ワンタイム共有
Keeperアカウントを作成しなくても、時間制限付きで誰とでも安全に記録を共有
ワンタイム共有
Keeperの「ワンタイム共有」を使用すると、Keeperアカウントを作成しなくても、時間制限付きで誰とでも安全に記録を共有できます。ワンタイム共有は、メールやSMS通知、メッセージングアプリで情報をさらすことなく、外部の人間や請負業者に機密情報を送信できる最も安全な方法です。
ワ ンタイム共有は、Keeperのゼロ知識暗号化を利用して安全に設計されています。記録のデータは、256ビットAESを使用して受信者のデバイスでローカルに復号化され、サーバーへのリクエストはすべて、楕円曲線暗号（ECDSA）で署名されます。
ワンタイム共有は、新しい記録タイプでのみ使用できます。従来の「一般」記録には互換性がありません。ワンタイム共有機能が表示されない場合は、記録を新規作成してみてください。ボルトのバージョン16.8には、一般を新しい記録タイプに変換する機能が搭載されています。
ワンタイム共有を作成するには、Keeper記録を開き、オプション > ワンタイム共有をクリックします。
ワンタイム共有
共有リンクの有効期間を選択します。 記録は選択した時点で失効し、使用できるのは1つのデバイスのみです。記録の共有を解除するのを忘れても、その共有は失効して、アクセスは無効になります。
記録のアクセス期限設定
共有リンクが使用されない場合、リンクは選択した時間が経過すると期限切れになります。リンクが使用され、デバイスにバインドされている場合、記録へのアクセスは同じ時間が経過すると期限切れになります。
リンクまたは招待をコピーして、別の人と記録を共有できます。 または、下にスクロールしてQRコードをスキャンします。
リンクまたは招待のコピー
受信者がリンクを開くと、デバイスのブラウザに記録が表示されます。
ワンタイム共有はセキュリティの追加レイヤーとして、デバイスに固定されます。つまり、元の受信者しかデータにアクセスできないということです。リンクが後で第三者によって開かれたり、メールアカウントが侵害されたりしても、元のデバイス以外ではそのリンクにアクセスできません。
ワンタイム共有の配信先
- アクセス認証情報を請負業者と共有する
- 暗号化されたファイルを同僚と共有する
- 安全な文書や手順を作成する
ワンタイム共有リンクは、次のよう な信頼できるチャネルを介して配信先に送信できます。
- 直接QRコードをスキャン
- Airdrop
- メール
- SMS
- Enterpriseメッセージングプラットフォーム
- その他の帯域外チャネル
ワンタイム共有の用途や使用法は事実上無限です。Keeperユーザー以外にデータを安全に提供する必要がある場合は、ワンタイム共有が最適な選択です。
既存のEnterpriseのお客様である場合、ワンタイム共有はデフォルトのすべてのロールポリシーで無効になっています。
既存のデフォルトロールポリシーでこの機能を有効にするには、 ロール > 強制ポリシー > 共有＆アップロードにアクセスします。
ワンタイム共有機能の起動後に作成されたすべての新しいロールポリシーでは、デフォルトで有効になっています。
ワンタイム共有のロールポリシー
Keeper Commander CLIツールを使用して、ワンタイム共有リンクをプログラムで作成します。ワンタイム共有を作成するには、
one-time-share createコマンドを使用します。
Keeper Commanderを使ったワンタイム共有の作成
Commanderは、詳細な有効期限、追加の出力方法、以前に作成されたワンタイム共有を削除する機能など、追加コントロールを提供します。
ワンタイム共有に実装された暗号化モデルは、クラウドインフラストラクチャを保護するためのゼロ知識およびゼロトラストプラットフォームである、Keeper Secrets Managerと同じ技術を採用しています。
セキュリティモデルと暗号化方法の詳細を以下に示します。
(1) ボルトで、共有者は記録オプション画面で「ワンタイム共有（One-Time Share）」をクリックして、ワンタイムアクセストークンを生成します。共有される記録の256ビットAES記録鍵は、ワンタイムアクセストークンで暗号化され、この暗号化された値はKeeperクラウドに保存されます。
(2) 共有者は、単純なURLまたはQRコードを使用して、優先チャネルからワンタイムアクセストークンを受信者に送信します。アクセストークンを含むURL部分はURLの「フラグメント識別子」セクション内に保持され、Keeperのサーバーにネットワーク経由で送信されることはありません。そのため、ゼロ知識は保持され、Keeperはその情報にアクセスしたり、復号化したりすることはできません。
(3) 受信者はデバイスのブラウザでURLを開き、単一ページのボルトアプリケーションがデバイスにロードされます。ワンタイムアクセストークンは、ローカルのボルトアプリケーションに直接受け渡されます（サーバーには送信されません）。
(4) URLを読み込むと、受信者のデバイスはクライアント側の楕円曲線公開鍵/秘密鍵のペアを生成し、秘密鍵はクライアントデバイスにローカルでブラウザのCryptoKeyストレージに保存されます。
(5) 初めて使用する際に、SDKライブラリはワンタイムアクセストークンのハッシュを使用して認証し、認証が成功すると、サーバーは暗号化された記録暗号文と暗号化された記録鍵で応答します。
(6) クライアントはワンタイムアクセストークンを使用して記録鍵を復号化し、記録の内容は記録鍵を使用して復号化されます。その後、記録鍵は、クライアントデバイスのブラウザのCryptoKeyストレージ、またはその他の指定されているストレージの場所にローカルで保存されます。
(7) サーバーでは、そのデバイス用に暗号化された記録鍵が削除されるため、ワンタイムアクセストークンは再使用できなくなります。それ以降は、クライアントのリクエストはク ライアント秘密鍵で署名される必要があります。
(8) 同じデバイスでサーバーに後続のコールを送る際は、デバイスを一意に定義する識別子（ワンタイムアクセストークンのハッシュ）とクライアント秘密鍵で署名されたリクエスト本文と一緒に送信されます。サーバーは、デバイスのクライアント公開鍵を使用して、特定のデバイス識別子に対するリクエストのECDSA署名をチェックします。Keeperクラウドは記録のリクエストを処理し、認証が成功すると、サーバーは暗号化された記録暗号文をクライアントに返します。
(9) 記録レベルの暗号化に加えて、クライアントデバイスはランダムに生成されたAES-256ビットの送信鍵を生成します。この鍵はKeeperクラウドAPIの公開鍵で暗号化されます。クライアントデバイスは、送信鍵を使用してサーバーからの応答を復号化し、記録鍵を使用して暗号文応答ペイロードを復号化します。これにより、記録の内容が復号化されます。
Last modified 18d ago