリップボード履歴とクラウド同期に何が残るか を読んでください。生成の過程が平文を端末の外へ出していないかをその場で見るなら、ブラウザで暗号化するなら、平文が端末を出ていないことをその場で確かめる があります。端末の一覧が証明できること、全件漏洩照会ではない理由は、端末のよく使われるパスワードリストが証明できること、全件漏洩照会ではない理由 にあります。本稿が扱うのは、『ブラウザの保存を押したあと、クラウド同期とCSV書き出しにまだ何が残るか』を、結論に書ける範囲へ落とすことだけです。