チームの認証情報保管庫：共有する秘密のあるべき仕組み

個人向けの仕組みが共有で破綻する理由

個人向けの管理ツールには、持ち主が一人、マスターパスワードが一つ、端末の組が一つあるだけです。チームの認証情報保管庫は、個人向けのツールが決して直面しない問いに答えなければなりません。サーバーが通信経路上でも保存時でも読めないまま、どうやって秘密を同僚に届けるのか。受け取る相手が本当に同僚であって、ディレクトリに公開鍵を紛れ込ませた攻撃者ではないと、どう証明するのか。その人が辞めたとき、秘密はどうなるのか。個人の保管庫からチャットへ貼り付ける方法は、このどれにも答えていません。そしてそれが今日のほとんどのチームの実態です。

仕組みを順に見る

1. 保管庫ごとに専用の鍵がある

保管庫の中の項目は、保管庫の名前も含めて、メンバーの端末上にしか存在しない鍵で暗号化されます。Keyvaci ではこれに XChaCha20-Poly1305 を用い、鍵は最終的に各メンバーのマスターパスワードから Argon2id を通じて、すべてブラウザ内で導出されます。

2. 共有はデータベースの行ではなく公開鍵暗号

アクセスを与えるとは、保管庫の鍵を相手の公開鍵に対して暗号化することです。サーバーは暗号文を中継するだけで、中継しているものを開くことはできません。

3. 相手が本人であることは人が副署して保証する

どんな共有の仕組みでも危険なのは、公開鍵を信じる瞬間です。Keyvaci では、管理者が各メンバーの鍵の照合コードを別の手段で確認し、組織の署名鍵で副署することを必須にしています。端末は共有のたびにその署名を検証します。攻撃者は、参照表をだますのではなく、システムの外で人をだまさなければなりません。

4. 権限は二重に効かせる

閲覧・編集・管理の権限はサーバーが検査し、さらに各メンバーが実際に持つ暗号材料そのものにも反映されます。データベースが誤っているだけでは、秘密は漏れません。

5. 取り消しは再暗号化を伴う

メンバーを外すと保管庫の鍵が変更され、すべての項目がお使いの端末上で暗号化し直されます。その人の端末が覚えている内容は意味を失います。どの製品を評価する場合でも、この性質は必ず求めてください。詳しくは退職時の対応のガイドをご覧ください。

サーバーが知ってよいこと

ほとんど何もありません。組織に誰がいるか、どの保管庫が存在するか、それぞれに誰が権限を持つか、そしてセキュリティイベントの追記のみのログ。保管庫の名前も、項目の中身も、すべての鍵も暗号文のままです。正確な棚卸しはセキュリティのページで公開しています。この表をお見せできないチーム向けの保管庫は、まだ得ていない信頼を求めていることになるからです。