Keyvaciアプリ
保管庫を、パスワードを
実際に入力する場所へ
わざわざ取りに行かなければならない認証情報は、代わりにチャットへ貼り付けられる認証情報です。Keyvaci は、すでに開いているブラウザで、ポケットの中のスマートフォンで、そして管理者が組織を運営する管理コンソールで動きます。
なぜこれが三つではなく一つの製品なのか
三つのクライアント、暗号化の実装はただ一つ
多くの保管庫は拡張機能とスマートフォンアプリを別々のプロジェクトとして出荷します。つまり暗号化も別、不具合も別、同じセキュリティの問いに対する答えも別になります。Keyvaci には整合を取り続けるべき三つの実装がありません。一つしかないからです。
| 共有しているもの | どのように |
|---|---|
| 暗号化と鍵導出 | 三つのクライアントがソースとして利用する単一のパッケージ。XChaCha20-Poly1305 や Argon2id の二つ目の写しが存在せず、ずれようがありません |
| 読み取り時の検証チェーン | 実装は一つ。メンバーの鍵に対する組織署名、保管庫の鍵を開ける前の権限付与署名、各項目に対する作成者署名 |
| 画面に出るすべての文言 | Web とスマートフォンで共有する一つの翻訳テーブル、五言語すべて。データを守るための警告が、どこでも同じ文面で読めます |
| 保管庫のシール | 関数は一つ。二つのクライアントが同じ保管庫に異なるシールを描いてしまえば、目で見比べるための印という意味そのものが失われます |
実際上の帰結として、暗号化の修正は一度で全体の修正になり、セキュリティ担当が Web アプリについて得た回答は、拡張機能にもスマートフォンにもそのまま当てはまります。
ブラウザ拡張
何も開かずにログインを入力する
どのサイトでもパスワード欄をクリックすれば、そのすぐ下に Keyvaci のメニューが開きます。認証情報を選べば入力されます。復号はお使いの端末上、拡張機能の中で行われ、その開示は Web アプリの場合とまったく同じように組織の監査ログに記録されます。
メニューが出すのは、常にこのサイトのものだけ
項目は厳密なホスト一致、または本物の親子関係でページと突き合わせます。よく似たドメインに認証情報が提示されることはなく、ページが誤クリックを誘っても、そのページのものでない認証情報を入力させることはできません。保管庫の残りは、そもそもそのメニューに存在しないからです。
ページが認証情報を見ることはない
秘密は拡張機能自身のバックグラウンドから、メニューを開いたまさにその入力欄へ渡されます。敵対的なページが盗み聞きできるページ側のメッセージ経路に流されることは、決してありません。
放置時間ではなく、期限でロックする
ロック解除から10分後、戻ってきたかどうかにかかわらず鍵は消去されます。ロックはサインイン状態を保ったまま鍵だけを落とすので、戻る先はログインフォームではなくロック解除画面です。
Microsoft でのサインインは、手の届かない場所で
Microsoft のウィンドウはブラウザが開き、ブラウザが所有します。拡張機能はそれをスクリプトで操作することも読み取ることもできません。パスワード保管庫が、他のすべてを守る会社のパスワードを見ることはないということです。
呼ばれていないページでは何も動かない
ページ内で動く部分はメニューの位置を決め、入力の指示を受け取るだけです。フォームを読まず、鍵を持たず、通信もしません。機微なものはすべて、サイトが開けない拡張機能のページに留まります。
コピーは自分で消える
クリップボードにコピーされたものは30秒後に消去されます。認証情報が午後いっぱい貼り付けバッファに残り続けることはありません。
スマートフォンアプリ
机を離れたときの保管庫
保管庫、検索、アカウントを、マウスではなく親指のために並べています。文言もアイコンもシールも Web アプリと同じです。利用者が覚えるべきなのは製品であって、二つ目の語彙ではないからです。iPhone と Android は同じアプリで、一つのコードベースから作られています。
本物のスマートフォンで、本物の暗号化
Argon2id はサーバー側のパラメータが求める 64 MiB のまま、ネイティブに実行されます。スマートフォンに合わせて鍵導出を弱めることは、全員にとって弱い保管庫を意味します。パラメータは端末ではなくアカウントの属性だからです。
離れた瞬間にロックする
アプリから切り替えると鍵は即座に消去されるため、アプリスイッチャーが開いた保管庫を保持することはありません。画面を見ている間も10分という上限が残ります。
復号したものは決して書き残さない
復号された鍵と項目はメモリ上にしか存在しません。アプリを再起動すれば必ずロック解除画面に戻ります。起動をまたいで残るのはサインインのセッションだけで、端末のセキュアハードウェアが保持し、バックアップで別の端末へ渡らないよう印が付けられています。
生体認証でのロック解除、取引条件は口に出して
任意であり、ご自身で有効にするまではオフです。iPhone では Face ID または Touch ID、Android では指紋または顔です。有効にするとマスターパスワードがその1台に保存されます。それがこの取引のすべてで、アプリは決定するその画面でそう述べます。唯一の入口になることは決してありません。
便利さは意図して期限切れになる
30日ごとにアプリはマスターパスワードを再び尋ね、他の場所でパスワードが変更された場合は直ちに尋ねます。スマートフォンが一度も尋ねないパスワードは誰も覚えていないパスワードであり、忘れられたマスターパスワードこそ、この製品が稀なままにしておきたい高くつく道です。
ほかのアプリにも入力する
システムのパスワード設定で Keyvaci を有効にすれば、iPhone では iOS AutoFill、Android では Android Autofill として、スマートフォン上のどのログインフォームからも組織の保管庫を引けます。秘密は30秒で自動的に隠れ、コピーも同じタイマーで消えます。
動かない部分
便利さが自分に近道を買うことはない
どのクライアントも、コンソールを開いて手で写すより速い。しかしどれも、この保管庫が拠って立つ規律を迂回する手段ではありません。
| 規律 | 拡張機能でも成立 | スマートフォンでも成立 |
|---|---|---|
| マスターパスワードが当社に届くことはない | はい | はい |
| すべての開示が組織の監査ログに記録される | はい | はい、他アプリへの入力も含めて |
| 署名検証に通らない項目は、警告付きで表示せず破棄する | はい | はい |
| メンバーの権限を取り消すと保管庫が再暗号化され、その端末の写しは使えなくなる | はい | はい |
| 先にロックを解除せずに入力する | できません | できません |
最後の行こそ、どのベンダーにも確かめるべき項目です。誰も何もロック解除しないままパスワードを入力できる製品は、あなたに見えない場所で鍵を持っている製品です。
提供状況
それぞれ、今どこにあるか
はっきり書きます。機能一覧の装いをしたロードマップこそ、評価が狂う原因だからです。
| クライアント | 状況 | サインイン方法 |
|---|---|---|
| Web アプリ | 一般提供 | Microsoft Entra ID、Google Workspace、メール |
| ブラウザ拡張 · Chrome、Edge、Brave | ベータ、直接インストール。Chrome ウェブストア未掲載 | Microsoft Entra ID、メール |
| iPhone アプリ、iOS AutoFill 対応 | ベータ、招待制 | Microsoft Entra ID、メール |
| Android アプリ、Android Autofill 対応 | ベータ、招待制 | Microsoft Entra ID、メール |
| Firefox と Safari の拡張 | 予定 | — |
Google Workspace でのサインインは Web アプリで稼働しており、次に拡張機能とスマートフォンへ展開します。それまでの間も、どのクライアントでもメールサインインをご利用いただけ、暗号化は同一です。