IT 業界に身をおく人など、所謂、IT リテラシが高いと言われる人たちにとっては普段からごく当たり前にやっていることでも、そういう知識を持たない、ごく普通の一般人にとっては難しいのがパスワード管理。
最低限守れといわれるパスワード管理の基本としては、
- なるべく長くて推測されにくいパスワードを設定しよう（大文字小文字、数字とできれば記号も混ぜてねみたいな）
- 複数のサービスで同じパスワードを使い回すのはやめよう
- パスワードを人の目に付くところに保管したりしないようにしよう
などが挙げられますが、サービス毎に長くて複雑なパスワードを設定し、それを管理する場合、何らかのパスワード管理機能が必要になりますし （そうでなければメモ帳などに逐一書いていくしかなくなり、利用するサービスの数が多ければ結局面倒くさくなって、覚えやすいパスワードを使い回したりみたいな結果に）、ブラウザに保存させたとしても、例えばスマートフォンを機種変更したときは？ パソコンでアカウント登録したからスマートフォンだとログインできない...... みたいな話になりがちです。
そこで、すべての人に使いやすいかはわかりませんけども、私なりに今現在で上記のような問題を解決しつつ、パソコンやスマートフォンの操作にあまり詳しくない人でも比較的簡単に利用できるパスワード管理の方法を書いてみようかなと思います。
前提
私は普段パスワード管理に 「1Password」 を長年使用していて、メインマシンは Windows ながら Mac も状況によっては使用しますし、iPhone、iPad、Android 端末も使用していますので、それら各デバイス間でのパスワードの共有はすべて 1Password を使用して行っています。
現在の 1Password はサブスクリプションモデルのアプリケーションですので、月額 2.99 ドルの料金を払い続けているわけですが、それは必要な費用ということで特に高いと思ったことはありません。
とはいえ、一般の人にパスワード管理には 1Password を使いましょう。月額 300円ちょっとくらい払えよ、みたいな話はなかなか響かないと思いますし、ブラウザに拡張機能入れて、みたいな話も詳しくない人にとっては敷居の高い感じになってしまうでしょう。
また、日本ではスマートフォン、タブレットとして iPhone / iPad など、Apple 社製品を使う人が多いと思いますが、パソコンとなると Windows という人がほとんどだと思います。スマートフォン、タブレットが iPhone / iPad で、デスクトップやノートも Mac ですっていう人は iCloud キーチェーンの設定さえすればすべて解決ですが、iOS （iPadOS） と Windows 間で、パスワードを同期する前提の方が当てはまる人が多いと思います。
そこで今回はその辺の最大公約数的な手法として、Google Chrome のインストールさえできれば、どんな環境でもほぼ間違いなく目的が達成できる方法という前提で書いてみようと思います。
パスワード管理の手順
まずは目次的な。詳しくは各項目を読んでいただければ。
- ステップ1 Google アカウントを取得しよう
- ステップ2 Google Chrome をインストールしよう
- ステップ3 Chrome で Google アカウントにログインし、同期を有効にしよう
- ステップ4 Chrome のパスワード生成機能を使用し、Chrome にパスワードを記憶させよう
- ステップ5 他のアプリからも Chrome に保存したパスワードを使えるようにしよう （iOS のみ）
- Web サイトを提供する側の人たちへ
- まとめ
ステップ1
Google アカウントを取得しよう
まずは Google のアカウントを作成します。すでに持っているという方はそれを使用すればよいと思いますが、今回は Google アカウントを初めて取得するという前提で解説します。
下記のリンクから Google アカウントの新規作成ページに移動できますのでアカウントを作成しましょう。
で、自分で書いておいていうのもあれですが、上記のように 「ここが Google アカウントのログインページです」 とか 「ここから Google アカウントのパスワードを変更できます」 みたいなリンクが Google 社とは全く関係ない第三者の Web サイトなどに （要するに当 Blog みたいな場所です） 書かれていたとしても、不用意にリンク先でパスワードを入れたりしてはいけません。
今回であれば、リンクを移動した先が確実に Google 社のサイトであるかは、ブラウザのアドレスバー （URL が表示されている場所） を確認し、URL のドメイン部分が 「accounts.google.com」 になっているかを確認。さらに、URL の左端に、南京錠のアイコンが出ていると思いますので、そこをクリックして、証明書の確認ができるとよいですが、あまり難しいことを書くとわかりにくくなると思いますので、まずは必ずアドレスバーだけでも確認するようにしましょう。
Google アカウントの新規作成画面はパソコンからアクセスすると下記のような感じだと思いますので、名前、希望のユーザー名、パスワード （同じものを 2回） を入力してアカウントを作成します。
名前
普通に自分の名前を入力すればOK
ユーザー名
例えば加藤さんなら 「kato」 みたいな感じで入れればよいですが、現状で、本名の名字だけ、あるいは名前だけといったユーザー名はすでに他の人が使っていて取得できないと思いますので、 例えばフルネームに好きな数字や単語、みたいな組み合わせで入れると比較的空きが見つかりやすいかと思います。
2001年宇宙の旅が好きな日本太郎さんなら nihontaro2001 みたいな感じですね。このユーザー名はメールアドレスとしても使用されますし、メールアドレスは当然、メールのやりとりする人など、外部に公開されるものですから、生年月日とか不特定多数に知られたくない数字を無闇に入れたりするのはやめましょう。
他の誰かがすでに使っているユーザー名は使用できません。入力してみて、すでに誰かが使用している場合は 「使えません」 というエラーが出ますので、それが出ないユーザー名を設定しましょう。多分、余程変わった名字の方以外、数字を多めに入れたりしないと空いているユーザー名を見つけるのは難しいと思います。また、このアカウント名を忘れると困るので、覚えやすさとのバランスも考えてくださいね。
パスワード
Google アカウントのパスワードを設定します。このパスワードは気合いで覚えるなり、メモをとるなりしてください。
ここで設定するパスワードは強固、かつ他のサービスで使われていないものにする必要があります。とはいえ、いきなりランダムなパスワードを考えてくださいというのは難しいと思いますし、初っぱなから設定したパスワードが覚えられないと挫けると思いますので、ちょっとしたコツを次のセクションに。
Google アカウントのパスワードを設定する場合のコツ
- 設定するパスワードは、最低でも 16桁くらいあるのが望ましい （長いにこしたことはない）
- アルファベット （大文字小文字が混ざるとなおよい）、数字、記号が混在する必要がある
この 2つの条件をクリアしつつ、かつ、ある程度覚えやすいパスワードを設定する場合は下記のような方法がオススメです。
- まず好きな単語 （英語にしてもいいですし、ローマ字読みでもいいです） を 3 ～ 4つ挙げます
- 次に好きな数字 （4桁以上が望ましい） を 1つ挙げます
例えば、「サッカー」 と 「ロックミュージック」 と 「ラーメン」 と 「ゼリー」 が大好きで、好きな数字が 「2002」 だったとしますね。
そうしたら、これらの単語と数字をハイフンでつなげて下記のようなパスワードを作成します。
Football-Rockmusic-Ramen-Jelly-2002
各単語の頭文字を大文字にすれば、大文字小文字混在も簡単。ハイフンを使うことで記号も自動的に入ります。これでアルファベット大文字小文字、数字、記号が混在した、35桁の強固なパスワードが簡単に作れます。しかもこれなら長くても覚えられるでしょ？
もしかすると、そんな英単語とかをパスワードにして大丈夫なの？ と思う人もいるかもしれません。
当然 「Football」 とか 「2002」 みたいなこの中の 1つだけをパスワードにするなんてことは絶対にやってはいけませんが、ひとつひとつは単純な単語でも、複数を組み合わせることでパスワードとしての強度は問題なくなります （ランダムな単語の組み合わせを推測するのは困難なため）。
あとはこのパスワードを厳重に管理してください。当然、他のサービスで使い回したりはしないこと。メモをとったならそのメモは他人が見られないように管理する必要がありますし、例え信頼できる人に聞かれたとしても教えたりしてはいけません。
本来はこのあと 2段階認証などを設定するとよいのですが、ここでその説明を始めると恐らく混乱する人の方が多いと思いますので今回は省略します。詳しい人が周りにいる場合は聞いてみるとよいかもしれません。
ステップ2
Google Chrome をインストールしよう
次に、普段利用する環境 （パソコンやスマートフォン） に、Google 社製のブラウザ、Google Chrome をインストールしましょう。
パソコン（Windows や Mac の場合）
パソコンの場合は、下記のリンクからダウンロードしてインストールします。
スマートフォン（iOS、Android の場合）
スマートフォン （iOS / Android） の場合は、それぞれのアプリケーションストアから取得できます。下記のリンクをスマートフォンで開いてもよいですし、iOS なら 「App Store」、Android なら 「Play ストア」 から 「Chrome」 を検索してもよいと思います。
ステップ3
Chrome で Google アカウントにログインし、同期を有効にしよう
インストールが完了したら、Chrome アプリを起動し、先ほど作成した Google アカウントでログインします。そして、ログイン後にデータ同期を有効にします。
この Chrome へのログインと、同期を有効にすることによって、同じ Google アカウントでログインした Chrome 間で、保存したパスワードなどのログイン情報が共有され、パソコン、スマートフォン、どちらでアクセスしても、保存してあるログイン情報を使用することができます。ですので、パソコンでもスマートフォンでも使うという場合は、それぞれでログイン、同期設定を有効にしましょう。
それぞれのデバイスでログインと同期を有効にする方法は下記のページに説明されていますが、
- Chrome で同期のオンとオフを切り替える - パソコン
- Chrome で同期のオンとオフを切り替える - iPhone と iPad
- Chrome で同期のオンとオフを切り替える - Android
例えばパソコンで Chrome にログインするには、下記のような手順になります。
- パソコンで Chrome を開きます。
- 画面右上の 「プロフィール」 をクリックします。
- Google アカウントにログインします。
- [同期を有効にする] → [オンにする] をクリックします。
ステップ4
Chrome のパスワード生成機能を使用し、Chrome にパスワードを記憶させよう
ここまで設定できたら、あとはパソコンでもスマートフォンでも、新たにアカウントを作成する際のパスワードは Chrome に自動生成してもらって、そのまま Chrome に保存しておいてもらう、という流れでいちいち覚えておく必要はなくなりますし、勝手に超強固なパスワードが、サービスごとに設定されますので、パスワードの使い回しや強度の低いパスワードの使用、さらにそれを頑張ってメモったり、みたいな作業とはおさらばできます。
パスワードの自動生成は簡単。例えばパソコン版の Chrome の場合、新規アカウント登録画面でパスワード入力欄にカーソルを合わせると、下記の画像のようにパスワードを提案してくれます （自動的に表示されない場合は、パスワード入力欄を右クリックして 「パスワードを生成」 を選択すれば OK）。
下記はスマートフォン、iOS での例ですが、これも同じようにパスワード入力欄をタップすると、「パスワードを自動生成」 というボタンがキーボードの上に表示される （下記画像左側） と思いますので、そこをタップすれば Chrome が推奨するパスワードを提案してくれます （下記画像右側）。あとは 「推奨されたパスワードを使用」 をタップすれば、そのパスワードが入力され、Chrome にも登録されますので、人間が覚えておく必要はなくなります。
あ、ちなみにアカウント登録画面が Qiita さんなのは特に意味はないです。私の環境で Chrome にログイン情報が記憶されていないサイトでどこか...... と思って合致したのが Qiita さんだったというだけですので。あと、当たり前ですが画面で表示されている Chrome からの推奨パスワードは実際には使ってないですよ。
ということで、あとはパソコンでも、スマートフォン、あるいはタブレットでも、普段使っている端末には全部 Chrome をインストールして、最初に作った Google アカウントでログイン、同期を有効にするという手順さえやっておけば、どの環境で使っていてもパスワードは安全に管理されるため、一切覚えておく必要はないですし、ましてや覚えておきやすいように簡単なパスワードを設定したり、複数のサービスでパスワードを使い回したりみたいなことも起こりません。
Chrome に保存されたパスワードは、（「同期」 を有効にした場合） すべて Google のサーバに安全な形で保存されますので、例えばパソコンを買い替えた、スマートフォンを機種変更した、といった場合でも、新しい環境に Chrome をインストールし、Google アカウントでログインし直せばすぐに元通りになります。なので、最初に作った Google アカウントのログイン情報がとても大事だということがおわかりいただけるかと思います。
なお、Google に保存されているパスワードは、「Google パスワード マネージャー」 に Google アカウントでログインした状態でアクセスすると確認できますし、パスワードの漏洩があったサービスに関して教えてくれたりと便利です。
Android の場合はここまでで完了
Android OS を搭載したスマートフォンやタブレットを使用している場合、Android を設定する時点で Google アカウントの設定が終わっていると思いますので、Chrome でも同じアカウントでログインして 「同期」 だけ有効にすれば、あとはやることありません。
最新の Android であれば、デフォルトブラウザも Chrome ですし、Chrome 以外のアプリでログインしたり、アカウントを新規作成する場合でも、Chrome で操作しているときと同様、パスワードの提案や保存機能が利用できます。
iOS の場合は、同様の機能が iCloud キーチェーンによって提供されるので、Chrome 以外のアプリで新規アカウントを作成してパスワードを保存すると、その保存先は iCloud キーチェーンになって Chrome の方には渡されませんし、初期の設定では Chrome に保存したパスワードを、Chrome 以外のアプリから読み出すこともできません。ということで、その辺の解決方法を次のセクションで簡単に解説します。
ステップ5
他のアプリからも Chrome に保存したパスワードを使えるようにしよう （iOS のみ）
Chrome で Web サイトにログインを行う場合は、上記までで解説した流れで問題ないと思いますが、面倒なのはスマートフォンのアプリでログインするような場合ですね。専用のパスワード管理アプリなどは、この辺が簡単にできるようになっているわけですけども、実は Chrome でもこれらパスワード管理アプリと同じ事ができるようになっています。
iOS 版の Chrome は、先日リリースされたバージョン （Chrome 86） で、Chrome に保存したパスワードを Chrome 以外のアプリやブラウザ （Safari など） の自動入力で利用できるようになっています。この機能を有効にするには下記の手順で設定を行います。
まず、iPhone / iPad の 「設定」 を開き、「パスワード」 → 「パスワードを自動入力」 と進みます。すると、下記の画像、左端のように、「入力を許可」 の部分に 「Chrome」 が表示されると思います。私は普段から 1Password を使用しているので画像ではそっちにチェックが付いていますが、初めてこの設定をする場合は Chrome のみ表示されると思いますので、その Chrome をタップしてチェックを入れます （サードパーティ製のパスワード管理アプリ同士は同時使用ができないので、私のようにすでに他のパスワード管理アプリを使っている人の場合、Chrome に切り替えるとそちらからの自動入力は無効になってしまうんですけどね）。
Chrome にチェックを入れると、上記画像真ん中のように、自動入力をオンにするか聞かれますので、「自動入力をオンにする」 をタップします。FaceID （あるいは Touch ID）に対応した端末の場合は、それらとの連携をするかも聞かれます （上記画像右端） ので、どちらか好きな方を。基本は 「OK」 を押して、許可しておけば認証が楽です。
この設定をしておくと、アプリ内でパスワードが必要な場合は、下記のように Chrome に保存されたものから呼び出すことができるようになります。
上記画面左端、iPhone 上のとあるアプリでログイン画面を開いた状態ですが、入力欄をタップしてキーボードの上部に表示される 「パスワード」 をタップすると、このように 「使用する保存済みパスワードを選択してください」 として、候補が表示されると思います。
表示された候補で間違いなければそれをタップ。表示されない場合は 「Chrome」 を選択すると保存されている全てのログイン情報が表示されますので、そこから探すこともできます。
使いたいログイン情報を選択すると、アカウント名とパスワードが自動的に入力されますので、あとはログインを実行すればよいと。
アプリでアカウントを新規作成したい場合
スマートフォンでの利用が中心の場合、アプリから新規アカウントの作成をする場合もあると思います。残念ながら iOS では、そういうシチュエーションで Chrome がパスワードを提案したり、保存したりということはできません （Android の場合は先に説明した通り可能です）。
その場合、例えば下記のいずれかの手法を使えば Chrome にパスワードを保存できると思いますので、ちょっと手間ですが選択してみてもよいでしょう。
- 例えば Twitter にしても Instagram、Facebook にしても、ほとんどの Web サービスは、アプリ以外に Web ブラウザでも利用可能なので、新規アカウントの作成はそれら Web 版に Chrome からアクセスして行う。アカウント新規作成後 （Chrome に無事パスワード情報を記録後） にアプリをインストール、起動して、Chrome に保存したパスワードでログインする
- アプリから新規アカウントの作成をした場合、iCloud キーチェーンが強固なパスワードの提案や保存を行ってくれます。一旦、iCloud キーチェーンにパスワードを保存後、Chrome からアプリの Web 版にアクセスして、そこで iCloud キーチェーンに保存されたパスワードでログイン。その際に Chrome にパスワードを保存する
完全にアプリからしかアカウントの新規作成やログインができず、Chrome でアクセス可能な Web 版が提供されていません、みたいなサービスだと面倒なんですが、その場合は、「Google アカウントのパスワードを設定する場合のコツ」 のセクションで紹介した方法で覚えやすく、かつ強固なパスワードを設定してもよいかもしれません。その場合でも他のサービスで使っているパスワードの使い回しは駄目ですよ。
Web サイトを提供する側の人たちへ
ここで紹介したような便利なパスワード管理機能を、ユーザーが有効に、かつ快適に使うためには、Web サイト側でも注意しなければならないことがいくつかあります。
- パスワードに使用できる文字数の上限を決めるな
- パスワードに記号が使えませんとか冗談だろ？ やめろ
- パスワード欄にペースト禁止の JavaScript とか何を考えているんだい？
- 定期的にパスワードを変更しろ？ おいおい冗談は（以下略
例えばパスワードに使用する文字数の上限を 8桁や10桁、などと少ない桁数で決められてしまうと、強固なパスワードを設定したい際にその上限が足かせになります。
どうしても上限を決めたいなら、64桁とか、そのくらいの余裕のある数字にして欲しい。銀行のオンラインバンキングとか、8桁上限とかよく見るんですが、もう 21世紀だぞ真面目にやれ（ゲフン...... やっていただきたいものです。ついでに、記号が使えませんもやめましょう （何らかの理由で使える記号を指定するのはある程度問題ないと思いますが、それをやられるとパスワード自動生成で記号を含めたときに使えない文字が出て面倒くさいのでできればやめて欲しい）。
あとこれもたまに見ますが、パスワード入力欄をなぜかペースト禁止にしているログインフォームや新規アカウント登録フォーム。パスワード確認欄 （パスワードを 2回入力させる） があって、そっちだけペースト禁止みたいなのも派生型としてありますけども、どちらにしろ迷惑です。
上記のようなことをされると、折角、強度の高いパスワードを設定し、それをいちいち手打ちしたり、覚えたりしなくてよいようにパスワード管理ツールを使っているにもかかわらず、強度が低いパスワードを強要されたり、パスワード管理ツール経由の自動入力がうまくいかず、手打ちさせられたりする羽目になります。我々のような専門的な知識のある人間は開発者ツールからペースト無効を無視してぶっ込んだりしますが、無駄な手間をかけさせられてイラつくし、恨みは末代まで忘れません（大げさ）。
また、定期的にパスワードを変更しろと言われることによって、折角、今回紹介したようなパスワード管理ツールの使い方を覚えて運用していても、2ヶ月、3ヶ月ごとにパスワードを変更させられると、その都度 Chrome に保存されたパスワード情報を更新する方法がわからないなどの理由で、覚えやすい簡単なパスワードを設定してしまったり、面倒だからとそれを使い回すような結果になりかねません。
やっている方はよかれと思ってやっているのかもしれませんが、セキュリティ面ではまったく無駄なことをすることによって利用者の利便性が低下しているだけでなく、逆にセキュリティリスクを高めてしまっている可能性についてもう少しきちんと考えた上でログインフォームや新規アカウント登録フォームの仕様を決定していただきたいものです。
まとめ
簡単に言ってしまえば下記のような内容でした。
- パスワードは強固に、使い回しするなという基本的なことを説明した
- 覚えやすくて強固なパスワードの作成ヒントを参考までに説明した
- 強固なパスワードの生成や記憶はすべて Chrome にまかせて人間が覚えようとするのはもうやめよう
- パスワード管理の手法は色々な方法があって好みもあるけど、初心者さんなら Chrome を利用すると、対応デバイスも多いし、設定も簡単。さらに周りに利用者も多くて聞いたり調べやすいので楽ですよ
ということで、なるべく専門的な知識がない人でもわかるように書いたつもりですが、どうしても専門用語的なものは使ってしまうので難しいと感じる方もいるかもしれません。
冒頭にも書いたとおり、私は普段から 1Password を使っていますし、メインで使用しているブラウザも Chrome ではなく Firefox なので、今回紹介したようなパスワード管理の仕方はしていないんですが、万人がある程度わかりやすい方法となると、今回書いたような Chrome を利用した方法がよいのではないかなと思います。
自分で設定する人だけでなく、ご家族、両親などのために設定をしてあげるような立場の人の参考になればよいかなと思います。
なお、本当に初心者の人に対して今回の設定をしてあげる場合、特に Windows でですが、Chrome をインストールしたら、忘れずにデフォルトブラウザを Chrome にするのはもちろん、Edge や IE （Windows 10 を使用していればもう表には出ていないと思いますけども） のアイコンはデスクトップ、タスクバー、スタートメニューから確実に排除し、Chrome のショートカットを 「インターネット」 という名前に変えた上でデスクトップの目立つところに置きましょう。
これによって知らないうちに Edge で Web サイトを閲覧していて保存していたはずのパスワードがわからなくなった、みたいな状況を避けることができます。iOS でも iOS14 以降はデフォルトのブラウザを変更できますので、Chrome のアイコンをわかりやすいところに置いてあげるのとあわせて設定してもいいかもしれません。
