ワンタイム共有
Keeperアカウントを作成せずに誰とでも時間制限付きで安全にレコードを共有
Last updated
Keeperアカウントを作成せずに誰とでも時間制限付きで安全にレコードを共有
Last updated
ワンタイム共有は、Keeperアカウントを持っていない人とも時間制限付きでレコードを安全に共有する機能です。ワンタイム共有を使用すると、外部の関係者などに機密情報を共有したい場合でもEメール、SMS、メッセージングアプリで情報をさらすことなく安全に機密情報を共有できます。
ワンタイム共有は、Keeperのゼロ知識暗号化を利用することで安全な仕様となっています。レコードのデータは、256ビットAESを使用して共有相手のデバイス上でローカルで復号化され、サーバーへのリクエストはすべて楕円曲線暗号 (ECDSA) で署名されます。
ワンタイム共有は、新しいレコードタイプでのみ使用できます。 従来の「一般」のレコードには互換性がありません。ワンタイム共有機能が表示されない場合は、レコードを「ログイン」に変更するか、新しいレコードを作成します。
ワンタイム共有を作成するには、レコードを開き、オプションメニュー (3つの点)から[ワンタイム共有]をクリックします。
[ワンタイム共有]ボタンを押して、共有リンクの有効期間を選択します。共有リンクは1つのデバイスでのみ使用でき、選択した期間が経過すると失効します。レコードの共有を解除するのを忘れた場合でも、有効期限が切れると自動的にアクセスがなくなります。
共有リンクは、リンクが使用されない場合でも選択した期間が経過すると失効します。リンクが使用され、デバイスに紐つけられている場合、レコードへのアクセスは選択した期間が経過すると失効します。
共有リンクまたは招待メッセージをコピーすることで、誰にでもレコードを共有できるようになります。QRコードタブに表示されるQRコードを共有することもできます。
共有相手がリンクを開くと、デバイスのブラウザにレコードが表示されます。
安全策として、ワンタイム共有はデバイスに紐付けられるため、最初に共有リンクを受け取った相手しかレコードにアクセスできないことになります。後で第三者がリンクを開いた場合やメールアカウントが侵害された場合でも、元のデバイス以外からはリンクにアクセスできません。
アクセス認証情報を請負業者と共有する
暗号化されたファイルを同僚と共有する
安全に文書や手順を共有する
ワンタイム共有リンクは、以下のような手段で送信できます。
QRコード
Airdrop
メール
SMS
企業内で使用しているメッセージングアプリケーション
その他
ワンタイム共有の用途は無限です。Keeperユーザー以外にデータを安全に届ける必要がある場合には、ワンタイム共有が最適です。
既存のエンタープライズユーザーの場合、ワンタイム共有はすべてのデフォルトのロールポリシーで無効となっています。
既存のデフォルトのロールポリシーでこの機能を使用できるようにするには、[ロール] > [強制ポリシー] > [作成と共有の権限設定]にアクセスします。
ワンタイム共有機能の実装後に作成された新しいロールポリシーでは、この機能はデフォルトで有効になっています。
KeeperコマンダーCLIで以下のコマンドを使用して、プログラムでワンタイム共有リンクを作成できます。
コマンダーでは、細かな有効期限の設定、追加の出力方法、以前に作成したワンタイム共有を削除する機能など、さらにきめ細かなコントロールが可能となります。
詳細については、Keeperコマンダーのドキュメントをご参照ください。
ワンタイム共有用に実装された暗号化モデルには、クラウドインフラストラクチャを保護するためのゼロ知識およびゼロトラストプラットフォームであるKeeperシークレットマネージャーと同じ技術が使用されています。
以下は、セキュリティモデルと暗号化方法についての解説となります。
ボルトでは、共有者はレコード画面の[共有]ボタンをクリックしてから[ワンタイム共有]をクリックし、ワンタイムアクセストークンを生成します。共有するレコードの256ビットAESレコードキーはワンタイムアクセストークンで暗号化され、この暗号化された値はKeeperクラウドに保存されます。
共有者は、任意のチャンネルからURLまたはQRコードを介して共有相手にワンタイムアクセストークンを送信します。アクセストークンが含まれたURL部分は、URLの「フラグメント識別子」セクション内に保持され、ネットワークを介して Keeperのサーバーに送信されることはありません。これによりゼロ知識が保持されるため、Keeper側から情報にアクセスしたり、情報を解読したりすることはできません。
共有相手がデバイスのブラウザでURLを開くと、単一ページのボルトアプリケーションがデバイスにロードされます。ワンタイムアクセストークンがローカルのボルトアプリケーションに直接渡されます (サーバーには送信されません)。
URLがロードされる際、共有相手のデバイスはクライアント側の公開キーと秘密楕円曲線キーのペアを生成し、秘密キーはクライアントデバイスのブラウザのCryptoKeyストレージにローカルで保存されます。
初めて使用する際には、SDKライブラリがワンタイムアクセストークンのハッシュを使用して認証し、認証が成功するとサーバーが暗号化されたレコード暗号文と暗号化されたレコードキーで応答します。
クライアントでワンタイムアクセストークンを使用してレコードキーが復号化され、レコードの内容はレコードキーを使用して復号化されます。その後レコードキーがクライアントデバイスのブラウザのCryptoKeyストレージまたはその他の指定されたストレージにローカルで保存されます。
サーバー上では、そのデバイスの暗号化されたレコードキーが削除されるため、ワンタイムアクセストークンを再び使用することはできなくなります。その後はクライアントのリクエストはクライアント秘密キーで署名される必要があります。
同じデバイス上でのその後のサーバーへの呼び出しは、デバイスを固有に定義する識別子 (ワンタイムアクセストークンのハッシュ) と、クライアント秘密キーで署名されたリクエスト本文とともに送信されます。サーバーはデバイスのクライアント公開キーを使用して、指定されたデバイス識別子のリクエストのECDSA署名をチェックします。Keeperクラウドでレコードのリクエストが処理され、認証が成功するとサーバーは暗号化されたレコードの暗号文をクライアントに返します。
レコードレベルの暗号化に加えて、クライアントデバイスがランダムに生成されたAES-256ビット送信キーを作成します。この送信キーは、KeeperクラウドAPIの公開キーで暗号化されます。クライアントデバイスは、送信キーを使用してサーバーからの応答を復号化してからレコードキーを使用して暗号文応答ペイロードを復号化し、レコードの内容を復号化します。
Keeperの暗号化モデルに関する詳細については、こちらのページをご参照ください。
共有フォルダの使用は、管理コンソールの[ロール]セクションで制限できます。
